RIPE NCC 利用 RIPE Atlas 数据分析 2016 年 10 月 21 日针对 Dyn 基础设施的 DDoS 攻击，发现控制平面基本稳定，仅少量前缀短暂撤销，攻击流量主要来自 Mirai 僵尸网络的数千万 IoT 设备 IP。
攻击过程与影响：
2016 年 10 月 21 日 11:10 UTC，Dyn 确认遭遇 DDoS 攻击，初期仅影响美国东海岸，后扩展为全球故障，导致 Twitter、GitHub、Reddit、Spotify、Netflix、PlayStation、纽约时报、Airbnb、PayPal 等服务不可用。Dyn 在 13:20 UTC 宣布服务恢复，但 15:52 UTC 再次报告第二波攻击持续。Kyle York 称攻击者会随缓解措施调整策略，属“非常聪明的攻击”。原文未给出具体攻击带宽数据。
Mirai 僵尸网络特征：
攻击源头为 Mirai 恶意软件感染的 IoT 设备，包括路由器、数字视频设备、IP 摄像头等，形成数千万离散 IP 地址的僵尸网络。Dyn 事件报告指出这些 IP 直接参与攻击，但原文未给出具体设备数量或地理分布细节。
BGP 与控制平面观测：
Ant Stanley 通过 BGPlay 观测到 Dyn 为缓解攻击而操作特定名称服务器前缀的 BGP 路由变化。RIPE Atlas 数据显示，Dyn AS33517 在事发期间宣布的大多数前缀保持稳定，仅极少数短暂撤销，原因未知。控制平面整体未发生大规模动荡。
对运维工程师而言，该案例揭示 IoT 僵尸网络可发起多波次、自适应的大规模 DDoS，需结合 BGP 监控与 DNS 多点部署提升抗性，同时关注上游供应商的缓解响应时效。
原文: APNIC Blog（2016-10-26）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog