DNS 反射放大攻击长期以来依赖开放递归解析器与权威服务器，荷兰特文特大学与杨百翰大学最新实验证实：若源地址验证（SAV）部署缺失，云厂商预置的闭合递归解析器同样可被滥用为反射器。云网络出口带宽远超家用网关，一旦被利用，单次攻击流量峰值将突破现有防御阈值。
云端开放解析器占比超预期：
研究团队将全网开放解析器扫描结果与 IP2Location 元数据融合，发现约 12% 的开放解析器位于云 / 数据中心网段。该数量级较当前实战滥用规模高出数个数量级，意味着攻击者若转向云端资源池，单位时间反射流量可成倍跃升。原文未给出具体经济体贡献多样性数据。
闭合解析器成新攻击面：
实验表明，云服务商为租户预配置的递归解析器虽默认仅响应内部查询，但当边界路由器未严格实施 BCP 38 / BCP 84 类入向过滤时，伪造源地址的查询包即可穿透边界触发反射。这类解析器数量庞大、带宽富余，且因“受信内部服务”属性易被防火墙放行，防御盲区显著。
演进趋势指向高性能算力：
僵尸网络基础设施已从 2016 年 Mirai 利用的资源受限 IoT 设备，演进至 2022 年 Mantis 利用的数据中心服务器。同理，攻击者优先选取的反射器也将从消费级 CPE 转向云端高带宽解析器。云厂商若不在边界强制 SAV，将无意中成为最大规模 DDoS 助推器。
对运维工程师而言，核心行动是两步走：在云边界路由器强制开启严格 uRPF 或 ACL 实施入向 SAV，切断伪造源包外发路径；同步排查租户 VPC 内预置解析器的访问控制列表，禁止非授权网段发起递归查询。唯有堵住源头，才能遏制云网络沦为反射放大器。
原文: APNIC Blog（2023-01-26）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog