21、北欧国家基于 UDP 的反射器网络扫描研究

北欧国家基于 UDP 的反射器网络扫描研究

1. 引言

拒绝服务（DoS）攻击对互联网关键基础设施的稳定性和弹性构成了严重威胁。分布式拒绝服务（DDoS）攻击事件的数量和影响预计每年都在稳步上升。其目标是用大量大尺寸数据包饱和目标带宽，并耗尽其计算资源。

分布式反射拒绝服务（DRDoS）攻击通常利用依赖传输层用户数据报协议（UDP）的应用层协议。UDP 无连接的特性便于攻击者伪造请求的源 IP 地址，第三方服务响应这些请求后将攻击流量重定向到目标。同时，这类攻击还利用应用层协议的放大特性，特定协议或请求类型能产生比请求大得多的响应，从而成倍增加攻击流量。

常见的可被利用的协议包括域名系统（DNS）、网络时间协议（NTP）等。成功实施 DRDoS 攻击的一个条件是这些服务必须公开运行，即接受并响应来自互联网上任何人的请求。然而，实际情况中这些服务往往没有按要求限制在内部用户使用。

本研究对简单服务发现协议（SSDP）、简单网络管理协议（SNMP）、受限应用协议（CoAP）和 Web 服务动态发现（WSD）这四种 UDP 协议的放大和反射能力进行了多国家、多协议的互联网测量研究。具体贡献如下：
- 对丹麦、芬兰、挪威和瑞典四个北欧国家的 IP 地址范围进行广泛的网络扫描和探测，以发现可从开放互联网访问的、运行上述四种协议之一且可能具有高放大因子的设备，这些设备可能在 DRDoS 攻击中充当反射器。
- 通过评估带宽放大因子（BAF）和数据包放大因子（PAF），评估这些设备对 DRDoS 攻击的潜在贡献。研究不同有效负载值触发的不同响应集及相应的放大因子。
- 分析反射器所在的自治系统（AS），并根据其连接的网络类型进行分类，以更清晰地