摘要

  • 安道尔政府称，2022 年 1 月 21 日 21:00 至 22:30、22 日 19:00 至 22:00，DDoS 攻击影响了安道尔电信部分用户的互联网和 4G 服务 [1]。
  • The Record 与 Tom's Hardware 把攻击时间同 SquidCraft 赛事联系起来，并描述了范围更广的全国性中断；这比政府所说的“部分用户”更宽，不能混写成官方结论 [2][3]。
  • 公开资料没有给出攻击向量、确认流量、饱和组件、缓解供应商、受影响用户数或完整恢复步骤。
  • RFC 4732 可用于评估上游过滤、监控、带外管理、冗余和过载韧性，但不能证明安道尔电信当时采用了哪一种手段 [5]。

事实边界比戏剧化叙事更重要

安道尔政府在 1 月 24 日发布的通知，是最稳妥的事件基线。它确认了多次 DDoS、两个时间窗口、互联网和 4G 受到影响，以及攻击意图干扰部分网络主播节目 [1]。通知并未声称所有居民同时断网，也没有公布技术测量。

The Record 报道攻击持续四天，指出网络身份为 AS6752，并称全国连接多次中断；其中“最高 100 Gbps”来自未具名消息源 [2]。Tom's Hardware 记录了多名居住在安道尔的参赛者同时掉线，并称全国有半小时以上几乎无法联网 [3]。这些报道可作为外部可见影响，但不是运营商遥测。

“部分用户”与“整个国家”之间的差异不能被悄悄抹平。它可能来自观察时段、固定与移动网络表现、区域差异、部分可达性，或媒体概括方式。缺少按服务和时间展开的探测数据，就应当把范围保留为未决问题。

集中度为何改变责任

公开法律页面把安道尔电信列为公共公司，并把它与国家电信基础设施和光纤普遍服务框架相连 [6]。当时报道则称其为该国唯一互联网提供者 [2][3]。这种结构本身不等于失职，但意味着共同故障点可能同时触及家庭宽带、移动数据、企业和公共机构。

固定光纤与 4G 看似是两张网络，却可能共享国际出口、清洗服务、身份系统、控制室、电力或供应商。多条线路也可能穿过同一物理走廊，或依赖同一条缓解策略。只有在演练中移除一个共同组件后，关键交易仍能完成，独立性才得到证明。

合理目标不是阻断任何想象得到的攻击。RFC 4732 指出，完全防御并不现实，网络还应能承受非恶意的突发过载 [5]。责任标准是提高攻击成本、缩小故障域、保住运维控制、可预测恢复，并留下能复核的证据。

防御链上的五个上限

第一是国际链路。如果攻击流量先塞满跨境连接，安道尔境内的设备即使丢弃每一个恶意包，也无法把已经占用的带宽还给正常用户。RFC 4732 因而强调尽可能在更靠近源头的位置过滤明显有害流量 [5]。这要求事先同上游运营商约定触发方法，并为清洗后的回流保留容量。

第二是缓解边缘。防火墙、CGNAT、移动网关或清洗设备都有包速率、状态、内存与 CPU 上限。只按 Gbps 采购会漏掉小包高 PPS 攻击。记录应同时展示比特、包、流、表占用、队列、丢包和正常业务成功率。

第三是路由范围。安道尔电信现行企业条款保留在必要时采取保护措施、包括 blackholing 的权利，以保护国家互联网网络或客户流量 [7]。黑洞路由会丢弃发往目标地址或前缀的全部流量；它可能保住其他服务，也必然让目标不可达。公开资料并未证明 2022 年使用过该手段。

任何黑洞或清洗导流都应绑定准确前缀、审批人、有效期、预期效果和 BGP 观察。范围过大会误伤无关服务，过期未撤销会把中断延长到攻击结束之后。命令成功返回不等于网络生效，必须证明互联网实际看到的路由和用户能完成的业务。

第四是管理平面。数据平面拥塞时，工程师仍需访问路由器、监控、认证和通信系统。RFC 4732 建议使用私有带外管理 [5]。若管理依赖受攻击路径，最需要操作时反而可能失去控制。

第五是恢复验证。攻击停止、过滤启用、路由出现和应用恢复是不同事件。内部仪表盘变绿不能代表用户交易成功。需要从多个外部网络分别探测 DNS、连接建立、代表性应用、固定宽带和移动数据。

注册记录不是运行结果

PeeringDB 当前把 AS6752 关联到安道尔电信，并列出公开互联信息 [4]。这对身份和联络有价值，但当前快照不能重建 2022 年 1 月的上游、容量、路由策略或缓解合同。

ASN 只是路由域身份，不保证每条路径有足够容量；链路清单表达计划，不证明物理多样性；清洗合同提供行动权限，不证明导流已经生效。可问责的证据必须把这些台账与实际运行网络连接起来。

完整链条应把服务前缀、上游、清洗路由、固定和移动依赖、每次操作以及外部探测放入同一时间线。如果清单说两条路径独立，而它们在同一事件中共同失效，应修正依赖记录，而不是修改对事故的定义。

结案包应包含什么

时间线从首个异常流量、首个用户症状、告警与分类开始，列出每次上游联系、过滤或路由动作、各服务恢复和控制失效时间。范围部分列出目标地址、前缀、链路、设备、地区、用户类别以及未受影响对象。

容量部分同时保留 bps、PPS、流数量、余量、CPU、内存、过滤计数、清洗状态和净流量回程。服务验证从外部检查光纤、移动、企业和重点公共服务，不能只看总流量。

最后进行负向复发测试：使用安全受控负载或仿真触发相同告警，启用范围受限的防御，证明非目标前缀仍可达，自动撤销控制，并核对所有事件。“增加容量”只有在这项测试显示新的余量与触发时延后，才是可验证改进。

来源

  1. https://www.govern.ad/ca/w/dos-atacs-de-denegacio-de-servei-afecten-de-nou-alguns-usuaris-d-andorra-telecom-1
  2. https://therecord.media/ddos-attacks-on-andorras-internet-linked-to-squid-game-minecraft-tournament
  3. https://www.tomshardware.com/news/minecraft-ddos-attack-leaves-small-european-country-without-internet
  4. https://www.peeringdb.com/api/net?asn=6752
  5. https://www.rfc-editor.org/rfc/rfc4732.html
  6. https://www.andorratelecom.ad/en/applicable-legislation/
  7. https://www.andorratelecom.ad/en/product-conditions/services-solutions-companies/