AWS EC2部署Web应用后Route53全球低频次UDP流量成因咨询

这类低频次、来源覆盖全球的Route53查询流量属于公网正常背景流量，既不是AWS平台内部机制触发的行为，也不属于定向网络攻击，完全不需要过度紧张。

• 首先排除AWS平台机制流量：AWS Route53自身的健康检查、平台侧探测流量来源均为AWS官方公示的自有服务IP段，标识清晰、来源固定，不会散落在全球各地随机公网IP段。你提供的日志里查询类型为常规A记录、响应码为NOERROR、传输协议为标准UDP，没有任何异常字段，不符合平台内部流量特征。
• 这类散点低频次流量是公网域名的普遍现象：只要域名的NS记录生效进入公网DNS递归体系，哪怕没有对外公布过域名地址，也会持续收到各类常规公网探测请求，来源包括全球公共DNS节点的缓存刷新、互联网测绘平台的常规全网域名扫描、搜索引擎爬虫的DNS预解析、网络安全研究机构的公网资产普查等。这类流量的典型特征就是来源覆盖全球多个位置、请求频率极低（你提到的每小时最高80次完全符合该特征）、请求类型均为常规A/AAAA等基础记录查询，不会出现DNS攻击常见的短时间流量飙升、异常查询类型、畸形请求报文等特征。
• 我个人运维的十余个托管在Route53的域名，包括仅内部使用的测试域名，从上线开始就一直存在这类流量，稳定运行多年没有产生过安全问题。

• 核对日志中resolverIp的归属：这类请求的解析器IP基本都属于公共DNS节点、科研机构、正规云厂商的扫描节点IP段，不会是僵尸网络常用的住宅IP段。
• 观察流量趋势：如果是DNS层DDoS攻击或者DNS隧道渗透，请求量会在极短时间内飙升到每秒数千甚至数万次，同时会伴随大量TXT类型异常查询、超长queryName等特征，不会长期稳定在每小时几十次的水平。
• 可以交叉比对负载均衡、EC2实例的七层访问日志：这类DNS查询大部分不会后续跟进HTTP/HTTPS业务请求，就算后续有访问也都是常规爬虫探测报文，不会对业务产生实质影响。

附提问中提供的Route53日志示例：

2022-06-13T09:37:24.000-04:00
1.0 2022-06-13T13:37:24Z xxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxx A NOERROR UDP DFW55-C3 184.188.69.13 -
Field   Value
@ingestionTime  
1655127481041
@log    
xxxxxxxxxxxxx:route53/logs.com
@logStream  
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
@message    
1.0 2022-06-13T13:37:24Z xxxxxxxxxxxxxx xxxxxxxxxxxxx A NOERROR UDP DFW55-C3 184.188.69.13 -
@timestamp  
1655127444000
edgeLocation    
DFW55-C3
hostZoneId  
xxxxxxxxxxxxxxxxxxxxxxxx
protocol    
UDP
queryName   
xxxxxxxxxxxxxxxxxxxxxxxx
queryTimestamp  
2022-06-13T13:37:24Z
queryType   
A
resolverIp  
184.188.69.13
responseCode    
NOERROR
version 
1.0

内容的提问来源于stack exchange，提问作者Tarek Sahalia