怀疑网络中遭受了UDP flood恶意攻击（大神们，都来证明自己的实力~）

[故障描述]：     最近网络中时常出现拥塞现象，故障初发时，PC端ping网关掉包严重，跨网段ping掉包较少；一段时间后故障严重，整个网段的PC端ping包几乎完全不通，长时间ping能偶有几个包能通。先前已经排除了网络中出现环路的可能性，PC上查看网关的ARP也没有被抢占。尝试更换过汇聚交换机和光纤模块，没有产生效果，因此排除了硬件设备上的可能性。查看汇聚交换机上的CPU利用率，发现利用率20%以下。登陆核心交换机（网关），发现CPU利用率达到99%，其中IP输出的进程占用了45%左右。此故障有临时的解决方法，shutdown然后no shutdown网关上的SVI接口，CPU利用率立即能降到正常水平，网络拥塞得以解决。一段时间后故障现象重现，出现频率没有规律，间隔在几天到几小时不等。通过抓包发现网络中大量ICMP报文，都是从核心访问某台PC方向的UDP报文，数量在每秒钟5W个包以上，都是单播。（抓包时没有做端口镜像，但在汇聚交换机上多个端口上抓包的情况一样。）在网上查询过相关信息，发现故障现象比较贴合UDP flood攻击（引用如下：“由于UDP协议是一种无连接的服务，在UDP FLOOD攻击中，攻击者可发送大量伪造源IP地址的小UDP包。但是，由于UDP协议是无连接性的，所以只要开了一个UDP的端口提供相关服务的话，那么就可针对相关的服务进行攻击。正常应用情况下，UDP包双向流量会基本相等，而且大小和内容都是随机的，变化很大。出现UDP Flood的情况下，针对同一目标IP的UDP包在一侧大量出现，并且内容和大小都比较固定。”）。
上抓包图:   

[疑问] :    1、为什么故障初期，网关掉包严重，而跨网关ping掉包不多？
                2、 重启网关SVI为啥能立即正常？
& Z6 @, Z4 m4 l; c* Q% N                3、为什么没有做端口镜像的情况下，多个端口抓包的结果相同（抓的包并不是广播包）？
                4、这到底是不是udp flood攻击呢？      
                5、访问方向为什么是核心2.254到2.3，核心被控制了么？

5 o" }1 o2 S  F( ^! G大神们，过来证明你们的实力吧，让我等屌丝膜拜一下。

谢谢楼主，受教了

真是 收益 匪浅

沙发！沙发!

沙发！沙发!

没看完~~~~~~ 先顶，好同志

这是什么东东啊

有道理。。。感谢攻城狮论坛

学习了，不错，讲的太有道理了