针对持续增长的 DDoS 攻击，研究提出在 IXP 层面利用 BGP 黑洞路由自动生成训练集，训练 ML 模型实现大规模流量清洗，并可为缺乏资源的中小 ISP 提供分析能力。
数据来源与训练集构建：
多个 IXP 已部署 RFC 7999 定义的 BGP 黑洞机制，成员 AS 可将不想要的流量标记为黑洞路由。IXP 同时掌握 Netflow/IPFIX 等流量导出与路由服务器的 BGP 宣告，将两者关联即可自动产生标记后的 DDoS 样本。训练集规模仅受可用流量数据与 BGP 数据量限制，实际从欧洲和美国的五个 IXP 获得了 3 – 24 个月的连续攻击样本。
模型优势与部署特点：
低成本：无需采购专用清洗设备，直接复用现有数据导出与访问控制列表（ACL）。低维护：省去人工编写规则与触发条件，模型自我学习更新。成员驱动：IXP 无需主动介入策略制定，清洗决策由参与黑洞的 AS 触发。
潜在效果与量化收益：
DE‑CIX 2021 年研究显示，若在 IXP 层面丢弃攻击流量，可比在受害 AS 边缘过滤提前两跳以上，约 55 % 的攻击流量得以更早清除，显著降低边缘设施压力。Cisco 预测攻击数量以 14 % 复合年增长率上升，平均攻击规模 1 Gbps 已足以瘫痪多数服务，历史峰值为 2022 年微软 Azure 遭遇的 3.5 Tbps。
在 IXP 引入 ML 驱动的清洗服务，能以现有基础设施实现自动化、大规模的 DDoS 检测与缓解，减轻骨干网负载，同时为缺乏专业团队的中小运营商提供可用的攻击分析能力。
原文: APNIC Blog（2022-11-25）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog