郝 帅，白翼铭，李致成，包正晶

(华北计算机系统工程研究所，北京102200)

0 引言

据CERNET 2014 年10 月的月报统计，其38 个主节点中有超过一半检测到来自国内次数超过2 200次、总流量超过16 TB 的NTP 反射放大攻击[1]；2016年10 月美国Dyn 公司的DNS 服务器遭受DNS 反射放大攻击与SYN 洪水攻击，导致美国大范围断网；2017 年11 月13 日到2017 年11 月15 日 期 间，ZoomEye 网络空间探测引擎探测到一个活动频繁的攻击——CLDAP DDoS 反射放大攻击，随后对DDoS反射放大攻击进行了第三轮的探测，发布出《DDoS反射放大攻击全球探测分析-第三版》；2018 年3月CCERT 公布Memcached 反射放大攻击流量占比有大幅增长[2]。

ZoomEye 的四次网络空间探测结果显示全球依旧存在着大量会被利用来反射放大的主机。例如全球2 千万台UDP 53 端口相关的主机，约18.1%存在着放大倍率，1 千万台UDP 161 端口相关的主机，约14.36%(167 万台)存在着放大倍率，其中放大倍数在10 倍以上的主机占存在放大倍率总数的36.84%，尤其值得注意的是我国所占主机量上升到了第二位[3]。

显然，成本较低、放大效果显著、追溯困难等特点使得反射放大型DDoS 备受不法分子青睐[4]。 为了提高网络中IP 资源的防御能力，本文将结合反射放大型DDoS 攻击原理对预防策略给出一个详细的分析。

1 反射放大型DDoS

反射放大型DDoS 利用的是网络中存在配置漏洞的设备或服务器，向其发送特定构造的请求数据包，将数据包的源IP 替换为受害者IP，使得服务端将应答数据包返回给受害者主机，从而消耗受害者的网络资源[5]，原理见图1。由于通过中间设备或服务器发送正常请求使其向受害者回包，因此更加难被追踪溯源。……