1. 前言 — 從直覺出發的調查 #

「最近感覺被封鎖的攻擊數量好像變少了。」

BASTION 正式上線運作約一個月時，我們內部聽到了這樣的評論。這究竟只是感覺，還是攻擊數量真的下降了？——我們抱著這樣的疑問分析攻擊日誌時，發現 **2026 年 5 月 1 日出現了異常的暴增**。

單日約發生 4 萬次封鎖——是平常單日流量的三倍。

然而，隨著我們深入挖掘資料，浮現出的卻是完全不同的故事。本文正是這場「真實調查紀錄」的記錄。

2. 驗證假設 — 「針對日本論」遭到推翻 #

如果這真是「針對日本黃金週的攻擊」，理應會看到來自鄰近國家（中國、韓國、俄羅斯）的偵察活動增加。但資料顯示的卻是相反的結果。

鄰近國家的比例反而下降了。取而代之增加的，是一群「來源不明的小型 ASN」。光憑這一點，就足以推翻「針對日本論」。

此外，網頁伺服器層級 Agent 所捕捉到的事件，5 月 1 日反而較少（432 筆，相對於平常日的 570 筆）。這波暴增的真面目其實是 L1/L4 的 TCP 連接埠掃描，而不是針對日本網站的攻擊行動。

那麼，**這些「來源不明的 ASN」到底是什麼？**調查也從這裡進入了正式階段。

3. 逐一鎖定「來源不明的 ASN」 #

我們僅使用公開資訊進行調查。具體來說：

• Team Cymru 的 whois 服務——ASN 對應組織名稱
• Spamhaus 的 DROP／EDROP／ASNDROP 清單——已知的殭屍網路基礎設施
• Tor Project 的 Exit Node 清單——用於偵測匿名化通訊

光靠這些資源，就能挖得相當深入。完全不需要商用授權。

我們的調查對象，是在 5 月 1 日暴增中特別顯眼的 41 個 ASN。這些 ASN 揭露出一個全球規模的機器人經濟結構。

4. 最大的發現 — 頭號嫌疑犯是 Namecheap #

初步調查中，5 月 1 日暴增期間名列前茅的攻擊來源之一，是「來源不明」的 **AS22612**。它單日就觸發了 1,152 起事件。

當我們透過 Team Cymru 查詢時：

AS22612 | US | arin | 2011-06-21 | NAMECHEAP-NET - Namecheap, Inc., US

Namecheap——一家網域註冊商兼 VPS 供應商。這是一家舉世聞名的公司，但在資安圈中，它也因為濫用回應速度緩慢而聞名，因此深受攻擊者青睞。

更有趣的是它的行為模式。AS22612 在 30 天中僅出現 4 天，而且光是 5 月 1 日一天，就佔了它全部事件的 99%（1,152／1,163）。這正是「專為 5 月 1 日租用的用完即丟型 VPS」的典型行為模式。

5. 殭屍網路基礎設施的三層結構 #

隨著調查推進，我們發現參與 5 月 1 日暴增的攻擊來源分成了三個截然不同的層級。

5.1 第一層：用完即丟型基礎設施——「24 小時內就消失的攻擊基礎設施」 #

從全球各地的廉價 VPS 供應商短期租用，僅在攻擊當天運作後便消失無蹤。我們鎖定的供應商包括 IOFLOOD（美國）、Biznet（印尼）、Layerstack（香港）、Rackforest（匈牙利）、Wolast（孟加拉）、SKSA（馬來西亞）——分佈於全球各地。

特別有意思的是 AS208220（OFFERHOSTINC，塞席爾）。ASN 註冊日期為 2025 年 5 月 19 日——距離 5 月 1 日的攻擊僅僅六個月前。攻擊者持續不斷地補充自己的基礎設施。

5.2 第二層：防彈主機商——32 家由 Spamhaus 正式列名的「殭屍網路運作基礎設施」供應商 #

這些是正式登錄在 Spamhaus ASN-DROP 清單（Spamhaus 官方列出的、被判定為「殭屍網路運作基礎設施」的 ASN 清單）上的供應商。

其中在 5 月 1 日暴增中出現的有：

• Aeza（俄羅斯）
• Stark Industries（摩爾多瓦）
• PROSPERO（俄羅斯）
• DMZHOST（塞席爾）
• STORMINDUSTRIES（盧森堡）
• IP Volume Inc（荷蘭）
• VPSVAULTHOST（英國）
• Serverion（荷蘭）
• 其他 24 家

這些供應商的商業模式是無視濫用檢舉、並向攻擊者收取高額費用。這種被稱為防彈主機的服務，實際上是以全球規模運作的合法灰色地帶事業。

地理分佈（依國家統計的 ASN 數量）：英國 6、德國 3、香港 3、荷蘭 2、烏克蘭 2、摩爾多瓦 2、塞席爾 2、保加利亞 2、羅馬尼亞 2、美國 2、俄羅斯 2、立陶宛 1、盧森堡 1、新加坡 1、伊朗 1。**集中在法律管轄權模糊的地區。**

5.3 第三層：持續運作的主流雲端——持續運作中的「背景雜訊」 #

Google Cloud、AWS、DigitalOcean、Linode、Vultr、Hetzner、OVH、Contabo——任何人都能使用的主流雲端供應商。這些供應商在 30 天內每天都有活動紀錄，5 月 1 日的活動量則呈倍數增加。

由於合法客戶與攻擊者共用相同的基礎設施，因此無法採用 ASN 層級的封鎖。我們必須觀察個別 IP 的行為模式，只鎖定惡意的虛擬機器實例。

6. Tor 使用率為 0% — 經濟合理性凌駕於匿名性之上 #

本次調查中一項令人意外的發現，是 Tor 的使用率。

Tor exit node matches: 0 / 5,317 IPs (0.000%)

攻擊者並未使用如 Tor 這類匿名化網路。原因很明顯：Tor 速度慢、頻寬有限，並不適合用於機器人掃描。相反地，「用完即丟的 VPS 在經濟上更為合理」——即使被追蹤到，也只需用完即丟、另起爐灶。

7. 行為模式分析 — 持續性所揭示的「基礎設施本質」 #

我們利用 30 天份的日誌，分析了每個 ASN 是否也在 5 月 1 日以外的日子出現。

「消耗率」為53.7%。過半數的 ASN 是以短期消耗型模式運作。

19 個持續活躍的 ASN 大多為 Google Cloud／AWS／DigitalOcean／Vultr／Hetzner，這些大型雲端供應商都是合法客戶與攻擊者共存的環境。這意味著「僅鎖定惡意實例」是必要之舉。

8. 對防禦的啟示 — BASTION 的設計判斷得到印證 #

本次調查揭示，BASTION 的多項設計判斷，如今回頭來看都是正確的選擇。

8.1 自動到期 TTL 與「用完即丟週期」不謀而合 #

BASTION 刻意將封鎖設計為具有有限 TTL、會自動到期。這項決策最初是為了「避免永久誤判註冊」，但事後回頭看，這正好與攻擊基礎設施的典型壽命相符——是相當合理的設計判斷。

8.2 不應只封鎖個別 IP，ASN 層級的偵測不可或缺 #

用完即丟型 VPS 每 24 小時就會更換 IP。追逐個別 IP 是徒勞無功的。捕捉同一 ASN 內多個 IP 同時進行多樣化掃描的行為模式，即使 IP 改變也能偵測得到。BASTION 正是透過群組相關性偵測，以 ASN 層級的群組化方式實作這一套做法。

8.3 與 Spamhaus ASN-DROP 的整合 #

Spamhaus 正式認定了 410 個 ASN 為防彈主機商。來自這些來源的流量可以自動視為可疑流量。BASTION 計畫在未來的更新中，實作 ASN-DROP 清單的自動擷取，並提高敏感度。

8.4 全天候自動防禦的價值 #

由於攻擊集中發生在SOC 人員縮減的時段，一套即使沒有人員值守也能自動運作的防禦系統至關重要。BASTION 從一開始就是以此為前提設計的。

9. 收穫 — 從一句「大概沒什麼」的調查中看見的事 #

一句隨口的內部評論——「攻擊封鎖數量好像變少了」——最終演變成一場揭露全球規模機器人經濟結構的調查。

整理一下這次的發現：

1. 5 月 1 日的暴增並非針對日本，而是全球機器人活動的激增
2. 主要禍首是租用 Namecheap VPS 24 小時的用完即丟型攻擊
3. 全球廉價 VPS 正被大量消耗，成為攻擊基礎設施
4. 當天有 32 家 Spamhaus 認定的防彈主機商參與其中
5. Tor 使用率為零，全為 VPS 型攻擊——現代攻擊者依經濟合理性行動
6. BASTION 的自動到期 TTL、ASN 層級偵測與全天候自動防禦，最終都證明是針對這種「用完即丟型經濟」的正確設計選擇

回到最初的疑問：「封鎖數量減少是否代表 BASTION 正在發揮作用？」——我們目前還無法給出定論。30 天的資料量還太少。我們必須持續在其他長假期間（盂蘭盆節、年末年初）進行相同的觀察，確認是否具有可重現性。

然而，調查過程中獲得的洞察，其價值已經超越了最初問題的答案本身。

10. 未來方向 #

• 在盂蘭盆節（8 月 13～15 日）與年末年初（12 月 29 日～1 月 4 日）期間確認可重現性——是否會在日本特有的假期出現類似的暴增
• 自動擷取 Spamhaus 的 ASN-DROP 清單——整合進 BASTION 的敏感度判定
• 「短期 VPS 行動偵測」的演算法化——以機制化方式鎖定「短期內進行大量掃描的 ASN」
• 與日曆連動的自動敏感度調整——在假期前後採用更嚴格的門檻值

我們將依序著手處理這些課題。BASTION 的演進仍將持續下去。