开放解析器因接受任意来源的递归查询，易被利用发起 DNS 放大攻击。APNIC 观测显示印度存在 192,920 个开放解析器，其中 114,521 运行 dnsmasq；单个蜜罐在 86 天内收到 1.35 亿次针对 higi.com 的查询，证实此类设备正被大规模滥用。核心结论：必须限制递归访问权限、启用响应速率限制、在权威服务器禁用递归，并部署 BCP 38 入口过滤。
**印度开放解析器规模与构成：**
观测时点印度共有 192,920 个开放解析器开启递归功能。其中 114,521 台运行 dnsmasq，该软件广泛嵌入 CPE 固件，其余设备多为管理员误配置导致。这些设备分布于住宅与中小企业网络，因固件缺陷或默认配置未硬化，直接暴露在公网侧，成为现成的反射放大节点。
**蜜罐捕获的实战攻击数据：**
2023 年 1 月 15 日 15:01:17 至 4 月 10 日 01:28:31 期间，单个蜜罐记录 135,972,316 次针对 higi.com 的 DNS 查询，来源集中于巴西前五大 ASN。higi.com 权威服务器的 A 记录 TTL 为 600 秒，攻击者通过持续发送小体积查询触发大响应，意图耗尽权威服务器带宽。流量特征符合典型 DNS 放大攻击模式。
**企业级设备同样存在配置缺陷：**
Shreshta 威胁分析师发现，除 CPE 设备外，企业级递归解析器甚至某全球连锁咖啡品牌的 DNS 服务器也在作为开放解析器运行。这表明配置审计缺失不限于消费级设备，拥有专业运维团队的组织同样存在权限控制疏漏，攻击面随之延伸至核心基础设施。
**四项强制性加固措施与 KINDNS 框架：**
最佳实践要求：1) 递归解析器仅允许授权 IP 网段访问；2) 部署响应速率限制（RRL）抑制异常查询；3) 权威服务器显式禁用递归功能；4) 网络运营商在边界实施 BCP 38 入口过滤，阻断伪造源地址报文。ICANN 支持的 KINDNS（Knowledge-Sharing and Instantiating Norms for DNS and Naming Security）提供标准化操作清单，建议纳入变更管理与合规审计流程。
对运维团队而言，排查开放解析器不再是可选项。立即在防火墙层面封堵非授权网段的 UDP 53 端口，在权威服务器配置 recursion no，并在边界路由器落地 BCP 38，可直接切断放大攻击的反射路径。KINDNS 提供的标准化清单可作为合规审计基线，建议纳入变更管理流程。
原文: APNIC Blog（2023-05-17）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog