تسريب مسارات Indosat 2014 وضوابط تصدير جدول التوجيه الكامل

ملخص

حدود الحدث ضيقة:يغطي هذا المقال سوء الإعلان الجماعي من AS4761 الذي رُصد في 2 أبريل 2014 من حوالي الساعة 18:26 إلى 21:15 بالتوقيت العالمي المنسق. ويستبعد حدث Indosat المنفصل في عام 2011، وشذوذات AS4761 اللاحقة، وحوادث التوجيه الإندونيسية غير ذات الصلة.
الرقم الرئيسي يحتاج إلى جهة رصد:أبلغت BGPMon عن 417,038 أصلًا جديدًا، بينما وصفت RIPE NCC أكثر من 400,000 بادئة متأثرة. تثبت هذه القياسات حجمًا استثنائيًا من جهات رصد محددة، ولا تثبت أن كل شبكة ثبتت كل مسار أو مررت حركة المرور عبر Indosat.
السبب الجذري يبقى منسوبًا:وصفت الحسابات المعاصرة مشكلة تشغيلية وتقارير متكررة عن نافذة صيانة فاشلة أو مزود علوي غير مُرشَّح. السجل الكامل لتكوين Indosat وسجل التغيير وحالة توليد السياسة وتقرير الحادث الداخلي ليست متاحة للعموم.
المسؤولية تتبع التحكم في التوجيه:سيطرت Indosat على ما يعلنه ويصدره AS4761. وسيطر الجيران المباشرون على مرشحات البادئات والأصول والعلاقات والحد الأقصى للبادئات. وسيطرت الأنظمة المستقلة الأخرى على القبول والتفضيل والتصدير اللاحق والمراقبة والتصعيد.
السجلات تسجل السلطة؛ والموجهات تفرض قابلية الوصول:تحدد سجلات أرقام الأنظمة المستقلة وموارد الأرقام حامليها والأصول المتوقعة. تحتفظ RIS وRouteViews وغيرهما من المجمعات بحالات تشغيل مختارة. لا يحجب أي إدخال في السجل ولا أي مجمع إعلانًا تلقائيًا.
تفويض الأصل وسياسة المسار أمران مختلفان:يمكن للتحقق من صحة أصل المسار رفض أصل يتعارض مع ROA صالح، حيث توجد السجلات والتحقق ذات الصلة. لكنه لا يثبت بذاته أن مسار العلاقة أو حجم المسار مناسب.
التعافي ليس بيان تكوين محلي:يتضمن الإغلاق الموثوق سحب المسارات، وعودة الأصول البديلة، والتقارب عند عدة جهات رصد مستقلة، والاستثناءات المتبقية، والسياسات المعدلة، وسلوك الحد الأقصى للبادئات المختبر، وأدلة إعادة تشغيل تُظهر أن فئة الفشل نفسها أصبحت محتواة.
معيار المساءلة هو الاحتواء القابل لإعادة الإنتاج:يجب أن يتمكن المشغلون من إظهار مجموعة المسارات المصرح بها، والسياسة المولدة والقيد التشغيل، والفارق غير الطبيعي، وأول فرصة للاحتواء، والجدول الزمني للإجراء، واختبار تكرار مستقل.

جمّد الحادث قبل تفسيره

إن أول قواعد المساءلة في التوجيه هي تحديد الحدث الذي يجري فحصه بدقة. في 2 أبريل 2014، أفاد مراقبو BGP العموميون بأن AS4761، المرتبط بشركة Indosat، بدأ يعلن عن عدد استثنائي من البادئات التي عادةً ما تعلنها أنظمة مستقلة أخرى. أحصت BGPMon عدد 417,038 بادئة جديدة ووضعت الفترة المرئية بين الساعة 18:26 و21:15 بالتوقيت العالمي المنسق تقريبًا. ووصف تحليل RIPE NCC أكثر من 400,000 بادئة متأثرة واستخدم بيانات خدمة معلومات التوجيه لدى RIPE وتصورات RIPEstat لإعادة بناء أمثلة على الانتشار وقابلية الوصول. [1][2]

تلك الملاحظات كافية لإثبات حدوث حدث توجيه رئيسي بين النطاقات، لكنها ليست كافية لإثبات كل ادعاء قد يُربط به.

لا يخلط هذا المقال حدث أبريل 2014 مع حدث توجيه سابق لشركة Indosat في عام 2011، ولا يُضمّن شذوذات لاحقة لـ AS4761 أو حوادث أخرى تتعلق بشبكات إندونيسية، ولا يستنتج وجود عيب تشغيلي مستمر من أحداث تفصل بينها سنوات. قد يصنع مثل هذا التجميع سردية أكبر، لكنه سيضعف الأدلة اللازمة لإسناد التحكم وقياس التصحيح واختبار التكرار.

يبدأ الحدث المحدود بأول أصول غير طبيعية لـ AS4761 رصدتها أجهزة المراقبة المذكورة حوالي الساعة 18:26 بالتوقيت العالمي المنسق. ويشمل انتشارها عبر شبكات مختارة، وتغيرات قابلية الوصول المرئية من جهات رصد معينة، والكشف والتواصل مع المشغلين، وسحب الأصول غير الطبيعية، والعودة نحو حالة المسار المتوقعة. وينتهي بآخر الملاحظات ذات الصلة حوالي الساعة 21:15 بالتوقيت العالمي المنسق، مع الإقرار بأن المجمعات المختلفة قد ترى أوقات بدء وانتهاء مختلفة.

يحد هذا الإطار أيضًا من ادعاء السبب الجذري. وصفت BGPMon الحجم بأنه متسق مع مشكلة تشغيلية وأشارت إلى تقارير عن نافذة صيانة فاشلة، فيما أشارت مناقشات المشغلين إلى مزود علوي غير مُرشَّح. [2][3] تلك أوصاف معاصرة، وليست سجلًا جنائيًا منشورًا للأمر الدقيق أو آلية إعادة توزيع المسارات أو حالة مُجمِّع السياسات أو قرار الموافقة أو سلوك الجهاز الذي أنشأ الإعلانات.

لذلك يبدأ التحليل المسؤول بما كشفته الشبكة قيد التشغيل: ظهر AS4761 كأصل لمئات الآلاف من البادئات؛ وكانت الأصول غير الطبيعية مرئية خارج الشبكة المصدر؛ وتغيرت بعض المسارات وقابلية الوصول؛ وسُحبت الأصول لاحقًا. ويعامل النية والسبب الداخلي والمعالجة الكاملة على أنها مجهولة ما لم تدعمها أدلة إضافية.

هذا التمييز ليس حذرًا لذاته، بل يخلق مشكلة قابلة للإصلاح. فادعاء مثل «خطأ صيانة تسبب في اختطاف عالمي» أوسع من أن يُختبر. أما ادعاء مثل «صدّر AS4761 مجموعة مسارات تتجاوز جذريًا أصوله المصرح بها المتوقعة، وقبل الجيران المباشرون ما يكفي من تلك المجموعة لنشرها، ولا تُظهر الأدلة العمومية المجموعة الكاملة من الضوابط التي منعت التكرار لاحقًا» فيحدد الحدود المرئية والسجلات الناقصة.

عدد المسارات قياس، وليس خريطة لكل قرار توجيه

يحتل الرقم 417,038 مركزية في السجل العمومي لأنه ينقل الحجم الاستثنائي للحدث. لكنه يجب أن يبقى مرتبطًا بمصدره ومنهجيته. أبلغت BGPMon عن هذا العدد بوصفه أصولًا جديدة مرتبطة بـ AS4761. واستخدمت RIPE NCC الصيغة الأوسع «أكثر من 400,000 بادئة متأثرة». [1][2] الرقمان متقاربان بما يكفي لتأكيد شذوذ بمقياس جدول توجيه كامل، لكن لا ينبغي تقديم أي منهما كعدّ شامل ثبّته كل نظام مستقل.

BGP بروتوكول تحكم موزع. يستقبل مجمع المسارات تحديثات مختارة من النظراء المشاركين، ويعكس سجله المسارات التي اختارها هؤلاء النظراء لتصديرها إلى المجمع، وفي أي وقت، ووفق سياساتهم الخاصة. ويمكن لمجمع آخر بنظراء مختلفين أن يرى مجموعة فرعية مختلفة، وطابعًا زمنيًا أول مختلفًا، وتسلسل سحب مختلفًا.

كثيرًا ما تُدمج كميات متعددة في تقارير الحوادث:

عدد البادئات الفريدة التي رُصد لها أصل غير طبيعي؛
عدد رسائل تحديث BGP؛
عدد متغيرات المسار؛
عدد المجمعات أو النظراء الذين رأوا تحديثًا؛
عدد الشبكات التي اختارت المسار غير الطبيعي كأفضل مسار؛
عدد جداول التوجيه التي ثبّتته؛
حجم حركة المرور المنقولة عبر تلك المسارات؛ و
عدد المستخدمين الذين عانوا من فقدان أو تأخير أو تحويل أو لم يظهر عليهم أي أثر.

هذه الكميات ليست قابلة للتبادل. فالبادئة الواحدة قد تولد تحديثات كثيرة، والمجمع قد يرى مسارًا لم يستخدمه نظيره لكل حركة المرور، والشبكة قد تقبل مسارًا في قاعدة معلومات التوجيه دون اختياره، والمسار المختار قد يؤثر فقط على حركة المرور من مصادر معينة لأن مسارات الإنترنت غير متماثلة ومحددة بالسياسات، وقد تبقى الخدمة قابلة للوصول عبر مسار بديل بينما تفقد شبكة أخرى الوصول.

ومع ذلك يدعم العدد استنتاجًا قويًا بشأن الضوابط. كان AS4761 مرتبطًا عادةً بمجموعة مسارات صغيرة نسبيًا مقارنة بالجدول العالمي. وأي زيادة ملحوظة إلى أكثر من 400,000 أصل تتجاوز بكثير أي هامش نمو عادي. ولم يكن الجار المباشر بحاجة إلى عدّ عالمي مثالي ليدرك أن المجموعة المستقبلة خرجت عن عقد العميل أو النظير أو المزود المتوقع.

لهذا يجب أن تركز المساءلة على مجموعة المسارات المتوقعة والفارق الملحوظ. وينبغي أن يكون مالك الجلسة قادرًا على تحديد عدد البادئات والأصول المصرح بها قبل التغيير مباشرة، والزيادة المتوقعة، وعتبات التحذير والعتبات الصارمة المطبقة، وما حدث عندما تجاوزت المجموعة المستقبلة أو المعلنة تلك العتبات.

أما القياس القابل لإعادة الإنتاج فينبغي أن يوثق أسماء المجمعات ونظراءها وعائلات العناوين وفترات التوقيت العالمي المنسق الدقيقة وقواعد إزالة التكرار وطريقة عد البادئات مقابل التحديثات وخوارزمية مسار AS المستخدمة لتحديد المسارات المتأثرة، وأن يحفظ مراجع التحديثات الخام أو أوامر الاستخراج. والهدف ليس إنتاج رقم واحد مثالي، بل تمكين مشغل آخر من إعادة إنتاج الحجم والجدول الزمني وحدود الانتشار دون الثقة بعنوان لم يُفحص.

سوء الإعلان مرئي؛ أما النية فليست كذلك

في التشغيل العادي، يشير النظام المستقل الأصل إلى قدرته على إيصال حركة المرور إلى البادئة المعلنة. وخلال حدث أبريل 2014، ظهر AS4761 كأصل لبادئات ترتبط عادةً بشبكات أخرى كثيرة. غالبًا ما يوصف هذا السلوك بأنه اختطاف لأن الأصل تغير إلى نظام مستقل لم يكن متوقعًا أن يعلن عن مساحة العناوين تلك. واستخدمت BGPMon لغة الاختطاف في تقريرها المعاصر. [2]

لا تثبت حالة الأصل المرئية وجود نية خبيثة. فالاختطاف الخبيث للمسارات، وإعادة التوزيع العرضية، وإرفاق سياسة غير صحيح، وخطأ في خادم المسارات، وتسريب اختباري، وإجراء صيانة فاشل قد تنتج جميعها أعراضًا متداخلة في مستوى التحكم. ويتطلب التمييز بينها تكوينات داخلية وسجلات وسجلات تفويض وشهادات مشغلين وغالبًا أدلة مرورية أو أمنية لا تملكها المجمعات العمومية.

إن حجم هذا الحدث متسق مع فشل تشغيلي واسع، وهذا استنتاج وليس تقرير سبب جذري كامل. لذلك ينسب المقال تفسيرات الصيانة والترشيح إلى مراقبين معاصرين ولا يذكر أن أمرًا محددًا أو إجراء مشغل محدد قد ثبت.

هذا الحد مهم للإنصاف ولجودة الهندسة معًا. فإذا وصف حدث عرضي بأنه اعتراض متعمد دون دليل، يصبح السرد ضعيفًا قانونيًا وتقنيًا. وإذا رُفض الحدث نفسه بأنه «مجرد خطأ»، يختفي فشل الضوابط عند حدود توجيه متعددة. المساءلة لا تتطلب اتهامًا ولا عذرًا، بل تتطلب سجلًا لما سُمح له بالعمل.

أسئلة الأدلة محددة:

أي عملية زودت البادئات التي أعلنها AS4761؟
أي سياسة سمحت لتلك الأصول بالدخول في إعلان خارجي؟
هل وُلدت مجموعة المسارات من مخزون مصرح به أم ورثتها من جلسة أخرى؟
هل مر التغيير بمراجعة أو محاكاة أو نشر تدريجي؟
ما لقطة المسارات المعلنة قبل التغيير وبعده؟
من هو الجار المباشر الذي قبل المجموعة غير الطبيعية أولًا؟
أي تنبيهات انطلقت، ومن يملكها، وما الإجراء الذي تبعها؟
ما البيانات التي أظهرت اكتمال السحب والعودة إلى الحالة الطبيعية؟

السجل العمومي يجيب عن أجزاء فقط من هذه القائمة، وينبغي تسجيل ذلك النقص بوصفه فجوة في المساءلة لا ملؤه بالتكهنات.

الشبكة المصدر تملك أول حدود للتصدير

سيطر AS4761 على الحد الجانبي للمصدر. وبغض النظر عن الزناد الداخلي، فإن نظام التوجيه قيد التشغيل لدى Indosat أنشأ وصدّر مجموعة مسارات تجاوزت جذريًا النطاق المتوقع المرتبط بالنظام المستقل. لذلك فإن الالتزام الأول هو تحديد وإنفاذ ما يُصرح لـ AS4761 بالإعلان عنه وتصديره.

ينبغي أن يربط مخزون الأصول المصرح به بين سجلات موارد الأرقام وتفويضات العملاء وسجلات الخدمة الداخلية وبيانات سجل التوجيه والاستثناءات الصريحة، وأن يكون له إصدار ومالك وتاريخ موافقة ووقت سريان. وينبغي ربط السياسة المولدة للموجهات بهذا المخزون عبر مجاميع تحقق بحيث يستطيع المدقق تمييز المدخل المقصود من التكوين المنشور فعليًا.

ينبغي أن يجيب عقد التصدير عن أربعة أسئلة مختلفة:

أي بادئات يجوز لـ AS4761 أن يعلنها بنفسه؟
أي بادئات عملاء يجوز لـ AS4761 نقلها كعبور؟
أي مسارات مستلمة من مزودين أو نظراء يجوز إعادة الإعلان عنها، ولمن؟
ما الاستثناءات المؤقتة، ولماذا توجد، ومتى تنتهي؟

إن دمج هذه المجموعات في مرشح متساهل واحد يهيئ الظروف لتصدير جدول كامل. فالمسار المستفاد من مزود، أو جدول التوجيه الكامل المستخدم داخليًا، أو تغذية واسعة من خادم مسارات يمكن أن يعبر جلسة خارجية إذا كانت سياسة التصدير مفقودة أو مربوطة في الاتجاه الخاطئ أو مولدة من بيانات خاطئة أو متجاوزة باستثناء.

تقليل الافتراضات الصريحة للسياسة من هذا الخطر. يحدد RFC 8212، الذي نُشر بعد سنوات من الحادث، أن مسارات eBGP لا ينبغي استيرادها أو تصديرها دون سياسة صريحة. [8] ولا ينبغي إسقاطه إلى الوراء كدليل على تنفيذ Indosat في 2014، لكنه مفيد كمقارنة دائمة: يجب أن تفشل الجلسة بإغلاق آمن عند غياب السياسة المقصودة بدلًا من تبادل كل شيء حتى يُضاف مرشح.

يحتاج المصدِّر أيضًا إلى ضابط لحجم المسارات على مجموعته المعلنة. كثيرًا ما يُناقش الحد الأقصى للبادئات كميزة واردة، لكن يمكن للمشغلين مراقبة عدد المسارات الصادرة والفارق قبل مغادرة التحديثات للشبكة. ويمكن لفحص ما قبل النشر مقارنة الإعلانات المرشحة بالمجموعة المصرح بها، ويمكن لحارس مباشر أن ينبه أو يحجب زيادة لا تملك سجل تغيير معتمد.

أهم دليل هو الفارق بين الحالة المتوقعة والحالة قيد التشغيل. فبيان ما بعد الحادث بأنه «أُضيفت مرشحات» لا يكفي. أما السجل المسؤول فينبغي أن يحفظ:

مجموعة البادئات والأصول المصرح بها قبل الحدث؛
مصدر التكوين والسياسة المولدة؛
مجاميع تكوين الجهاز المرشح والملتزم؛
لقطات المسارات المعلنة للجلسة المتأثرة؛
المجموعة غير الطبيعية وكيف دخلت معالجة التصدير؛
أوامر السحب أو تغيير السياسة؛
المجموعة المصرح بها بعد التعافي؛ و
إعادة تشغيل تُظهر رفض المجموعة غير الطبيعية.

يحول هذا الدليل سردية التكوين إلى اختبار ضوابط، ويمنع أي تنظيف لاحق للسياسات من إخفاء ما كان يعمل فعلًا أثناء الحدث.

الجيران المباشرون يملكون أول فرصة احتواء خارجية

ليست الشبكة المصدر هي المشغل الوحيد الذي يملك السيطرة. فالجار المباشر الذي يستقبل مجموعة مسارات من AS4761 كانت لديه أول فرصة خارجية لاحتوائها. كان ذلك الجار يعرف، أو كان ينبغي أن يوثق، نوع العلاقة ومجموعة البادئات المتوقعة وحجم المسارات المعتاد وجهة التصعيد الخاصة بالجلسة.

يشير السجل العمومي إلى أن معظم ظهور المسارات غير الطبيعية جاء عبر مزودين في تايلاند، مع انتشار بعض المسارات إلى مدى أبعد. [1][2] والعلاقات التجارية والتقنية الكاملة ليست عمومية، لذا ينبغي استخدام كل وصف محدد لعميل أو نظير أو مزود فقط حيثما تدعمه الأدلة. ومبدأ الضبط لا يعتمد على وصف واحد متنازع عليه؛ فأي جار يقبل مجموعة مسارات خارج نطاق ثنائي متوقع جذريًا كان يملك حد استيراد.

يمكن أن تعمل عدة ضمانات هناك.

ترشيح البادئاتيقارن المسارات المستقبلة بمخزون العملاء أو الجيران المصرح به، ويكون أكثر فاعلية عندما تكون المجموعة الثنائية محددة وعندما تكون تحديثات المخزون مملوكة وفي وقتها.

ترشيح الأصل أو التحقق منهيفحص ما إذا كان الأصل مصرحًا به لبادئة معينة. ويمكن للتحقق من أصل المسار المعتمد على RPKI أن يوفر تفويضًا تشفيريًا حيث يوجد ROA مغطٍّ ونُشرت أدوات التحقق، وهو ليس المصدر الوحيد لأدلة الأصل وكان أقل انتشارًا بكثير في 2014.

سياسة مسار AS والعلاقاتتختبر ما إذا كان المسار معقولًا للجلسة. فعميل لا ينبغي عادةً أن يوفر عبورًا بين مزودين علويين غير مرتبطين. وقد تكون العلاقات الحقيقية معقدة، لذا تحتاج السياسة إلى استثناءات صريحة بدلًا من افتراض أن أي مسار مقبول.

ضوابط الحد الأقصى للبادئاتتقارن حجم المسارات المستقبلة بنطاق موثق. فالجلسة المرتبطة عادةً بمئات أو آلاف المسارات لا ينبغي أن تسلّم مئات الآلاف بصمت. وتحتاج حدود التحذير والحدود الصارمة إلى استجابات تشغيلية مختلفة، وكلاهما يتطلب ملكية.

افتراضات الاستيراد الصريحةتمنع جلسة جديدة أو مصنفة خطأً من قبول كل شيء لغياب خريطة مسار.

ضوابط التصدير اللاحقتفصل ما تستقبله الشبكة عما تعلنه للعملاء والنظراء والمزودين. فالمسار المحتفظ به للتشخيص لا يلزم نشره.

يصف RFC 7454 الترشيح التشغيلي وحدود الحد الأقصى للبادئات وضوابط البوغون وممارسات أمن BGP الأخرى. [9] ونظم NIST SP 800-189 لاحقًا ممارسات التبادل المرن بين النطاقات بما في ذلك الترشيح والتحقق من أصل المسار والمراقبة والتنسيق. [13] كما يؤطر MANRS الترشيح ومكافحة الانتحال والتنسيق ومعلومات التوجيه بوصفها إجراءات للمشغلين. [14] هذه نقاط مقارنة حديثة، وليست دليلًا على أن كل ضمان كان متاحًا أو منشورًا على الجلسات ذات الصلة في 2014.

سؤال الجار المباشر ليس «لماذا وثق الإنترنت بـ BGP؟» بل «لماذا قبلت سياسة ثنائية قيد التشغيل هذه المجموعة، وما الدليل الذي يُظهر الآن أن المجموعة نفسها ستُرفض أو تُعزل؟»

ضابط الحد الأقصى للبادئات ضروري، لكن الرقم وحده ليس سياسة

يجعل حجم المسارات الاستثنائي حماية الحد الأقصى للبادئات ضابطًا واضحًا، كما يسهل وصفه بشكل مفرط التبسيط. فالحد الصارم يمكن أن يحتوي تسريبًا جماعيًا، لكن الحد المختار بشكل سيئ قد يقطع عملاء شرعيين أو ينطلق أثناء النمو الطبيعي أو يشجع المشغلين على وضع عتبات عالية جدًا بحيث لا تعمل أبدًا.

يبدأ التصميم المسؤول للحد الأقصى للبادئات من المجموعة المصرح بها. ينبغي أن تعكس العتبة المسارات الحالية والنمو الموثق وسلوك التجميع والإعلانات الاحتياطية والاستثناءات المعتمدة، لا أن تكون كسرًا عامًا من الجدول العالمي أو قيمة منسوخة من علاقة أخرى.

للتصميم الناضج ثلاث حالات على الأقل:

نطاق تشغيل عادي؛
نطاق تحذير ينبه قناة استجابة مملوكة ويجمد التغييرات الخطرة؛ و
عتبة احتواء صارمة مع إجراء موثق.

يمكن أن يختلف الإجراء الصارم. فقد يرفض الموجه بادئات إضافية، أو يقطع الجلسة، أو يعزل المجموعة المستقبلة، أو يخفض التفضيل، أو يستدعي أتمتة. ولكل خيار عواقب. فرفض المسارات الجديدة قد يحافظ على قابلية الوصول القائمة مع منع النمو، وإعادة تعيين الجلسة قد تسبب انقطاعًا أوسع، والاستمرار في قبول المسارات مع إرسال تنبيه فقط قد يفشل بالفتح خلال الفترة التي يكون فيها الانتشار أكثر أهمية.

لذلك يجب اختبار الاستجابة. ينبغي للمشغلين إعادة تشغيل مجموعة مسارات تشبه فشل أبريل 2014 وتسجيل ما إذا كان الجهاز يحذر أو يرفض أو يعيد التعيين أو يستمر. وينبغي اختبار زيادة مفاجئة بمقياس جدول كامل وتسريب أبطأ مصمم للبقاء تحت تنبيه قائم على المعدل، والتحقق من وصول التصعيد إلى مالك مزود بالموظفين ومن امتلاك المالك سلطة احتواء الجلسة.

يحتاج الحد الأقصى للبادئات أيضًا إلى حماية من انحراف الاستثناءات. فالزيادات الطارئة والهجرات لمرة واحدة قد تصبح دائمة. وينبغي أن يكون لكل تجاوز سبب ومعتمَد وفترة سريان وانتهاء تلقائي أو مراجعة، وأن تكون العتبة قيد التشغيل مرئية في أدلة الحادث إلى جانب عدد المسارات المصرح به.

وسؤال المساءلة ليس ما إذا كان التكوين يحتوي على عبارةmaximum-prefix، بل ما إذا كانت العتبة مطابقة لعقد العلاقة، وما إذا كانت الاستجابة آمنة، وما إذا كانت التنبيهات مملوكة، وما إذا كانت إعادة التشغيل تثبت الاحتواء.

تفويض الأصل وتفويض المسار يحلان مشكلتين مختلفتين

حدث Indosat حالة قوية للتحقق من الأصل لأن AS4761 ظهر كأصل لبادئات مرتبطة بشبكات أخرى كثيرة. وحيث يصرح ROA صالح بأصل مختلف وتنفذ الشبكة المستقبلة التحقق من أصل المسار، يمكن تصنيف المسار غير المتوقع غير صالح ورفضه أو خفض تفضيله وفق السياسة.

يحدد RFC 6811 التحقق من أصل بادئة BGP باستخدام RPKI، ويقدم RFC 6483 إرشادات حول عمليات التحقق من الأصل. [10][11] تشرح هاتان الوثيقتان الآلية لكنهما لا تثبتان تغطية RPKI ذات الصلة في 2014 أو حالة ROA أو توفر أدوات التحقق أو سياسة التوجيه لدى جيران Indosat.

ينبغي إبقاء ثلاثة قيود صريحة.

أولًا، كانت تغطية RPKI في 2014 محدودة. فالمسار دون ROA مغطٍّ ليس غير صالح تلقائيًا، بل يكون عمومًا «غير موجود». وينبغي عدم إسقاط حالة ROA الحالية إلى الوراء على الحدث.

ثانيًا، يفحص التحقق من الأصل العلاقة بين البادئة ورقم نظامها المستقل الأصل، ولا يتحقق من كل علاقة في مسار AS. فقد يكون للمسار أصل مصرح به ومع ذلك يتسرب عبر مسار مزود أو نظير أو عميل غير مقصود.

ثالثًا، لا يغير التحقق من التوجيه إلا عندما ينشر المشغلون أدوات التحقق ويحافظون على توفر الذاكرة المؤقتة ويربطون السياسة ويقررون كيفية معالجة كل حالة. فسجل السجل لا ينفذ نفسه.

قدم RFC 9234 لاحقًا أدوار BGP وخاصية Only-to-Customer لتحسين منع تسريب المسارات عبر إشارات علاقات صريحة. [12] وهو مجددًا مقارنة ضوابط حديثة، لا وصف لشبكة 2014. يمكن للأدوار وOTC مساعدة الموجهات في كشف الإعلانات التي تنتهك توقعات العلاقة الخالية من الوادي، لكنها تعتمد على النشر وتكوين الأدوار الصحيح.

تعمل البنية الدفاعية على طبقات:

سجلات الموارد والأصول للسلطة المتوقعة؛
مرشحات البادئات والأصول عند حدود العملاء؛
التحقق من أصل المسار حيث توجد بيانات؛
سياسات استيراد وتصدير واعية بالعلاقات؛
أدوار BGP وOTC حيثما يدعمها النظام؛
احتواء الحد الأقصى للبادئات وفارق المسار؛
سياسة افتراضية صريحة؛
مراقبة شذوذ مستقلة؛ و
تنسيق وسحب مختبران.

لا ينبغي تقديم أي ضابط منفرد كحل كامل. هدف المساءلة هو دفاع متعدد الطبقات مع أدلة على أن كل طبقة تعالج نمط فشل محددًا.

السجلات دفاتر مساءلة، لا حكام سياديون لقابلية الوصول

سجلات أرقام الإنترنت وسجلات التوجيه وROAs وقواعد بيانات المشغلين أسطح أدلة أساسية. فهي تساعد في تحديد حاملي الموارد وسلطة الأصل وجهات الاتصال والسياسة المتوقعة. تقدم واجهة RIPEstat لـ AS4761 واجهة حالية لملاحظات التسجيل والتوجيه، بينما يجب على التحليل التاريخي ربط الادعاءات بالوقت ذي الصلة. [4]

لا تحدد هذه السجلات قابلية الوصول قيد التشغيل بالإعلان. فالموجه يقبل المسارات ويرفضها ويختارها ويصدرها وفق البرمجيات والتكوين المنشورين. ويمكن أن يتعايش سجل دقيق مع مرشح متساهل، كما يمكن أن يتسبب سجل غير دقيق أو قديم في رفض مرشح مولّد لمسارات شرعية، ويمكن لـ ROA موقّع أن يصنف أصلًا، لكن سياسة الشبكة المتحققة وحدها تحدد النتيجة التشغيلية.

يدعم هذا التمييز نموذج مساءلة قائمًا على الواقع. ينبغي تقييم السجلات كدفاتر:

هل سجلات الموارد وجهات الاتصال دقيقة؟
هل التغييرات مسجلة وقابلة للإسناد؟
هل يستطيع المشغلون اشتقاق المرشحات بشكل قابل لإعادة الإنتاج؟
هل الاستثناءات مرئية؟
هل البيانات الوصفية الأمنية حديثة؟
هل تستطيع شبكة أخرى التحقق من الأصل المتوقع؟

وينبغي تقييم الموجهات وأنظمة السياسات كإنفاذ قيد التشغيل:

هل نُشرت السياسة المشتقة فعلًا؟
أي إصدار كان يعمل على الجلسة المتأثرة؟
هل كان الافتراضي هو الرفض؟
هل قبل الجهاز المجموعة غير الطبيعية؟
هل حافظ التصدير اللاحق على الخطأ أم ضخمه؟
هل طابقت الحالة قيد التشغيل النية المشتقة من الدفتر؟

لا يمكن تفسير حدث أبريل 2014 على أنه مشكلة سجل فقط أو مشكلة موجه فقط. لقد كشف الفجوة بين السلطة المسجلة والسياسة القابلة للتنفيذ. وإذا كانت السجلات دقيقة لكن المرشحات غائبة، فشل الإنفاذ. وإذا اعتمد توليد السياسة على سجلات غير دقيقة، فكل من الدفتر واستخدامه التشغيلي يحتاجان إلى تصحيح. وإذا تجاوزت إعادة التوزيع الواسعة مسار البيانات المقصود، فشلت ضوابط النشر.

الأدلة اللازمة للتمييز بين هذه الحالات ليست غريبة، وتشمل سجلات موارد مؤرخة وبيانات مصدر السياسة ومرشحات مولدة ومجاميع تكوين ومسارات مستقبلة ومعلنة وملاحظات مجمعات مستقلة. وغياب سجل موحد كهذا هو بحد ذاته نتيجة مساءلة.

أدلة المجمعات تثبت ملاحظات مختارة، لا تقاربًا كونيًا

تحفظ RIPE RIS وRouteViews بيانات BGP التاريخية التي تجعل إعادة البناء المستقلة ممكنة. تصف RIPE نظام RIS بأنه نظام قياس يجمع ويخزن بيانات توجيه الإنترنت، ويؤرشف RouteViews تحديثات أبريل 2014. [5][6] كما يوفر BGPStream من CAIDA إطارًا لمعالجة بيانات BGP من مشاريع الجمع الرئيسية. [18]

هذه الأنظمة بنية تحتية للمساءلة لأنها تحفظ أدلة خارج الشبكة التي سببت الحادث أو نشرته، وتمكن المحللين من اختبار ما إذا ظهر أصل غير طبيعي وأي مسارات AS حملته إلى نظراء معينين ومتى أصبحت عمليات السحب مرئية وهل عادت الأصول المتوقعة.

ينبغي أن تكون حدودها جزءًا من كل ادعاء.

يرى المجمع المسارات التي يصدرها نظراؤه، ولا يرى كل مسار استقبله أولئك النظراء أو كل بديل درسوه. والطابع الزمني لأول رؤية هو أول ملاحظة عند ذلك المجمع، لا بالضرورة أول إعلان عند المصدر. وسحب يُرصد عند نظير واحد لا يثبت تقاربًا عالميًا. وأفضل مسار مرئي عند مجمع لا يثبت مسار التوجيه من كل مستخدم.

تنوع المجمعات يحسن الثقة. ينبغي أن تقارن إعادة بناء الحادث بين نظراء RIS وRouteViews في شبكات ومناطق مختلفة، وأن تحدد ما إذا كان الأصل غير الطبيعي مرئيًا من كل جهة رصد ومدة بقائه مرئيًا وأي مسارات حملته ومتى عاد الأصل المتوقع. وينبغي الحفاظ على الفروق بدلًا من تسويتها بالمتوسط.

يحتاج التحليل أيضًا إلى خوارزمية قابلة لإعادة الإنتاج. ففي هذا الحدث قد يحدد المحلل التحديثات التي يكون فيها AS4761 أصلًا لبادئات خارج مجموعته المتوقعة. وينبغي توثيق مصدر المجموعة المتوقعة الدقيق والوقت وعائلة العنوان ومعالجة التكرار وتطبيع المسار، وربط أعداد المسارات المشتقة بفواصل الأرشيف الخام أو الأوامر.

تُظهر أنظمة بحثية مثل BGPInspector كيف يمكن فحص الأحداث التاريخية عبر أبعاد متعددة وواجهات أدلة. [15] كما تُظهر أعمال أكاديمية لاحقة حول تسريبات المسارات والكشف أن التصنيف يعتمد على الطوبولوجيا والعلاقات والملاحظة. [16] هذه الأدوات لا تحل محل قياس المشغل عن بُعد، لكنها تجعل التحدي المستقل ممكنًا.

لذلك ينبغي أن يقترن إغلاق المشغل بين الأدلة الداخلية والخارجية. فالمسارات الداخلية المستقبلة والمعلنة تشرح ما عبر جلسة، والمجمعات الخارجية تُظهر ما تسرب إلى نظام التوجيه الأوسع، وينبغي أن يتقارب السجلان على جدول زمني محدد مع الإبقاء على عدم يقين جهة الرصد.

يجب قياس الأثر بوصفه قابلية وصول، لا استنتاجه من حجم المسارات

أظهرت إعادة بناء RIPE NCC أن الآثار تباينت حسب جهة الرصد والمسار، وأفادت BGPMon بأن كثيرًا من المسارات غير الطبيعية كانت مرئية عبر مزودين في تايلاند وأن بعضها انتشر على نطاق أوسع. [1][2] يدعم هذا نتيجة انتشار غير متساوٍ وأثر متفاوت على قابلية الوصول.

لكنه لا يدعم ادعاء أن الحدث أعاد توجيه معظم حركة الإنترنت العالمية عبر إندونيسيا. فعدد يقترب من حجم الجدول العالمي قد يبدو معادلًا للسيطرة على الإنترنت، لكن قرارات التوجيه موزعة. تطبق الشبكات تفضيلًا محليًا وسياسة مسار AS وخصوصية البادئة والتحقق من الأصل وعلاقات العمل، فبعضها يحتفظ بمسار غير متأثر وبعضها يفضل الأصل غير الطبيعي وبعضها لا يستقبله أصلًا.

ينبغي قياس الأثر في طبقات:

رؤية مستوى التحكم:أي المجمعات والنظراء رأوا AS4761 كأصل غير متوقع؟

اختيار المسار:أي الشبكات اختارت المسار، حيث يمكن ملاحظة تلك المعلومة؟

أدلة التوجيه:من أي مواقع مصدر أظهرت بيانات traceroute أو looking-glass أو التدفق أن حركة المرور اتبعت مسارًا متغيرًا؟

أداء الخدمة:أي الوجهات عانت فقدانًا أو زمن انتقال أو عدم استقرار أو لم تظهر تدهورًا ملحوظًا؟

نطاق المستخدم:أي العملاء أو المناطق أو الخدمات تأثروا، استنادًا إلى قياس المزود عن بُعد لا إلى عدد المسارات وحده؟

النتيجة الأمنية:هل وُجد دليل على وصول إلى الحزم أو فحصها أو تعديلها؟ سجل المسارات العمومي وحده لا يثبت ذلك.

يمنع هذا التطبّق كلا من المبالغة والتهوين، ويتجنب معاملة كل بادئة مرئية كمسار توجيه مثبت عالميًا، كما يتجنب رفض الحادث لأن بعض الشبكات حافظت على قابلية الوصول.

بالنسبة للأحداث المستقبلية، ينبغي للمشغلين حفظ القياسات النشطة وجداول التوجيه وملخصات التدفق وصحة التطبيقات وبيانات أثر العملاء بطوابع زمنية متزامنة، وأن تراعي المنهجية المسارات غير المتماثلة والقفزات المخفية والأنيكاست وموازنة الحمل وتحديد الموقع الجغرافي الناقص.

مقياس المساءلة الأساسي ليس أكبر عدد سكاني متأثر محتمل، بل هو ما إذا كان كل مشغل يستطيع ربط حالة مسار غير طبيعية بآثار ملموسة على قابلية الوصول، وشرح عدم اليقين، وإظهار كيف حدت ضوابطه من الانتشار أو فشلت في ذلك.

للمراقبة قيمة فقط عندما ترتبط بإجراء

كان الحدث مرئيًا للمراقبين الخارجيين لأن تغير الأصل وحجم المسارات كانا استثنائيين، وساعدت الأنظمة العمومية ومجتمعات المشغلين في إظهار الشذوذ. لكن هذه الرؤية لا تحتوي بذاتها تسريب المسارات.

ينبغي أن تربط المراقبة أربعة عناصر:

خط أساس يحدد الأصول والبادئات والمسارات وحجم المسارات المتوقعة؛
قاعدة كشف تشرح لماذا الحالة المرصودة غير طبيعية؛
مالك يملك سلطة ومسارات اتصال؛ و
إجراء آمن يمكنه احتواء المسار أو سحبه.

تنبيه يقول «أعلن AS4761 عن 417,038 بادئة جديدة» مفيد للفرز الأولي. أما التنبيه التشغيلي فينبغي أن يضيف الجلسات المتأثرة والأعداد المستقبلة والمقبولة والمخزون المتوقع والمزودين العلويين المرصودين وإصدار السياسة الحالي والتغييرات الأخيرة وإجراء احتواء موصى به.

ينبغي حفظ توقيت التنبيهات. فجدول زمني كامل يميز أول تحديث غير طبيعي، وأول ملاحظة من مجمع، وأول تنبيه آلي، وأول إقرار بشري، وأول اتصال بالمصدر أو المزود العلوي، وأول إجراء احتواء، وأول سحب، والعودة اللاحقة إلى الحالة الطبيعية. تكشف هذه الطوابع الزمنية ما إذا كان التأخير في الكشف أو التصعيد أو السلطة أو التشخيص أو التقارب.

بيانات التنسيق مهمة أيضًا. فحوادث التوجيه تعبر الحدود التنظيمية، ويجب أن تكون جهات الاتصال حديثة وقابلة للوصول ومخولة. ويعتبر MANRS التحقق العالمي والتنسيق مسؤولية أساسية للمشغلين. [14] وسجل اتصال موجود لكنه لا يصل إلى مالك تشغيلي ليس ضابطًا فعالًا.

يمكن للأتمتة تسريع الاحتواء لكنها تحتاج إلى حواجز أمان. فإغلاق تلقائي للجلسة بناءً على إيجابية كاذبة قد يسبب انقطاعًا، وتنبيه يفشل بالفتح قد يسمح لتسريب جدول كامل بالانتشار بينما يحقق البشر، وتصميم محدد يمكنه عزل المسارات الجديدة أو تجميد التغييرات أو خفض التفضيل أو طلب تأكيد في حدود محددة.

لذلك يختبر الحدث أكثر من كشف الشذوذ؛ إنه يختبر ما إذا كانت الملاحظة تتحول إلى إجراء مسؤول بسرعة كافية ليكون ذا أثر.

السحب يبدأ التعافي، لكنه لا يثبت الإغلاق

تشير الحسابات العمومية إلى أن الأصول غير الطبيعية سُحبت بعد عدة ساعات وأن حالة المسارات عادت نحو الأصول المتوقعة. [1][2] السحب أساسي، لكنه مجرد بداية لسجل التعافي.

تقارب BGP خاص بكل مراقب. فتستقبل الشبكات وتعالج عمليات السحب في أوقات مختلفة، وقد يحتفظ بعضها بمسارات قديمة أو مسارات غير طبيعية بديلة أو حالة جلسة لمدة أطول، وقد يغير تخميد تقلب المسار أو إعادة تعيين الجلسة أو السياسة المحلية أو رؤية المجمع وقت النهاية الظاهري.

ينبغي أن يُظهر سجل التعافي الموثوق:

مجموعة المسارات المستهدفة بالسحب بالضبط؛
الأمر أو تغيير السياسة أو إجراء الجلسة المستخدم؛
من اعتمده؛
متى استقبله الجيران المتأثرون؛
متى عادت أعداد المسارات الداخلية المستقبلة والمختارة والمعلنة إلى وضعها الطبيعي؛
متى توقفت عدة مجمعات مستقلة عن رؤية AS4761 كأصل غير متوقع؛
متى عادت الأصول المتوقعة للظهور؛
أي استثناءات متبقية بقيت؛ و
هل تعافت قابلية الوصول التي يواجهها المستخدمون في الجدول الزمني نفسه.

ينبغي أن يفصل السجل بين سحب المسارات وإصلاح التكوين. فيمكن للمشغل سحب المسارات السيئة يدويًا مع ترك آلية الفشل سليمة، وبالعكس قد يكون تغيير التكوين صحيحًا محليًا بينما تبقى مسارات قديمة أو بديلة مرئية في مكان آخر.

يحتاج التعافي أيضًا إلى خط أساس معروف الصلاحية. فينبغي أن تعني كلمة «طبيعي» حالة أصل ومسار مصرح بها مرتبطة بمجاميع تحقق، لا مجرد غياب تنبيه حالي. وإذا تغيرت المجموعة المصرح بها أثناء الحادث، ينبغي توثيق التغيير بدلًا من إخفائه داخل الإغلاق.

الأدلة المستقلة قيّمة بشكل خاص لأنها تفحص الادعاءات خارج الشبكة المصدر. فيمكن لـ RIS وRouteViews والنوافذ الزجاجية والمشغلين المتأثرين إظهار ما إذا كانت الأصول غير الطبيعية اختفت من جهات رصد مختلفة. ولن تكون ملاحظاتهم متزامنة تمامًا، وينبغي أن يكون ذلك التباين جزءًا من السجل.

لا يقدم السجل العمومي تقرير معالجة موقّعًا كاملًا أو إعادة تشغيل للمسارات أو مخزون استثناءات لحدث 2014. ولا يثبت الغياب عدم حدوث معالجة، بل يعني أن الغرباء لا يستطيعون التحقق من متانة المعالجة من الأدلة المتاحة.

ينبغي أن يعيد اختبار التكرار إنتاج فئة الفشل دون تصديرها

أقوى إغلاق هو اختبار تكرار متحكم فيه، لا يرسل مئات الآلاف من المسارات غير المصرح بها إلى الإنترنت العمومي، بل يعيد إنتاج فئة الفشل في مختبر أو محاكي سياسات أو نظام إعادة تشغيل مسارات أو جلسة معزولة ويثبت أن كل حد مقصود يستجيب بشكل صحيح.

ينبغي أن يبدأ الاختبار بمجموعة متوقعة مجمدة لعلاقة AS4761، ثم يقدم:

أصلًا واحدًا غير مصرح به؛
دفعة صغيرة من البادئات غير المصرح بها؛
مجموعة بمقياس جدول كامل؛
زيادة تدريجية مصممة لتفادي كاشف الارتفاع المفاجئ؛
مسارًا ينتهك العلاقة الموثقة؛
استثناءً منتهي الصلاحية؛
سياسة صريحة مفقودة؛
سجلًا أو سجل عميل قديمًا؛ و
سحبًا يليه محاولة إعادة إعلان.

وفي كل حالة، ينبغي أن يُظهر السجل المرشح المولد والتكوين المرشح ونتيجة الجهاز أو المحاكي والتنبيه وإقرار المالك وسلوك الاحتواء والأدلة المصدرة إلى المراقبة المستقلة.

ينبغي أن يُجرى الاختبار عند حدود المصدر والجار معًا. فينبغي للمصدِّر رفض أو منع الإعلان غير المصرح به، وللجار المباشر رفض أو عزل مجموعة تتجاوز النطاق الثنائي، وينبغي لسياسة التصدير اللاحق منع المسارات التشخيصية المقبولة من الانتشار أبعد.

الضوابط السلبية مهمة. فيجب أن يستمر النظام في قبول نمو العملاء الشرعي ومسارات النسخ الاحتياطي المصرح بها وتغييرات الصيانة الموثقة، وإلا فقد يصبح المرشح الصارم خطرًا على التوفر وسيتجاوزه المشغلون.

ينبغي إعادة تشغيل اختبار التكرار عند تغير مخزون التوجيه أو مولدات السياسات أو برمجيات الموجهات أو الطوبولوجيا أو العلاقات. فاجتياز اختبار في بيئة واحدة لا يثبت أن كل جلسة إنتاج تبقى محمية.

يغير هذا النهج سؤال المساءلة من «هل وعد المشغل بالحذر؟» إلى «هل يستطيع المشغل إعادة إنتاج الفشل وإظهار أن ضوابطه الحالية قيد التشغيل تحتويه؟»

ينبغي استخدام الضوابط الحديثة كمقارنات، لا ادعاءات بأثر رجعي

تقدم عدة معايير وأطر تشغيلية نُشرت قبل أو بعد 2014 خريطة ضوابط مفيدة.

يعرف RFC 7908 فئات تسريب المسارات ومصطلحاتها. [7] ويساعد تصنيفه في فصل الانتشار غير المقصود عن اختطاف الأصل، لكن تطبيق نوع تسريب محدد يتطلب معرفة علاقات قد لا تكون عمومية.

يعزز RFC 8212 سياسة استيراد وتصدير eBGP الصريحة. [8] ويعالج الافتراض الخطير الذي تتدفق فيه المسارات عند غياب السياسة المقصودة.

يصف RFC 7454 ممارسات أمن BGP بما في ذلك المرشحات والحد الأقصى للبادئات ومعالجة البوغون والحمايات التشغيلية. [9]

يعالج RFC 6811 وRFC 6483 التحقق من أصل المسار عبر RPKI. [10][11] ويساعدان في اختبار ما إذا كان الأصل مصرحًا به لكنهما لا يثبتان ملاءمة المسار الكامل.

يضيف RFC 9234 أدوار BGP وOTC لدعم منع تسريب المسارات عبر إشارات العلاقات. [12]

يؤطر NIST SP 800-189 تبادل حركة المرور المرن بين النطاقات حول الترشيح وRPKI والمراقبة والأمن والتنسيق. [13]

يحدد MANRS إجراءات المشغلين للترشيح ومكافحة الانتحال والتنسيق والتحقق العالمي. [14]

تضيف أدوات البحث والقياس تحليلًا مستقلًا. يوضح BGPInspector فحص الحوادث متعدد الأبعاد، وتفحص أبحاث لاحقة حول تسريب المسارات الكشف والتصنيف، ويربط RIPEstat بين التسجيل ووجهات نظر التوجيه، ويدعم BGPStream المعالجة القابلة لإعادة الإنتاج. [15][16][17][18]

الانضباط التاريخي أساسي: فهذه الوثائق لا تثبت ما نشرته Indosat أو جيرانها في 2 أبريل 2014. فبعض الضوابط كانت غير ناضجة أو غير شائعة أو لم تكن معيارية بعد. ويمكن للمقارنة الحديثة تحديد ما سيقلل التكرار الآن دون إعادة كتابة التاريخ.

هدف الضوابط متعدد الطبقات مستقر عبر الزمن: تحديد السلطة، وتقييد التصدير، والتحقق من الاستيراد، وتقييد نطاق العلاقات، وكشف الحجم غير الطبيعي، وحفظ الأدلة المستقلة، وتنسيق الاستجابة، والسحب بأمان، واختبار التكرار.

ينبغي توزيع المساءلة حسب الحدود، لا تخفيفها عبر الإنترنت

تشمل حوادث النطاقات البينية شبكات كثيرة، مما قد يجعل المسؤولية تبدو جماعية وبالتالي غامضة. والنموذج الأفضل يوزع الواجبات وفق التحكم.

Indosat / AS4761سيطرت على حالة الأصل والتصدير. ويشمل عبء أدلتها مجموعة الأصول المصرح بها ومصدر السياسة والتكوين المولد والقيد التشغيل وسجل التغيير والمسارات المعلنة وإجراء السحب واختبار التكرار.

الجيران المباشرونسيطروا على أول قبول خارجي. ويشمل عبئهم توثيق العلاقات ومرشحات البادئات والأصول وعتبات الحد الأقصى للبادئات وسياسة الاستيراد وسياسة التصدير اللاحق ومعالجة التنبيهات وأدلة الاحتواء.

الأنظمة المستقلة الأخرىسيطرت على قبولها وتفضيلها وانتشارها ومراقبتها وتواصلها مع العملاء. وقد كانت لديها معلومات علاقات أقل تحديدًا، لكنها ما زالت تملك سياساتها قيد التشغيل.

سجلات الأرقام والتوجيهسيطرت على دقة وتوفر وقابلية تدقيق سجلات الموارد والسياسات ضمن نطاقها، ولم تتحكم في إنفاذ الموجهات.

مشغلو المراقبة والباحثونسيطروا على جودة القياس والطوابع الزمنية والاحتفاظ بالبيانات والمنهجية وحدود الادعاءات العمومية، واستطاعوا كشف الحدث لكنهم لم يستطيعوا سحب المسارات.

مزودو الخدمات والوصولسيطروا على المرونة وتنوع المسارات وقياس الأثر والتواصل مع العملاء المتأثرين عبر شبكاتهم.

العملاء والمستخدمون النهائيونلم يكن لديهم عمومًا سيطرة عملية على قبول المسارات بين النطاقات، ولا ينبغي أن يتحملوا عبء اكتشاف فشل سياسة مزودهم أو إصلاحه.

يتجنب هذا التوزيع خطأين: فهو يمنع المشغل المصدر من اعتبار الانتشار اللاحق مشكلة شخص آخر، ويمنع الشبكات الأخرى من الادعاء بأن أي مسار تستقبله من جار هو مسؤولية المعلن وحده.

الحد الأول القابل للمنع يستحق اهتمامًا خاصًا. فإذا كان بإمكان المصدِّر إيقاف المسار، ففشله أساسي. وإذا كان للجار المباشر عقد مسارات متوقع وقبل مع ذلك جدولًا كاملًا، كان ذلك فشل احتواء منفصلًا. وإذا استطاعت الشبكات اللاحقة كشف مسار أو حجم غير معقول ولم تفعل، فإن ضوابطها تحتاج أيضًا إلى فحص.

التحكم الموزع يخلق واجبات متعددة، لا غيابًا للواجب.

ينبغي أن تتطلب الحوكمة أدلة دون التظاهر بأن الطوبولوجيا الخاصة عمومية

بعض أدلة التوجيه خاصة بالضرورة: العقود والتكوينات الكاملة والطوبولوجيا وضوابط الأمن وتفاصيل العملاء. والمساءلة لا تتطلب كشفًا عشوائيًا، بل تتطلب أدلة قابلة للتحقق المستقل تكفي لدعم الادعاءات حول التحكم والتعافي.

يمكن للمشغلين نشر أو مشاركة إقرارات محددة:

النطاق المتوقع لعدد المسارات دون كشف كل عميل؛
مجاميع المخزونات المصرح بها والمرشحات المولدة؛
تأكيد أن سياسة استيراد وتصدير صريحة مربوطة؛
سلوك تحذير الحد الأقصى للبادئات والحد الصارم؛
الطوابع الزمنية للتنبيهات والاحتواء والسحب؛
مراجع المجمعات المستقلة؛
نتائج اختبارات إعادة التشغيل للجدول الكامل وانتهاك العلاقات؛
عدد الاستثناءات ونوعها؛
مالك عملية انتهاء تلك الاستثناءات؛ و
بيان بفجوات الأدلة غير المحلولة.

ينبغي أن يطلب المنظمون والعملاء والنظراء وشركات التأمين هذه الوثائق بدلًا من التطمينات العامة، ويمكن أن تتطلب لغة العقود الإخطار والاحتفاظ بالأدلة واختبار سياسات المسارات وجهات اتصال حديثة واحتواء منسقًا.

ينبغي أن يميز الكشف بين الحقائق والاستنتاجات والمجهولات. ففي حدث Indosat، حالة الأصل الجماعي والفترة الزمنية الواسعة حقائق قوية، وتفسير الصيانة أو الترشيح سرد منسوب، والآلية الداخلية الدقيقة والمعالجة الكاملة تظلان مجهولتين في السجل العمومي.

يحافظ هذا الشكل على السرية المشروعة بينما يجعل الادعاءات التشغيلية قابلة للطعن، ويتيح أيضًا المقارنة عبر الحوادث. فالمشغل الذي يستطيع تقديم فارق مجموعة مسارات قابل لإعادة الإنتاج ونتيجة إعادة تشغيل يملك أدلة أقوى من مشغل يقدم فقط وصف سبب جذري.

ولا ينبغي أن تحول الحوكمة السجلات إلى سلطات مركزية متخيلة على التوجيه. فسجلات الأرقام وROAs وكائنات IRR وجهات الاتصال مدخلات حاسمة، وقابلية الوصول تبقى نتيجة سياسة تشغيل موزعة. لذلك يختبر الإشراف الفعال الصلة بين السلطة المسجلة والسلوك المنشور.

كان حدث أبريل 2014 اختبار ضوابط بجدول كامل

أكثر الدروس ديمومة من حدث AS4761 ليس أن BGP يقوم على الثقة أو أن مشغلًا واحدًا ارتكب خطأ كبيرًا؛ فتلك العبارات عامة جدًا بحيث لا يمكن إسناد إصلاح لها.

لقد اختبر الحدث ما إذا كانت الشبكة قادرة على منع مجموعة أصول غير مصرح بها بمقياس جدول كامل من مغادرة حدودها، وما إذا كان الجيران المباشرون قادرين على مقارنة المسارات المستقبلة بتوقع ثنائي واحتواء انحراف جذري، وما إذا كانت الشبكات اللاحقة قادرة على تجنب تضخيم الحالة، وما إذا كان المراقبون قادرين على تقديم أدلة دقيقة مرتبطة بجهة الرصد، وما إذا كان السحب والعودة إلى الحالة الطبيعية يمكن إثباتهما بدلًا من مجرد التأكيد عليهما.

تثبت الأدلة العمومية أن أكثر من 400,000 أصل غير متوقع مرتبط بـ AS4761 أصبح مرئيًا في 2 أبريل 2014 وسُحب بعد عدة ساعات، وتدعم انتشارًا غير متساوٍ وآثارًا متفاوتة على قابلية الوصول. لكنها لا تثبت نية خبيثة أو توجيهًا كونيًا أو سببًا داخليًا كاملًا واحدًا أو برنامج معالجة قابلًا للتحقق العمومي.

أما استجابة المشغل المسؤول فستسد تلك الفجوات بـ:

مخزون بادئات وأصول مصرح به مجمد؛
سياسة استيراد وتصدير افتراضية صريحة بالرفض؛
مرشحات بادئات وأصول مولدة؛
ضوابط مسارات واعية بالعلاقات؛
تحذير الحد الأقصى للبادئات واحتواء صارم؛
التحقق من أصل المسار حيث توجد بيانات ذات صلة؛
استثناءات مضبوطة بمالكين وانتهاء صلاحية؛
مراقبة مستقلة متعددة الجهات؛
سجل احتواء وسحب بطوابع زمنية؛ و
إعادة تشغيل تثبت أن فئة الفشل نفسها مرفوضة عند حدود المصدر والجار.

المعيار ليس الكمال. فالتوجيه بين النطاقات موزع، والعلاقات تتغير، والسجلات قد تتأخر، والرؤية ناقصة. المعيار هو ما إذا كان كل مشغل يستطيع تحديد الحد الذي يسيطر عليه، وإظهار السياسة التي عملت هناك، وشرح ما خرج عن التوقع، والتصرف ضمن عملية مختبرة، وتقديم دليل على عودة حالة المسارات المصرح بها.

هذا هو الفرق بين حادث ينتهي فحسب وحادث ينتج مساءلة.