Big Pipes：用蜜罐端掉DDoS雇佣攻击网站的志愿者侦探

Big Pipes起源于2014年在匹兹堡举行的Slam Spam大会。当时还在德勤任职的安全研究员Allison Nixon向FBI探员Elliot Peterson提议开展合作，后者刚刚参与捣毁Game Over Zeus僵尸网络。他们的目标是“booter”或“stresser”服务——这类服务以订阅方式出售分布式拒绝服务攻击，通常约20美元即可发动多次攻击，让玩家和心怀怨恨者用垃圾流量淹没对手的网络连接。

随后成立的群组约有30名成员，通过Slack和每周电话会议联络，成员来自大型云服务商、游戏公司、学术界，还有几名FBI探员和检察官。群组名称取自一句玩笑话“big pipes start fights”（大管道惹事端）。Nixon和Clayton搭建了传感器网络——即加入黑客僵尸网络或伪装成反射服务器的蜜罐，用来记录攻击指令；业界成员贡献了多年亲身积累的受害方与防御方经验；志愿者则从攻击者自己发布的论坛帖子和广告网站中揭穿其真实身份。

这条流水线奏效了：2018年12月的一次收网行动逮捕了三名黑客，并使十余个booter服务下线；2022年12月的“Power Off行动”导致六人被捕，捣毁了至少49个DDoS雇佣攻击网站——这是同类行动中规模最大的一次；2023年5月，FBI宣布又捣毁了13个网络攻击雇佣服务——这三次行动均源自该群组内部。Clayton对幸存者的警告是：如果你这次没有被查封，你也许会得出结论，自己被调查的概率刚刚上升了——“你可能不想等着看会发生什么”。

将加入僵尸网络、伪装成反射服务器的蜜罐与最大的基础设施运营商结合起来，把攻击测量转化为起诉证据。

蜜罐颠覆了监控方式：研究人员身处僵尸网络和反射服务器内部，在攻击指令发出时将其记录下来。

成员构成本身就是机制——互联网最大管道的运营者同时也是booter的连带受害者，因此测量、动机和证据都汇聚在同一处。

将检察官和探员嵌入一个非正式群组，把从线索到合法收网的距离缩短为一条Slack消息。

非正式工作组可以比机构做得更好：让拥有传感器的志愿者和掌握数据的受害者与检察官建立直接渠道，案件流水线便会自行运转。

到2023年5月，Big Pipes在五年内已促成三次重大收网行动——2018年的逮捕、Power Off行动的六人被捕和49个网站被查封，以及当年5月宣布的捣毁13个服务的行动——该群组仍在追踪尚未下线的booter。行动似乎正在加速。