2018年出现的TB级DDoS攻击以SSDP衍射与Memcached反射为主，前者源于libupnp库缺陷导致源端口随机化，后者因默认无认证监听全接口，本文给出检测与缓解的工程化方案。
SSDP衍射攻击机制与检测：传统SSDP反射攻击源端口固定为UDP 1900，易于封堵。2018年Arbor Networks分析显示，55%响应SSDP的CPE设备因libupnp库漏洞改用随机源端口，形成“SSDP衍射”；另有1.65%设备存在NAT规则注入漏洞，可被远程打洞。检测层面，Netflow等流量遥测可直接识别随机源端口的UDP洪水与分片报文，无需依赖端口特征。
SSDP衍射缓解策略：因源端口随机，不可再以1900端口为匹配依据。工程上采用四层组合：基于S/RTBH或Flowspec封锁反射器源IP；载荷模式匹配UPnP/1\.0头部；限速非初始IP分片；将攻击流量牵引至IDMS清洗。此组合不依赖单一特征，适应端口随机化与分片混淆。
Memcached反射攻击与1.7Tbps实战：Memcached常部署于IDC、云与IaaS网络，默认无认证且监听全接口UDP/TCP 11211端口。2018年3月首次被利用发起1.7Tbps攻击，随即出现1.3Tbps攻击及大量中小规模攻击。原文未给出具体缓解细节，但暴露的核心问题是未授权公网暴露与UDP放大特性。
运维需在边界部署流量遥测识别随机端口UDP洪水，配置Flowspec快速封锁反射器IP，并在应用层开启Memcached认证、绑定内网接口、禁用UDP监听，从源头消除放大面。
原文: APNIC Blog（2018-12-05）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog