SIDN Labs 与 NBIP 合作在 DDoS Clearing House 中引入新分类算法，旨在从多向量攻击流量中自动提取特征并生成指纹，供跨组织协作防御使用。
Dissector 处理流程
Dissector 作为核心组件，接收采样的 PCAP 或流量记录，先由攻击画像模块识别协议、服务及相关属性，再由分类器对每个属性计算值，最终输出 JSON 格式指纹。该管道设计模块化，支持针对不同攻击类型的启发式规则，能在有限内存与 CPU 下快速完成指纹生成。
攻击画像与分类器
攻击画像模块提取包头类型（如 HTTP、DNS）、源目地址以及更高层属性（如放大攻击、勒索软件特征）。分类器结合出现次数统计与更复杂的算法，判断高层属性取值，例如可判定某流量是否为放大型攻击。两类模块协同工作，形成完整的攻击特征向量。
数据来源与部署计划
算法开发依赖 NBIP 提供的真实攻击 PCAP，NBIP 运营荷兰国家清洗平台 NaWas。DDoS Clearing House 由 CONCORDIA 项目构建，将被荷兰国家反 DDoS 联盟采用，实现跨机构自动共享指纹，提升联合防御效率。
新分类器使指纹生成更细粒度、可扩展，运维人员可直接将其接入现有清洗流程，实现多组织间的快速特征同步与协同缓解。
原文: APNIC Blog（2021-05-21）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog