代尔夫特理工大学、横滨国立大学与日本 NICT 联合研究发现，Team Cymru 运营约十年的免费全球 RTBH 服务 UTRS 虽具缓解 DDoS 潜力，但实际采用率极低。六个月观测期内，UTRS 仅记录 533,257 条缓解公告，覆盖 7,820 个目标网络，远少于蜜罐与僵尸网络监测捕获的攻击规模。
数据采集与关联方法：研究团队于 2022 年 10 月至 2023 年 4 月注册自有 AS 加入 UTRS，同步获取三类数据集——UTRS 成员发布的黑洞路由公告、横滨国立大学全球部署的 AmpPot 放大攻击蜜罐请求数据、以及通过 C&C 监控系统捕获的 IoT Milker 僵尸网络攻击指令。通过时间与 IP 空间双维度关联 UTRS-AmpPot 与 UTRS-Milker，构建攻击与缓解动作的对应视图。
两种交集视口揭示时序错位：Exact Interval（EI）仅统计攻击与公告完全重叠的时间窗；Offset Interval（OI）将公告时间跨度前后各延伸 12 小时再求交。这种设计源于现实中缓解动作常滞后于攻击发起，或提前部署预防。两种视口的差异量化了运维响应延迟对缓解有效性的影响。
规模对比凸显覆盖缺口：UTRS 数据集含 533,257 条目、7,820 个目标网络、7,830 个唯一 IP；AmpPot 同期捕获 1,616,184 条放大请求，指向 1,080,770 个独立 IP；Milker 记录 223,267 条僵尸网络攻击指令，目标数量原文未给出具体数据。三组数量级差距直观表明，UTRS 仅覆盖极小部分实施攻击。
对网络工程师而言，UTRS 提供零成本、标准化的 RTBH 接入路径，但实测部署率远低于预期。建议在边界路由器预配置 UTRS 社区属性，并将其纳入 DDoS 应急预案的自动化触发链路，弥补人工响应的时间窗。
原文: APNIC Blog（2023-12-13）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog