IP地址伪造在放大和反射攻击中经常被利用。尽管我们有通过严格的入口过滤来防止IP伪造的技术手段，如BCP38所述，但我们仍然每天都会收到关于基于伪造的攻击的报告。实际上，对伪造的过滤并不像看起来那么简单。从根本上说，BCP38部署不一致的原因在于激励机制。当部署严格的网络入口过滤时，一个网络将停止通过互联网传输潜在的恶意流量，但它不会从中获得任何直接的好处。不发送伪造的流量可能会使网络的对等方受益，但不会直接使部署过滤器的网络受益。为了了解这种场景如何在现实世界的互联网上体现，我们通过网络运营商组（NOG）邮件列表对网络运营商进行了一次调查。我们发现，超过70%的参与者遭受了与伪造相关的攻击，许多人积极参与伪造预防和缓解。尽管如此，只有20%的参与网络正在部署基于BCP38的过滤。这似乎有些矛盾，但当被问及为什么他们不部署严格的过滤时，大多数未过滤的自治系统（AS）持有人将害怕丢弃合法客户流量作为主要障碍。这个问题是可以理解的，特别是对于传输提供商，他们的主要任务是传输客户流量。为了可靠地完成这项工作，并且额外部署干净的网络安全过滤，网络工程师需要时间、技能和资金。许多参与的AS实际上表示他们更喜欢丢弃伪造的流量，但他们的管理层认为这个问题并不重要，不足以分配所需资源。
调查结果与分析
我们进行了研究，并在2017年IMC会议上展示了我们的研究结果。我们希望阐明三个不同的因素：在公共互联网上有多少AS部署了网络过滤？网络过滤是如何实现的？在野外实际看到的伪造流量是什么样的？为了对现实世界有更深入的了解，我们分析了2017年初一个大型欧洲互联网交换点（IXP）四周的流量。由于“伪造流量”一词对不同群体的人来说可能有非常不同的含义，我们依赖于最广泛的可用的定义：如果一个数据包的源IP地址与发起该数据包的主机的IP地址不匹配，则该数据包是伪造的。由于我们不能从远处判断源地址是否确实来自发起主机，我们使用了这种广泛的定义来分析数据。
MANRS项目
为了解决这个问题，MANRS项目试图通过为对BCP38部署感兴趣的AS提供易于访问的文档和信息来补救情况。通过这种方式，项目旨在帮助网络运营商更好地理解伪造问题的严重性，并鼓励他们采取必要的措施来保护他们的网络。
结尾：对于运维和网络工程师来说，理解IP地址伪造问题的本质和挑战至关重要。这不仅有助于他们评估自己的网络安全性，还可以指导他们采取适当的措施来减少伪造攻击的风险。通过遵循BCP38和其他最佳实践，网络工程师可以增强网络的安全性，并保护他们的客户免受恶意活动的侵害。
原文: APNIC Blog（2018-02-09）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog