DNS 水刑攻击利用递归服务器向权威服务器发送大量随机 FQDN 请求，绕过缓存直达受害者。NETMODE 实验室在 ANRW'20 提出基于 Cuckoo Filter 的隐私感知区域交换方案，使递归端能在不获取明文区域内容的前提下过滤恶意流量。
攻击机制与传统防护困境
水刑攻击生成不重复的随机 FQDN，导致递归服务器缓存失效，所有请求转发至权威服务器。缓解最有效的位置是靠近攻击源头，这需要权威服务器的合法名称列表。但出于安全考虑，AXFR 传输通常受限，导致递归端无法获得有效名单进行过滤。原文未给出具体攻击流量规模或受影响域名数量。
基于 Cuckoo Filter 的隐私感知映射
方案引入 HashedDNSZones (HsZns) 与 IncrementalDNSZones (IncZns)。HsZns 将权威区域 FQDN 经哈希映射为 Cuckoo Filter 指纹，IncZns 记录近期变更支持增量更新。Cuckoo Filter 为二维数组，由桶数 m 与每桶条目数 b 定义，指纹长度 f 位可配。其无假阴性、可配置假阳性、支持删除操作，优于 Bloom Filter 适合大区域频繁更新。原文未给出具体假阳性率数值或桶参数推荐值。
兼容性与部署优势
方案复用标准 AXFR 与 IXFR 请求获取 HsZn 与 IncZn 内容，无需修改现有 DNS 基础设施。区域内容以紧凑指纹形式存储，递归端查找延迟低，交换带宽占用少。增量更新机制使大规模区域变更能快速同步，隐私属性确保第三方无法从指纹反推原始区域数据。原文未给出具体带宽节省比例或查找延迟基准测试数据。
该方案为运维提供可部署的缓解路径：在不开放区域传输的前提下，递归与清洗设备即可获得过滤依据，降低水刑攻击对权威服务器的冲击。
原文: APNIC Blog（2020-10-06）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog