南加州大学信息科学研究所研究人员利用 RIPE Atlas 万余探针与 B 根服务器数据，完成长达六年四个月的 DNS 根服务器欺骗纵向分析，揭示欺骗比例翻倍、主要源自 ISP、手段从注入转为丢包三大结论。
检测方法与显性欺骗识别：研究从受控观测点发起 hostname.bind、ping 与 traceroute 三类探测，覆盖 A 至 M 共 13 个根字母。合法根服务器遵循运营商命名规范，如 A 根的 nnn1-lax2、nnn1-lon3 格式编码站点与编号；显性欺骗者则返回 lego、chic-cns13.nlb.mdw1.comcast.net、2kom.ru 等非标准标识。通过 traceroute 与 ping 交叉验证，可排除伪装成合法模式的隐蔽欺骗。
隐蔽延迟与 B 根侧验证：对返回合法格式标识的应答，再通过时延分析判断是否经第三方转发。B 根一周服务端数据确认：当前主流欺骗不再抢先注入伪造应答，而是直接丢弃原始查询包。这种“丢包式”欺骗更难被传统注入检测发现，也解释了为何欺骗比例在六年内翻倍却长期被低估。
欺骗主体归属与全球分布：可识别的欺骗者多为 ISP 与网络提供商，分布遍布全球，无特定区域集中。原文未给出具体 AS 编号或国家占比细分。研究指出 DNSSEC 部署虽能保护完整性，但普及率仍低；加密 DNS 推广背景下，理解欺骗演变对隐私保护同样关键。
对运维工程师而言，需在监控体系中加入丢包率与时延异常指标，而非仅依赖注入检测；在任播部署场景下，结合 hostname.bind 与路由追踪可更准确界定合法节点与欺骗源。
原文: APNIC Blog（2021-01-22）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog