防内网dos攻击

去年秋天，防内一家做在线教育的攻击公司被DoS了。不是防内那种动辄几百G的流量洪水，而是攻击一台内网服务器在午休时间突然开始疯狂向网关发送数据包。运维人员起初以为是防内硬件故障，重启了两次，攻击直到发现那台机器上的防内某个测试脚本被人改成了循环发包。攻击源就在办公楼三层，攻击某个员工的防内工位上。

内网DoS攻击跟外网那种“打死你”的攻击逻辑不一样。外网攻击是防内拿流量堵你家门口，内网攻击更像有人在你家客厅里往地板上泼水——你没法把整个房子锁起来，攻击因为自己人还得进出。防内防火墙通常朝外，攻击对内网的防内异常流量睁一只眼闭一只眼。交换机倒是能扛，但扛久了CPU一高，整栋楼的网络跟着抖。

常见的玩法有这么几种。一种是SYN Flood的变种，攻击者在内网找一台机器，伪造源IP往同网段的其他机器猛发SYN包。被攻击的机器回SYN-ACK，回给一个不存在的地址，连接队列很快塞满，正常请求进不来。这种攻击在外网早被防烂了，但在内网，很多交换机默认不做源IP校验，伪造包畅通无阻。

另一种更隐蔽——UDP反射放大。内网里总有那么几台DNS服务器或者NTP服务器，平时安安静静。攻击者控制一台内网机器，向这些服务器发小请求，请求里伪造受害者IP。服务器老老实实把大回应发到受害者那里。放大倍数不高，十几倍到几十倍，但内网带宽本来就有限，几台机器同时反射，千兆口瞬间打满。

还有一类是应用层的。某个员工写了个爬虫，没加限速，对着内网OA系统狂发请求。数据库连接池耗尽，其他人登录转圈。这算不算攻击？从行为上看是DoS，从动机上看可能只是蠢。但结果一样——服务不可用。

防内网DoS，第一件事是别把内网当信任区。零信任喊了这么多年，很多公司内网还是“进来就是自己人”。交换机端口隔离做不做？VLAN划分细不细？DHCP Snooping开不开？这些基础配置能挡掉一大半伪造源IP的攻击。我见过一个机房，所有服务器在同一个VLAN，广播域大得像菜市场，一台机器中毒全网遭殃。

第二件事是监控内网流量基线。正常办公时段，内网流量曲线应该像个缓坡，有起伏但不突兀。如果某台机器突然从几兆跳到几百兆，或者某个端口的包速率在凌晨三点飙升，这不需要AI算法，一个简单的阈值告警就能发现。问题在于，很多公司只监控外网出口，内网交换机端口流量压根没人看。

第三件事是限速和队列。给每台接入交换机端口设一个合理的广播风暴抑制阈值，给关键服务器做QoS，保证管理流量优先。别指望一劳永逸，但至少能让攻击发生时，运维人员还能通过SSH登上去处理，而不是连管理口都ping不通。

说个具体案例。某金融公司内网被DoS，攻击者利用的是打印机。对，打印机。那台打印机支持IPPS协议，有个漏洞能让它持续向指定IP发送状态查询包。攻击者从一台被控PC下发指令，打印机就开始对着核心数据库服务器狂发。流量不大，每秒几千包，但数据库服务器的网卡中断处理被占满，正常查询全部超时。最后怎么发现的？网管拔了打印机的网线，数据库立刻恢复。查了三天。

内网DoS的防御，本质上是对“内部人”行为的约束。技术手段能解决大部分，但剩下的得靠流程——谁能改交换机配置，谁能动服务器脚本，谁在半夜往内网传工具。权限收窄，日志留全，异常行为有人看。别等到全网卡死才翻监控，那时候连监控都打不开。

最后说一句，内网DoS不一定是恶意攻击。有时候就是某个开发把测试环境当生产用，写了个死循环。防住了恶意，还得防住手滑。