(Теоретический взгляд) При DDoS-атаке через докер не обнаружено корреляции между количеством отправленных пакетов и количеством виртуализированных контейнеров

Я тестировал DDoS-атаку в своей локальной сети через докер. Каждое изображение загружено «злым» DDoS-файлом.

Я тестировал одновременно несколько контейнеров, атакующих одновременно. На изображении ниже можно увидеть 6 атак (пиков). 1, 2, 3, 4, 10 и 15 контейнеров, работающих одновременно (каждая атака соответствует одному пику).

Что привлекло мое внимание, так это то, что пик атак не был существенно изменен количеством одновременно атакующих контейнеров.

Почему это?

Моя гипотеза:

I. Процессы Dockers выполняются не параллельно, а последовательно.

II. Или насыщение пакетов, отправляемых на шлюз, уже достигнуто первым контейнером. Поэтому не имеет значения запуск большего количества контейнеров.

Ребята, что вы думаете?

Анализ пакетов Wireshark

Максимальное использование после 2 контейнеров не является хорошим показателем для масштабирования на множество процессов. Недостаточно информации, чтобы понять, почему это так. Узкими местами в производительности могут быть приложение, сетевой стек или аппаратное обеспечение. Например, клиенты могут вести себя вежливо, ожидая ответов уровня приложения, а не отправлять запросы как можно быстрее.

Узнайте, сколько пакетов в секунду они могут обрабатывать с помощью самого простого приложения. iperf — классический инструмент для такого теста максимальной пропускной способности. Значительно более высокий показатель PPS указывает на то, что узкое место находится ближе к приложению, чем к сетевому стеку.

Что касается смысла этого упражнения, то распределенный отказ в обслуживании не может быть легко смоделирован с (предположительно) одним физическим хостом. Обычно целью является массовая атака, когда многие хосты отправляют гораздо больше запросов приложений или необработанных пакетов, чем может обработать ваша инфраструктура. Или с такого количества IP-адресов блокировка источника невозможна.

Тем не менее, даже относительно небольшая атака всего с нескольких хостов теоретически все еще может увязнуть в услуге. Зависит от приложения и ресурсов сервера, на котором оно работает.