目标邻近源地址（DASA）伪造是一种新型的网络攻击或扫描技术，最近在Dataplane.org传感器网络中被观察到。这种攻击的特点是源IP地址被伪造为目标地址的邻近地址，大多数情况下，伪造的源地址与目标地址在同一个IPv4 /30或/31前缀中。同时，也观察到基于IPv6的DASA伪造扫描，邻近范围可达/48，涵盖目标地址。
DASA伪造扫描的特点
DASA伪造扫描通常以DNS递归查询的形式出现，大多数情况下是资源记录（RR）递归查询。这种扫描活动的目的是什么？是新的互联网测量技术，还是一种新型的攻击？或者只是一个配置错误的扫描器？这些问题的答案仍然不明确。观察到的DASA伪造扫描活动从2023年8月到2024年1月，扫描活动的数量相对较少，扫描似乎是按需进行的，没有规律性的扫描活动。查询域和主机名前缀也在整个活动过程中不一致。
DASA伪造扫描的分析
DASA伪造扫描活动的分析表明，这种攻击可能是为了映射网络基础设施。观察到的DNS消息类似于开放解析器测量项目的消息，主机名部分包含十六进制编码的目标地址和日期字符串。这种做法通常用于匹配响应查询的目标。同时，DASA伪造扫描活动也可能是为了收集网络智能（NETINT）数据。Dataplane.org传感器网络继续发布这些数据，因为即使是伪造的查询也可能是有价值的NETINT。
DASA伪造扫描的防御
对于运维和网络工程师来说，DASA伪造扫描活动的防御是一项挑战。需要采取措施来检测和防止这种类型的攻击，例如使用IP TTL-based origin triangulation技术来确定攻击的来源。同时，也需要注意到DASA伪造扫描活动可能是新的互联网测量技术，需要继续监测和分析这种活动，以更好地理解其目的和影响。通过了解DASA伪造扫描活动的特点和分析方法，可以更好地保护网络安全和防止这种类型的攻击。
原文: APNIC Blog（2024-04-19）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog