遇到大量来自陌生地址的报文，先别急着把这些地址当成攻击者的真实位置。攻击者伪造源地址时的流量分析思路，重点是判断报文是否能完成双向通信、流量是否具有反射特征，以及不同观测点看到的结果是否一致。源地址只能作为线索，不能单独证明发起者身份。
先看协议行为，而不是只看来源
源地址欺骗常见于无需先建立连接的 UDP 或 ICMP 流量。攻击者可把报文中的来源字段改成第三方地址；受害端收到响应时，回包就可能发往被冒用者。若流量集中指向单一服务端口、请求短小而响应较大，还要考虑反射放大，而非大量设备直接访问。
TCP 则有不同限制：连接通常需要完成握手。若抓包反复看到发往目标的 SYN，却看不到后续握手，可能是扫描、拥塞或伪造来源造成的半开连接；但丢包、路由不对称和采集位置也会导致同样现象，不能据此直接定性。
按顺序核实证据
- 明确观测范围。记录异常开始时间、目的地址与端口、协议、报文速率及受影响的链路或主机。区分边界设备、服务器本机和上游链路的观察结果。
- 采集短时样本。在获授权的接口上用 tcpdump 保存有限时长的报文，例如按协议和目标端口过滤；同时记下采集点、时区、过滤条件和丢包提示。高流量环境应优先使用流量镜像或 NetFlow、IPFIX 等流记录，避免抓包本身造成额外负担。
- 检查字段分布。用 Wireshark 或同类分析工具按协议、目的端口、包长和时间间隔分组。观察来源是否异常分散、报文长度是否高度集中、是否出现重复模式，以及返回流量能否与请求对应。
- 比较多个位置。将边界入口、服务器网卡及可获得的上游记录按时间对齐。若入口已出现流量而服务器未收到，问题可能在中间过滤或路由；若回包大量流向并未发起请求的地址，应重点核查源地址欺骗和反射行为。
- 验证并留证。检查本网络的路由、访问控制列表和入口过滤策略，并请上游核对其观测到的流量方向。保存原始样本、流量摘要、时间范围和处置变更，方便复核误报与后续调查。
用多项特征交叉判断
| 观察项 | 可能提示 | 注意事项 |
|---|---|---|
| 来源地址分散，目的端口集中 | 可能存在伪造来源的洪泛或反射流量 | 大型正常服务也可能有大量不同来源 |
| 请求与回包方向不匹配 | 可能是反射放大，或存在路由不对称 | 单个采集点看不到完整往返路径 |
| 同一来源反复发起 TCP SYN | 可能是扫描、半开连接或伪造来源 | 需结合握手完成率、丢包和服务器状态 |
反射放大的判断，应核对受害端收到的响应是否对应某类无连接请求，并比较请求与响应的大小和方向。常见反射协议包括 DNS、NTP 等，但看到相关端口并不等于已经确认攻击；协议配置、业务用途和完整报文内容都需要核实。
从缓解措施到结论边界
短期可依据目的服务采取限速、过滤或上游清洗，避免仅按来源地址封禁，因为伪造名单可能误伤无关用户。长期应在网络入口部署源地址验证，在本网络出口实施适当过滤，减少伪造报文进入外部网络的机会。处理前先确认规则范围，并观察正常业务是否受影响。
分析报告应分别写明已观测事实、支持的判断和仍不确定的部分。例如，可以说明“多个观测点显示大量 UDP 报文，回包指向未发起请求的地址”，但不应仅凭报文中的来源字段认定某个用户或组织是攻击者。可靠的攻击者伪造源地址时的流量分析思路，是把协议行为、路径证据和业务影响结合起来，结论保持在证据能够支持的范围内。
常见问题
看到陌生来源地址就能确认地址被伪造吗？
不能。来源陌生不等于伪造；需结合握手、请求与响应关系、多个采集点和网络路径判断。
只有服务器日志，能分析吗？
可以初步统计时间、协议和请求特征，但日志通常缺少完整报文与路径信息。应与边界流量记录交叉验证。
为什么不建议直接封锁全部异常来源？
来源可能被冒用，封锁会影响地址所有者；大量变化的来源也会让规则难以维护。优先按协议、目的服务和流量特征制定措施。
如何降低本网络被用于伪造流量的风险？
在入口验证来源是否符合路由，在出口限制不属于本网络的源地址，并定期检查相关过滤策略是否覆盖实际网络边界。