SISSDEN项目部署蜜罐网络监测放大型DDoS攻击，过去一年日均捕获约10,000次攻击，峰值达17,000次。数据显示CharGen、DNS、NTP、SSDP四大协议为主要攻击向量，攻击协议分布随时间显著波动。
攻击原理与蜜罐机制：
放大型DDoS利用IP首部不可认证与UDP无握手两大协议缺陷：攻击者伪造受害者源IP向易受攻击服务发送小请求，服务直接回复大量响应流量至受害者，放大倍数可达100倍以上。DNS、NTP、SSDP、CharGen等常见协议均可被滥用。SISSDEN蜜罐模拟这些易受攻击服务，吸引攻击流量但不转发至真实受害者，而是生成日志实现近实时观测。
协议分布与时间特征：
过去一年观测区间内，日攻击量在7,000至17,000次之间波动，平均约10,000次。归一化统计显示CharGen、DNS、NTP、SSDP为最普遍向量。1月首个峰值由DNS攻击驱动，1月底峰值源于CharGen攻击，3月中下旬再现DNS高峰，4月中旬NTP攻击上升。原文未给出具体放大倍数与流量带宽数据。
Booter服务与攻击门槛：
所谓"压力测试"网站实为付费攻击平台，用户只需少量费用即可对任意IP发起放大攻击，极大降低了攻击门槛。蜜罐网络通过被动捕获此类付费攻击流量，为追踪攻击来源与协议滥用趋势提供数据支撑。
对运维与网络工程师而言，蜜罐监测数据揭示了当前放大攻击的协议热度与时间规律，提示需优先加固CharGen、DNS、NTP、SSDP等高危服务的访问控制与响应限速，同时部署入向流量过滤与源地址验证以缓解伪造源IP攻击。
原文: APNIC Blog（2018-07-30）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog