近日，我国国家顶级域名“.CN”的根域名系统遭遇大规模网络攻击，导致部分区域解析服务瘫痪数小时，直接影响数百万网站访问及线上服务稳定性。这一事件不仅暴露了互联网核心基础设施的脆弱性，更引发了关于责任归属、技术防御与行业协作的广泛讨论。本文将从技术漏洞、管理责任、法律框架及行业应对四个层面，系统分析此次事件的责任划分，并提出可操作的改进建议。
一、技术漏洞：DDoS攻击的防御短板
此次攻击被确认为分布式拒绝服务（DDoS）攻击，攻击者通过控制大量“僵尸网络”节点，向.CN根域名服务器发送海量伪造请求，导致服务器资源耗尽而瘫痪。从技术角度看，此次事件暴露了三大防御短板：
- 流量清洗能力不足
当前.CN根域名系统采用的流量清洗设备仅能处理每秒数百Gbps的攻击流量，而此次攻击峰值超过1Tbps，远超现有防御阈值。类似AWS的Anycast网络架构（通过全球分布式节点分散攻击流量）尚未在.CN系统中全面部署，导致单点压力过大。 - 协议层防御缺失
攻击者利用DNS协议的开放性（如ANY查询类型），通过发送大量非必要请求放大攻击效果。而.CN系统未启用RFC 8482标准推荐的“禁用ANY查询”策略，也未部署基于机器学习的异常流量识别系统，导致低效请求占据大量资源。 - 应急切换机制滞后
根域名服务器通常依赖多节点冗余设计，但此次攻击中，部分备用节点因IP地址暴露被同步攻击，暴露了节点隐藏策略的不足。对比Cloudflare的“隐藏主节点”技术（通过动态IP和流量伪装隐藏真实服务器），.CN系统的应急切换效率显著偏低。
改进建议：
- 升级流量清洗设备至Tbps级，并引入AI驱动的动态阈值调整；
- 全面禁用DNS ANY查询，强制使用AXFR/IXFR区域传输协议；
- 参考ICANN的“多标签根区”方案，分散攻击目标。
二、管理责任：多方协同的缺失
.CN根域名由国家互联网信息办公室（CAC）授权中国互联网络信息中心（CNNIC）运营，但此次事件暴露了管理链条中的责任模糊问题：
- 监测与预警机制滞后
CNNIC的实时流量监测系统未能提前识别攻击流量特征，导致从攻击发起（凌晨2:15）到服务中断（2:47）的32分钟窗口期内未启动熔断机制。对比美国Verisign对.COM根域名的监测，其可在5分钟内触发全球流量分流。 - 跨机构协作不足
攻击发生后，CNNIC与云服务商、ISP的应急联动延迟超过1小时，部分CDN节点仍持续向受攻服务器转发请求。而欧盟ENISA框架要求根域名运营商与CSIR（计算机安全事件响应小组）建立实时数据共享通道。 - 第三方服务依赖风险
.CN系统部分解析服务外包给商业DNS提供商，但合同中未明确安全责任条款，导致攻击溯源时出现数据权限争议。
改进建议：
- 建立国家级DNS安全运营中心（SOC），整合CNNIC、云服务商及安全厂商数据；
- 制定《根域名系统应急响应指南》，明确各方时限要求（如攻击识别≤10分钟、熔断启动≤15分钟）；
- 强制要求第三方服务商通过等保2.0三级认证，并购买网络安全责任险。
三、法律框架：追责与预防的双重挑战
我国《网络安全法》第21条明确要求网络运营者采取技术措施防范攻击，但针对根域名系统的专项法规仍存在空白：
- 攻击溯源困难
当前法律未强制要求ISP保留DNS查询日志超过60天，导致攻击路径溯源时关键数据缺失。而欧盟《网络与信息安全指令》（NIS2）要求基础服务运营商保留180天日志。 - 国际协作障碍
攻击源IP涉及多个国家，但我国与部分国家未签订《网络犯罪公约》，跨境取证需通过外交渠道，耗时长达数月。 - 惩罚力度不足
现行法律对DDoS攻击最高处10万元罚款，远低于攻击造成的经济损失（据估算，此次事件导致直接损失超2亿元）。
改进建议：
- 推动《关键信息基础设施安全保护条例》细化条款，明确根域名系统日志保留期限；
- 加入《布达佩斯网络犯罪公约》，建立24小时跨境应急响应机制；
- 参考美国《计算机欺诈和滥用法》，将大规模DDoS攻击纳入重罪范畴，罚款上限提升至损失额的3倍。
四、行业应对：从被动防御到主动免疫
此次事件后，行业需构建“技术-管理-法律”三位一体的防御体系：
- 技术层：推广DNSSEC签名验证，防止缓存投毒；部署基于SRv6的流量工程，实现攻击流量的智能引流。
- 管理层：建立根域名系统“白名单”机制，仅允许授权解析器发起查询；定期开展红蓝对抗演练，模拟Tbps级攻击场景。
- 法律层：推动《网络安全法》司法解释，明确根域名系统攻击的“情节特别严重”认定标准；建立网络安全损害赔偿基金，由攻击者承担修复成本。
结语：责任共担，筑牢数字根基
.CN根域名瘫痪事件无单一“罪魁祸首”，而是技术缺陷、管理漏洞与法律短板共同作用的结果。唯有通过升级防御技术、厘清管理责任、完善法律体系，才能构建真正 resilient（有弹性的）的互联网基础设施。对于开发者而言，需将DNS安全纳入系统设计默认选项；对于企业用户，应选择支持DNSSEC的解析服务，并定期演练业务连续性计划。数字时代的国家安全，始于每一行代码的安全编写。