1. 引言 —— 一次源于直觉的调查 #

“最近感觉被拦截的攻击数量在减少。”

BASTION 投入生产运行约一个月后，我们在内部听到了这样的反馈。这究竟只是一种感觉，还是攻击数量确实出现了实质性下降？——带着这个问题分析攻击日志时，我们发现**2026年5月1日出现了一次异常激增**。

仅当天就发生了约4万次拦截——是日常水平的三倍。

然而，随着我们对数据的深入挖掘，浮现出的却是一个完全不同的故事。本文正是这场“真实调查记录”的记录。

2. 假设验证 —— “针对日本”理论被推翻 #

如果这真的是”针对日本黄金周的攻击”，那么理应能观察到来自邻国（中国、韩国、俄罗斯）的侦察活动增加。但数据显示的却恰恰相反。

邻国的占比反而下降了。取而代之增加的，是一群”来源不明的小型ASN”。仅凭这一点，”针对日本理论”就已被推翻。

此外，Web服务器层Agent所捕获到的事件数，在5月1日反而更低（432行，相比平日的570行）。这次激增的真实本质是L1/L4层的TCP端口扫描，而并非针对日本网站的攻击活动。

那么，**这些”来源不明的ASN”究竟是什么？**调查也由此进入了实质阶段。

3. 逐一识别”来源不明的ASN” #

我们仅使用了公开可获得的信息。具体而言：

• Team Cymru 的 whois 服务 —— ASN与组织的映射关系
• Spamhaus DROP / EDROP / ASNDROP 列表 —— 已知的机器人基础设施
• Tor Project 的出口节点列表 —— 匿名通信检测

仅凭这些，就能挖得相当深入，无需任何商业授权。

我们的调查对象是在5月1日激增中显得突出的41个ASN。它们揭示出了一个全球规模的机器人经济的结构。

4. 最大的发现 —— 头号嫌疑对象是 Namecheap #

在初步调查中，5月1日激增中排名靠前的攻击来源之一，是一个”来源不明”的ASN——**AS22612**。它单日就触发了1,152次事件。

在 Team Cymru 上查询后：

AS22612 | US | arin | 2011-06-21 | NAMECHEAP-NET - Namecheap, Inc., US

Namecheap —— 一家域名注册商兼VPS提供商，是一家世界知名的公司，但在安全圈内也因滥用响应迟缓而颇受攻击者”青睐”。

更有意思的是它的行为模式。AS22612在30天里仅出现了4天，而且仅5月1日一天，就占了其全部事件的99%（1,152/1,163）。这正是“为5月1日临时租用的一次性VPS”的典型行为特征。

5. 机器人基础设施的三层结构 #

随着调查的推进，我们发现参与5月1日激增的攻击来源可以清晰地分为三个层级。

5.1 第一层：一次性基础设施 —— “24小时内即消失的攻击基础设施” #

从全球各地的廉价VPS提供商处短期租用，仅在攻击当天运作后便消失无踪。我们识别出的提供商包括IOFLOOD（美国）、Biznet（印度尼西亚）、Layerstack（中国香港）、Rackforest（匈牙利）、Wolast（孟加拉国）、SKSA（马来西亚）——分布遍及全球。

尤其值得关注的是：AS208220（OFFERHOSTINC，塞舌尔）。该ASN的注册日期为2025年5月19日——就在5月1日攻击发生前的六个月。攻击者一直在持续补充其基础设施。

5.2 第二层：防弹主机商 —— Spamhaus正式认定的32家”机器人运营基础设施”提供商 #

这些是正式列入SpamhausASN-DROP列表（Spamhaus官方认定为”僵尸网络运营基础设施”的ASN列表）的提供商。

其中，参与5月1日激增的有：

• Aeza（俄罗斯）
• Stark Industries（摩尔多瓦）
• PROSPERO（俄罗斯）
• DMZHOST（塞舌尔）
• STORMINDUSTRIES（卢森堡）
• IP Volume Inc（荷兰）
• VPSVAULTHOST（英国）
• Serverion（荷兰）
• 其余24家

这些提供商采用无视滥用报告、向攻击者收取高额费用的商业模式运营。这类被称为防弹主机的业务，实际上是以合法灰色地带企业的形式在全球范围内运作。

地理分布（按国家统计的ASN数量）：英国6个、德国3个、中国香港3个、荷兰2个、乌克兰2个、摩尔多瓦2个、塞舌尔2个、保加利亚2个、罗马尼亚2个、美国2个、俄罗斯2个、立陶宛1个、卢森堡1个、新加坡1个、伊朗1个。**集中在法律管辖模糊的司法辖区。**

5.3 第三层：持续运作的大型云 —— 持续运营中的”背景噪声” #

Google Cloud、AWS、DigitalOcean、Linode、Vultr、Hetzner、OVH、Contabo——任何人都可使用的大型云服务商。这些在30天内每天都有活动记录，5月1日的活动量则增至数倍。

由于合法客户与攻击者共用同一基础设施，按ASN整体封禁并非可行选项。我们必须观察单个IP的行为模式，仅识别出恶意的VM实例。

6. Tor 使用率为 0% —— 经济理性胜过匿名性 #

本次调查中一个令人意外的发现，是Tor的使用率。

Tor exit node matches: 0 / 5,317 IPs (0.000%)

攻击者并未使用Tor之类的匿名化网络。原因显而易见：Tor速度慢、带宽受限，不适合用于机器人扫描。相反，“一次性VPS在经济上更为合理”——即便被追踪到，用完即弃、转移即可。

7. 行为模式分析 —— 持续性所揭示的”基础设施属性” #

基于30天的日志数据，我们分析了各个ASN是否在5月1日以外的日子也曾出现。

“用后即焚率”为53.7%。超过一半的ASN采用的是短期消耗模式运作。

持续活跃的19个ASN，大多来自Google Cloud / AWS / DigitalOcean / Vultr / Hetzner——这些都是合法客户与攻击者共存的大型云服务商。这意味着“仅区分出恶意实例”是必要的。

8. 对防御体系的启示 —— BASTION的设计决策被证明是正确的 #

本次调查显示，BASTION的若干设计决策，事后来看恰恰是正确的选择。

8.1 自动过期TTL与”一次性使用周期”相契合 #

BASTION有意实现了带有限TTL的自动封禁过期机制。最初这么设计的原因是”防止永久性误判被永久登记”，但事后来看，这恰好与攻击基础设施的典型生命周期相契合——是一项合理的设计决策。

8.2 必须依靠ASN级别的检测，而非单个IP封禁 #

一次性VPS每24小时就会更换IP，逐个追踪单个IP毫无意义。捕捉同一ASN内多个IP同时执行多样化扫描的行为模式，即便IP发生变化也能实现检测。BASTION正是通过群组关联检测以ASN级别分组的方式，实现了这一确切思路。

8.3 与Spamhaus ASN-DROP的整合 #

Spamhaus官方将410个ASN认定为防弹主机商。来自这些来源的流量可以被自动视为可疑流量。BASTION计划在后续更新中实现ASN-DROP列表的自动摄取，并提高灵敏度。

8.4 全天候自动防御的价值 #

由于攻击集中发生在SOC人员减少的时段，一套无需人工值守即可自动运作的防御体系是必不可少的。BASTION从一开始就是基于这一前提设计的。

9. 启示 —— 从一句”可能没什么”的调查中所看清的事实 #

一句不经意的内部反馈——”攻击拦截数量似乎在减少”——最终引发了一场调查，让全球规模机器人经济的结构变得清晰可见。

总结如下：

1. 5月1日的激增并非针对日本，而是全球机器人活动的一次高峰
2. 主要元凶是使用为期24小时租用的Namecheap VPS发起的一次性攻击
3. 全球各地的廉价VPS正被大规模消耗，充当攻击基础设施
4. 当天有32家Spamhaus认定的防弹主机商参与其中
5. Tor使用率为零，全部基于VPS——现代攻击者依据经济理性行事
6. BASTION的自动过期TTL、ASN级别检测、全天候自动防御，最终被证明是应对这种”一次性消费经济”的正确设计选择

回到最初的疑问：”拦截数量减少，是否意味着BASTION正在发挥作用？”——我们尚无法给出定论。30天的数据还太短。我们必须在其他长假期间（盂兰盆节、年末年初）持续进行同样的观察，以确认其可重复性。

不过，调查过程中获得的洞察，其价值已超过了最初问题本身的答案。

10. 未来方向 #

• 在盂兰盆节（8月13日至15日）及年末年初（12月29日至1月4日）期间确认可重复性——观察类似的激增是否也会出现在日本特有的长假期间
• 自动摄取Spamhaus的ASN-DROP列表——将其纳入BASTION的灵敏度判定体系
• “短期VPS攻击活动检测”的算法化——以机械化方式识别”在短时间内进行大量扫描的ASN”
• 与日历联动的自动灵敏度调整——在长假前后采用更严格的阈值

我们将依次推进这些方向。BASTION的进化仍在继续。