如何识别和防范 IP 劫持攻击

发现路由异常，先把事实固定下来

先记录受影响的前缀、起源 ASN、发生时间、观测地点、业务症状，以及每条判断来自哪一份资料。网络和安全团队要先区分路由起源变化、应用故障、DNS 篡改、设备入侵和登记争议。

用多个路由观测点与自己的路由器、上游和服务日志交叉核对。确认遭到入侵的系统要按事件范围隔离，同时保全证据，避免为了“恢复”而删除关键记录。

能改变宣告的是相关运营商和上游；NRS Shield 可以帮助理解资源与治理风险，POA 则是关于代表权的独立决定，必须另行明确范围、期限、决定权和撤回方式。

路由控制为什么关系到业务

互联网业务依赖的不只是地址是否配置正确，还依赖其他网络是否按照预期把流量送到你的前缀。一次错误或恶意的起源宣告，可能造成连接中断、流量绕行、数据暴露和客户无法访问。

本文保留原始指南的完整路径：理解 IP 劫持、检测异常、预防风险、回应事件，再把技术经验沉淀为持续的安全能力。外部观测是线索，不能替代现场调查。

理解 IP 劫持

IP 劫持通常指未经授权的网络宣告使本应到达某个组织的流量被改道。BGP 是网络交换路由信息的协议；当网络接受了错误的起源或路径，流量可能被检查、修改、丢弃或送往错误的服务。

伪造起源、错误配置、受入侵的路由器和登记或账户问题可能产生相似症状。前缀看起来从陌生 ASN 宣告，只说明需要核查，不等于已经证明攻击者拥有或控制该地址段。

如何发现 IP 劫持

持续观察 BGP 宣告、起源 ASN、AS 路径和前缀变化。BGPStream、RIPE NCC 等资料可以帮助建立时间线；把它们与本方路由器、上游通知、traceroute、服务日志和账户活动放在一起看。

陌生路径、突然出现的更具体前缀、连接变慢、丢包、邮件退信或客户被送往异常地点，都值得调查。单一探针可能过时或反映正常拓扑变化，所以要比较多个地点和多个时间点。

如何降低被劫持的风险

在网络边界维护准确的前缀过滤和对等互联策略，只宣告应当由本方宣告的地址范围。对 ROA、RPKI 验证结果和告警设置负责人，定期检查授权是否仍对应真实部署。

RPKI 起源验证可以帮助网络识别与有效授权冲突的宣告，但效果取决于 ROA 的正确性以及接收网络是否执行验证结果。DNSSEC 验证 DNS 数据的真实性，它不能直接保护 BGP 路由；监测、过滤和安全运营也不能把风险降为零。

发生事件后怎样处置

立即通知可以改变路由的 ISP、上游和对等方，提供前缀、ASN、时间线和观测证据。你可以撤回自己控制的 BGP 会话中的宣告，但不能直接撤回另一个运营商已经发出的宣告。

保全路由观测、日志、配置、账户变更和服务影响记录。必要时协调负责登记的 RIR，并按事实和司法辖区考虑报案。恢复后继续监测，复盘过滤、ROA、账户保护和连续性方案。

结论

IP 劫持是严重的路由安全风险，但有效处置需要把观测、技术控制、运营商协作和证据管理连起来。没有一种工具可以单独保证前缀安全，也不能从一次异常观测直接推出攻击者身份。

把预防措施写入日常运营，把地址资源、授权链和上游联系人当作业务连续性资产管理，才能在异常出现时更快判断、协调和恢复。

原文与编辑说明

NRS 于 2025 年 4 月 18 日发布原文，并记录了 2025 年 11 月 4 日的修改。本文保留原文五个主题和结论，并对 BGP 撤回、RPKI、DNSSEC 及异常判断的边界作出日期明确的说明。参考资料分别对应路由安全、DNS 验证和技术观测，不能单独证明法律权利、攻击归属或恢复时间。

NRS 原文 · RIPE NCC：BGP 起源验证 · MANRS：路由安全 · BGPStream：路由数据 · RFC 4033：DNSSEC · RFC 4271：BGP-4

把一次路由事件变成长期治理能力

事件结束后复核资源登记、合同、授权、监测和连续性方案。先了解 NRS Shield 的支持边界；如果要在政策或选举中委托代表，请单独审阅 POA。阅读、求助或加入社群都不会自动产生授权。当前行动页显示正在处理的问题，已经结束的事项会留在存档中。

了解 NRS Shield · POA 与授权代表 · 当前行动