多波分布式拒绝服务（DDoS）攻击在本周扰乱了朝鲜的公共互联网服务，导致多个国家级网站下线。

打开网易新闻 查看精彩图片

据互联网分析机构肯蒂克（Kentik）的互联网分析总监道格·马多里（Doug Madory）观察，这次断网与来自越南、菲律宾、委内瑞拉等国的突发流量洪峰有关。流量从10月20日02:01（UTC）开始涌入，使朝鲜的网站无法访问。

受影响的网站超过40个，均使用朝鲜的.kp域名，其中包括外交部与朝鲜中央通讯社。访问不稳定状态持续了大约32小时。据韩国方面的报道，服务在10月21日当地时间晚7点左右恢复，此前经历了反复中断与短暂恢复。

马多里公开的分析结论指出，汇总流量数据显示的是多波次涌入的流量，而非一次持续不断的洪峰。这一时间特征帮助把网站故障与DDoS攻击联系了起来——这类攻击用海量流量压垮目标，让正常用户无法访问。

“这些流量全都在同一时间开始，而且来自越南和委内瑞拉。这毫无疑问是一次DDoS攻击。”马多里对路透社表示。相关报道由亚洲一网（AsiaOne）刊发。肯蒂克同时提醒，其分析只覆盖了涌向朝鲜的部分流量。

流量记录中出现的国家，并不能说明是谁下令发动了攻击。肯蒂克尚未确认责任方。被入侵的设备虽然可以从多个地点制造流量，但目前没有任何特定的僵尸网络被公开与这起事件关联。

马多里的伴随观察还记录到，175.45.176.0/24这一网段反复出现中断，该网段包含.kp域名的名称服务器。这些服务器负责把网站名称翻译成互联网地址，它们一旦失效，即使单个网站服务器仍在线，多个站点也可能无法访问。

他的路由观察还描述了朝鲜AS131279网络的变化：175.45.176.0/24网段从Cenbong转移到俄罗斯的TTK，175.45.178.0/24则先切换到TTK、随后又回到Cenbong，另外两个列出的网段则保持各自的原提供商。这些观察描述的是事件期间流量路径如何变化，并不能确定运营方是否为了减轻攻击影响而有意调整路由。

早期报道曾把电力问题或电信故障列为可能的解释。肯蒂克后来的发现补充了直接的流量证据，支持DDoS这一解释。

不过，现有报告并未指明攻击手法、峰值流量规模或所用工具。目前最有力的证据，是涌入流量峰值与服务故障在时间上的高度吻合。这起事件说明，排查断网事故时，除了检查网站本身，还需要流量测量数据；而攻击者的身份与行动的完整规模，仍未有答案。