传统蜜罐难以捕捉反射放大攻击中其他基础设施的参与度，导致攻击强度评估受限。柏林自由大学、特文特大学和汉堡应用科技大学团队利用 IXP 采样流量数据，开发出被动推断 DNS 放大攻击的方法，发现 IXP 与蜜罐检测到的攻击集合仅重叠约 4%，三个月内新增识别 2.4 万次蜜罐未见攻击。
攻击者善于挑选大区域
团队借助 OpenINTEL 数据，估算 4.4 亿个域名的 ANY 查询响应大小，忽略 EDNS 4096 字节与 UDP 65536 字节等常见协议限制。结果显示，仅 9048 个域名的放大因子高于 IXP 观测到的最高排名被滥用域名，占比约 0.002%。这表明攻击者会为追求高放大因子而精选域名，但并未选到理论最优目标。建议：条件允许时限制区域大小。
ANY 查询仍具实效放大能力
通过分析 IXP 采样数据中的包大小，确认攻击实现了有效放大因子。图 2 展示按域名分组的实际响应大小相对频率分布，包含所有被滥用的 .gov 域名并按响应时间排序。原文未给出具体放大倍数数值。
IXP 视角与蜜罐的互补性
IXP 提供网内视角，能观测完整放大生态如何被滥用及攻击者的放大效率。与蜜罐仅模拟单一脆弱服务不同，IXP 流量覆盖多放大器参与场景。两者检测集合近乎不相交（重叠约 4%），说明单一视角均有盲区，联合部署可更全面刻画攻击图谱。
对运维与网络工程师而言，部署 IXP 级流量采样分析可弥补蜜罐盲区，及时发现大规模反射放大攻击；同时在权威 DNS 侧限制区域大小、响应包长度，能从源头降低被滥用风险。
原文: APNIC Blog（2022-04-28）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog