IP欺骗攻击是指利用IP协议中的漏洞，在网络攻击中伪造数据包的源IP地址，以此来掩盖攻击者的身份和位置，或者放大攻击效果。这种攻击方式在分布式拒绝服务（DDoS）攻击中特别普遍，因为它可以提高攻击的匿名性并放大攻击强度，从而使得防御变得更加困难。DDoS攻击长期以来一直是互联网服务提供商(ISPs)面临的首要运营威胁之一。
传统的DDoS攻击通常涉及“暴力”带宽攻击，其中攻击者控制的代理（也称为僵尸网络）向受害者网络的上行链路发送大量看似合法的流量，以此淹没受害者的网络。由于受害者无法单独处理大量的流量，上游提供商必须帮助阻止流量，通常是通过将代理的源地址列入黑名单来实现的。而IP欺骗的存在使得攻击流量更难过滤，因为数据包的源地址是伪造的，这增加了追踪和阻断攻击流量的难度。
为了对抗这种欺骗攻击，需要不同自治系统（ASes）之间的协作。现有的方法往往在协作方面缺乏灵活性，或者在AS之间的环境中需要集中控制。本文提出的DISCS（分布式协作系统），旨在提供一个跨AS环境的欺骗防御系统，它允许ASes以分布式的方式灵活协作进行欺骗防御。该系统由每个能够执行四个防御功能的AS实现。当一个AS成为欺骗攻击的目标时，它可以通过请求其他AS执行最适合的防御功能来获得帮助。文章中提出了控制计划的设计，这种设计是分布式的和灵活的，以及数据计划的设计，这种设计具有向后兼容性和增量可部署性，适用于IPv4和IPv6。
文章还说明了在攻击流量中，即使识别出了代理，由于源地址是伪造的，所以代理的真实IP地址仍然是未知的。这使得攻击流量的追踪和过滤变得复杂。而分布式协作的难点在于各个自治系统之间的信任建立和信息共享。
通过理论证明和使用真实互联网数据的模拟，对DISCS系统进行了评估。结果表明，DISCS具有强烈的部署动机、高效的防御效果、最低的误报率、适度的资源消耗以及强大的安全性。
文章的引言部分还提到了分布式计算的一个重要问题，那就是需要一个能够同步多个网络节点的系统，以便它们可以协同工作，共同对抗恶意流量。这种系统需要处理的不仅是数据包，还要处理各种各样的网络事件和流量模式。这个挑战涉及到了网络协议、数据处理、系统架构和安全策略的多个方面。
在实施跨AS环境的防御系统时，还需要考虑不同AS之间的信任关系建立、防御策略的协商和实施机制、以及参与防御的AS的激励机制等问题。文章提出了一个增量部署的设计，这意味着系统可以从较小规模开始部署，并且随着其他AS加入而逐步扩大规模，这样可以降低大规模部署的初始成本和风险。
跨AS的分布式协作防御系统（DISCS）提供了一个创新的方法来对抗利用IP欺骗技术的DDoS攻击。通过分布式的架构和灵活的协作机制，该系统旨在减轻单个AS面对的防御负担，从而提升整个互联网的安全性和防御能力。
