ملخص

  • حددت BGPMon حدث AS12389 بين الساعة 22:36 وحوالي 22:43 UTC في 26 أبريل 2017. أحصت 50 بادئة متأثرة عبر 37 نظامًا مستقلاً. استخدمت ThousandEyes إطارًا مختلفًا: فقد لاحظت 137 بادئة نشأت من AS12389 خلال الفترة، واعتبرت حوالي 100 منها عادية أو مرتبطة بمنظمات روسية، وحددت 36 بادئة لشركات خارجية. هذه المقامات تصف اختيارات مختلفة ولا ينبغي دمجها. [1][2]
  • كانت آلية البنية التحتية المباشرة هي النشر الخاطئ للمسارات ونشرها. كانت بعض الإعلانات مسارات أكثر تحديدًا. أبرزت BGPMon 203.112.90.0/24 مقابل /23 المُعلن عنه عادةً، وهو تمييز يساعد في تفسير لماذا يمكن لاختيار المسار العادي أن يفضل المسار الزائف دون أي اختراق للخدمة المتأثرة نفسها. [2]
  • لاحظت ThousandEyes أن الأقران بما في ذلك Cogent وHurricane Electric وTata قبلوا ونشروا إعلانات AS12389. أظهرت قياسات مسارها أن حركة المرور لخدمة تجارة إلكترونية واحدة على الأقل دخلت شبكة روستيليكوم ثم وصلت لاحقًا إلى الوجهة المقصودة. وهذا يدعم تحويل بعض حركة المرور الإنتاجية، وليس ادعاءً بأن كل مسار أو مستخدم أو حزمة تم تحويلها. [1]
  • كانت الخدمات المالية والدفع والتجارة الإلكترونية وأمن الويب والشهادات ممثلة بين البادئات المتأثرة. تضمنت الأمثلة المسماة في التقارير ماستركارد وفيزا وبي إن بي باريبا وإتش إس بي سي وسيمانتيك وجيوت. لا تظهر أدلة التوجيه أن الأنظمة الداخلية لهذه المنظمات قد تم اختراقها. [1][2]
  • تتكون الأدلة المؤكدة من ملاحظات أصل AS12389، ونافذة الحدث القصيرة، وبعض الإعلانات الأكثر تحديدًا، والنشر من قبل أقران متعددين، وتغيرات المسار المقاسة. يُعتبر فشل التوجيه أو التكوين تفسيرًا معقولًا. لا يزال الاستهداف المتعمد والاعتراض موضع خلاف. تظل هوية الفاعل، والمحفز الداخلي، وفحص الحزم، والمحتوى المفكوك، وتأثيرات المعاملات، والخسارة، والعلاج الدائم غير معروفة.
  • جعل تركيز الوجهات المالية والأمنية النمط مشبوهًا لـ BGPMon وThousandEyes. لاحظت BGPMon أيضًا إعلانات شملت أنظمة مستقلة أخرى مرتبطة بروستيليكوم، مما يدعم فرضية الفشل الداخلي العرضي كفرضية منافسة. لم تمتلك أي من منظمتي المراقبة سجلات التغيير الداخلية أو المصادقة أو التكوين للمشغل. [1][2]
  • المساءلة تتبع السيطرة العملية، وليس استنتاجًا غير مدعوم حول الدافع. سيطرت روستيليكوم على إنشاء المسار وتصديره داخل AS12389. سيطر الأقران المقبولون على المرشحات والتحقق وقبول المسار ونشره. سيطر حاملو البادئات على بيانات التفويض والمراقبة الخارجية والتصعيد. سيطر المراقبون المستقلون على جودة وحفظ الملاحظات الخارجية.
  • يمكن لـ RPKI مساعدة الشبكة في تقييم ما إذا كان الأصل مفوضًا من خلال تفويض أصل مسار مطابق، لكنه لا يثبت النية أو الآلية الداخلية. كما أن الحدث يسبق تطبيق التحقق من صحة الأصل على نطاق واسع. يجب تحديد حالة ROA التاريخية لكل بادئة متأثرة وسياسة التحقق لكل قرن قبل الادعاء بأن RPKI كان سيمنع مسارًا معينًا. [11]-[14][18]
  • الضرر المدعوم هو فقدان مؤقت للتحكم في التوجيه المقصود وتعرض بعض حركة المرور لمسار عبور غير مصرح به. لا يثبت السجل احتيال المعاملات أو سرقة بيانات الاعتماد أو اختراق TLS أو تغيير البيانات أو انقطاع كامل أو عدد سكان متأثر أو ضرر مالي. قد يقلل التشفير من التعرض للمحتوى، لكن الأدلة المتاحة لا تحدد أي الجلسات استخدمت تشفيرًا فعالًا.
  • سيتطلب حساب حاسم سجلات لا يمكن لملاحظات التوجيه العامة توفيرها: سجلات تغيير AS12389 والمصادقة، وتقرير السبب الجذري، وسجلات مرشح الأقران واختيار المسار، وتحليل الأرشيف القابل للتكرار، وحالة ROA التاريخية، وسجلات حركة المرور من جانب الخدمة وTLS، والتقاط الحزم، وسجلات حوادث العملاء، وأدلة حول ما إذا كانت المسارات المقاسة تحمل حركة مرور إنتاجية.

سبع دقائق خلقت مشكلة أدلة دائمة

كان الحدث قصيرًا، لكن هيكله الإثباتي يظل مهمًا. حددت BGPMon البداية عند 22:36 UTC والنهاية عند حوالي 22:43 UTC في 26 أبريل 2017. خلال تلك الفترة، رأت مجمعات المسارات وأنظمة المراقبة أن AS12389 يعلن عن قابلية الوصول لفضاءات عناوين مرتبطة بأنظمة مستقلة أخرى. قبلت شبكات خارجية متعددة بعضًا من تلك الإعلانات على الأقل ونشرتها. كما قامت ThousandEyes بقياس مسارات النهاية إلى النهاية المتغيرة بدلاً من الاعتماد فقط على تحديثات مستوى التحكم. [1][2]

تثبت هذه الملاحظات أكثر من مجرد شذوذ توجيه غامض. إنها تحدد نظامًا مستقلاً أصليًا، ونافذة زمنية، والبادئات المعلنة، والنشر، وعواقب المسار. يمكن لبيانات التوجيه الموزعة أن تدعم استنتاجًا قويًا حول ما قيل للإنترنت: قدمت AS12389 نفسها كأصل لمسارات لم تكن جزءًا من مجموعتها المصرح بها العادية، بما في ذلك فضاءات عناوين تستخدمها منظمات خارج روستيليكوم.

نفس الملاحظات تثبت أقل مما توحي به العديد من الأوصاف. لا يحتوي تحديث BGP على دافع المشغل. لا يكشف المسار المتغير عن من أدخل الأمر، أو أي نظام أنشأه، أو ما إذا كان الحساب قد أسيء استخدامه، أو ما إذا كان تكوين مخطط قد تجاوز نطاقه المقصود. حتى المجموعة المشبوهة من الوجهات لا تكشف عن القرار الداخلي الذي أنتج المجموعة.

التمييز مهم لأن الكلمات المستخدمة لوصف حادث توجيه يمكن أن تستورد استنتاجًا بصمت. "تسريب" يمكن أن يصف نشر مسارات كان ينبغي ألا تُصدر. "اختطاف" يمكن أن يصف أصلًا زائفًا أو مسارًا يحول حركة المرور، لكنه غالبًا ما يُفهم كدليل على نية عدائية. السجل القابل للملاحظة يدعم إعلانات الأصل الزائفة وتحويل حركة المرور. لا يثبت بحد ذاته استيلاءً متعمدًا أو تجسسًا أو خطة لاستهداف المؤسسات المالية.

وضعت التقييمات اللاحقة من CERT-EU وENISA الحدث في مناقشات أوسع حول اختطاف BGP ومخاطر أمن التوجيه. هذه الأوصاف مفيدة كتقييمات مؤسسية منسوبة. لا تحل محل سجلات AS12389 غير المفصح عنها، أو سجلات سياسة الأقران، أو أدلة حركة المرور من جانب الخدمة. [4]-[6]

يبدأ اختبار المساءلة المناسب من هذا التباين. يمكن ملاحظة أدلة التوجيه العامة بشكل مستقل وإعادة إنتاجها. السبب والغرض الداخليان يعتمدان إلى حد كبير على السجلات التي يسيطر عليها المشغل الأصلي والشبكات الأخرى المشاركة. كلما كانت الأدلة الخارجية على تغيير التوجيه أقوى، أصبحت الأسئلة الداخلية غير المجابة أكثر تحديدًا. ومع ذلك، لا ينبغي تمديد الأدلة الخارجية إلى إجابات لا يمكنها تقديمها.

لهذا السبب يمكن أن يظل حدث سبع دقائق دون حل بعد سنوات. أنهى الانسحاب حالة التوجيه الفورية. لم يسد فجوة الأدلة. الاسترداد التشغيلي والشرح العام واجبان منفصلان: أحدهما يستعيد التوجيه، بينما يُظهر الآخر كيف نشأ الفشل، وما هي حركة المرور التي تعرضت، ولماذا لم تحتويه الضوابط، وما الذي تغير بعد ذلك.

عدّاد البادئات يجيبان على أسئلة مختلفة

أحصت BGPMon 50 بادئة متأثرة عبر 37 نظامًا مستقلاً. ذكرت ThousandEyes أن AS12389 أصدر 137 بادئة خلال النافذة ذات الصلة، ثم فصلت حوالي 100 بدت عادية أو مرتبطة بمنظمات روسية عن 36 بادئة تابعة لمنظمات خارجية. [1][2]

الأرقام متقاربة بما يكفي لإغراء برقم رئيسي واحد ومختلفة بما يكفي لجعل هذه الخطوة غير موثوقة. يتعلق عدد BGPMon المكون من 50 بادئة بمجموعتها المتأثرة عبر 37 نظامًا مستقلاً. بدأت ThousandEyes بجميع البادئات الـ 137 التي نشأت من AS12389 ثم صنفتها لعزل 36 بادئة لشركات خارجية. استخدمت كل منظمة ملاحظاتها وطريقة اختيارها الخاصة. السجل العام المقدم هنا لا يحدد تحويلًا يحول مقامًا إلى الآخر.

هذه ليست تفصيلية إحصائية بسيطة. العدّادات جزء من الادعاء السببي. الرقم لكل الإعلانات المرئية من نظام مستقل ليس هو نفسه الرقم للأصول الزائفة المشتبه بها. الرقم للبادئات ليس رقمًا للمنظمات الضحية أو الخدمات أو المستخدمين أو الجلسات أو الحزم. الرقم للأنظمة المستقلة ليس رقمًا للكيانات القانونية. يمكن أن يؤدي دمج هذه الوحدات إلى تحويل شذوذ توجيه محدود إلى تقدير سكاني غير مدعوم.

الصيغة المسؤولة تحافظ على كلا القياسين وتسمي ما يقيسانه. لاحظت BGPMon 50 بادئة متأثرة عبر 37 نظامًا مستقلاً. لاحظت ThousandEyes 137 بادئة نشأت من AS12389، واعتبرت حوالي 100 منها عادية أو مرتبطة بروسيا، وحددت 36 بادئة لشركات خارجية. قد يعكس الاختلاف نقاط المراقبة والتوقيت والتصنيف واختيارات العد، لكن هذه التفسيرات تبقى احتمالات ما لم يُظهر مقارنة قابلة للتكرار ذلك.

يمكن إعادة البناء التاريخي تحسين هذا الموقف. استخدم العمل المُحكم من قبل Moriano والمؤلفين المشاركين بيانات BGPStream التاريخية، بينما تصف CAIDA وصول BGPStream إلى أرشيفات Route Views وRIPE RIS. هذه المصادر تجعل إعادة التحليل القابلة للتكرار ممكنة من حيث المبدأ. لا تمحو الحاجة إلى توثيق تغطية المجمعات، والحدود الزمنية، ومرشحات البادئات، وقواعد التصنيف. [7][8]

انضباط العد هو رقابة على المساءلة لأنه يحد من المبالغة. يجب أن يكشف رد المشغل والمراقب الخارجي والتقييم المؤسسي عن مقامهم. إذا اختلفت أرقامهم، فالمهمة هي التوفيق بين الأساليب أو الحفاظ على الاختلاف، وليس اختيار الرقم الذي يجعل الحدث يبدو الأكبر أو الأصغر.

المسارات الأكثر تحديدًا تشرح لماذا يمكن للاختيار العادي تحويل حركة المرور

BGP هو النظام البيني الذي تتبادل من خلاله الشبكات ادعاءات حول قابلية الوصول إلى كتل عناوين IP. الآلية الحاسمة للحدث لم تكن مجرد ظهور AS12389 في مكان ما في مسار غير متوقع. لقد لوحظ كأصل لمسارات لفضاءات عناوين مرتبطة بأنظمة مستقلة أخرى. كانت بعض هذه المسارات أكثر تحديدًا من مسارات التغطية المستخدمة عادةً لنفس فضاء العناوين. [1][2]

أبرزت BGPMon 203.112.90.0/24، بينما غطى الإعلان العادي /23. يصف /24 كتلة عناوين أصغر من /23. تفضل أجهزة التوجيه عادةً المسار الأكثر تحديدًا لحركة المرور التي تقع وجهتها داخل تلك الكتلة الأصغر. يحدث هذا التفضيل قبل العديد من مقارنات المسار الأفضل الأخرى. يمكن أن يجذب /24 الزائف حركة المرور حتى لو ظل /23 المشروع مرئيًا.

هذه الآلية مهمة لانضباط الإسناد. المسار المحول لا يتطلب دليلًا على أن بنكًا بعيدًا أو خدمة دفع أو مزود شهادات تم اختراقه. يمكن لنظام اختيار المسار إرسال حركة المرور نحو الأصل الزائف لأن الشبكة استلمت وفضلت ادعاء قابلية وصول أكثر تحديدًا. قد تستمر المنظمة المتأثرة في تشغيل أنظمتها بشكل طبيعي بينما يصل بعض المستخدمين إلى تلك الأنظمة من خلال مسار عبور غير مقصود.

الملاحظة الأكثر تحديدًا تميز الحدث أيضًا عن ادعاء فضفاض بأن AS12389 ببساطة أعاد توزيع مسار بمسار أطول أو غير عادي. يوفر RFC 7908 إطارًا لتصنيف تسريبات المسار، ويوفر RFC 7454 إرشادات أمنية وتصفية تشغيلية. تساعد هذه المعايير المشغلين في وصف فشل سياسة المسار والضوابط. لا تحدد، من الأدلة العامة وحدها، أي إجراء داخلي أنتج إعلانات أبريل 2017 أو ما إذا كان الإجراء متعمدًا. [9][10]

يجب أن يفصل تحليل المساءلة بين الإنشاء والتصدير والقبول والاختيار. أولاً، تم إنشاء مسار أو تقديمه داخل AS12389. ثانيًا، صدره AS12389 إلى الجيران. ثالثًا، قبله بعض الجيران ونشروه. رابعًا، اختارته أجهزة التوجيه النهائية وفقًا لمعلوماتها المحلية وسياساتها. خامسًا، اتبعت حركة مرور مقاسة على الأقل المسار الناتج.

لكل خطوة مالك أدلة مختلف. سجلات إنشاء المسار والمصادقة ستكون الأقرب إلى الأصل. سجلات سياسة التصدير والجلسة ستظهر ما أرسله AS12389 إلى أي جار. سجلات الأقران ستظهر القبول والتصفية والاختيار المحلي. أرشيفات المجمعات ستظهر ما وصل إلى نقاط المراقبة الخارجية. القياسات النشطة ستظهر تأثيرات المسار من طرف إلى طرف. سيمتلك مشغلو الخدمة أدلة حركة المرور والتطبيقات.

تمنع هذه السلسلة إسنادًا بسيطًا لجميع المسؤولية إلى مكان واحد. كان AS12389 هو الأصل الزائف الملحوظ وسيطر على التصدير الأول. لم ينشئ الأقران المسار، لكن القبول والنشر وسعا نطاقه. لم يسبب حاملو البادئات الإعلان، لكن وضع التفويض والمراقبة يمكن أن يؤثر على الكشف والرفض. لم يسيطر أي مشارك على الإنترنت بأكمله، لكن العديد منهم سيطروا على نقاط محددة حيث كان يمكن منع الحدث أو حده أو شرحه.

قياسات المسار تثبت التحويل، وليس نية الاعتراض

تظهر ملاحظات مستوى التحكم المسارات التي تم الإعلان عنها. تضيف قياسات المسار أدلة حول أين سافرت حركة المرور. ذكرت ThousandEyes أن بعض الأقران، بما في ذلك Cogent وHurricane Electric وTata، قبلوا ونشروا إعلانات AS12389. أشارت قياساتها لخدمة التجارة الإلكترونية المتأثرة إلى أن حركة المرور دخلت شبكة روستيليكوم واستمرت لاحقًا إلى الوجهة المقصودة. [1]

شكل المسار هذا مهم. إنه يدعم أكثر من مجرد خطر نظري بأن مسارًا زائفًا قد يجذب حركة المرور. إنه يشير إلى أن حركة المرور الإنتاجية المقاسة اتبعت مسار عبور غير مصرح به. لم ينته المسار ببساطة عند AS12389 في المثال المذكور؛ استمرت حركة المرور لاحقًا إلى الوجهة المقصودة. هذا يتوافق مع التحويل متبوعًا بالتسليم اللاحق.

القياس لا يدعم بيانًا عالميًا. لم تقبل كل شبكة المسار أو تفضله. لاحظت ThousandEyes أن القبول كان متفاوتًا. لا يمكن توسيع مسار يُرى من نقطة قياس واحدة أو أكثر ليشمل جميع المستخدمين أو جميع شبكات المصدر أو جميع الحزم. تختلف قرارات التوجيه حسب الموقع والمزود والتوقيت والسياسة.

ولا يثبت التسليم اللاحق الاعتراض. عبور حركة المرور عبر شبكة غير مقصودة يخلق فرصة للمراقبة أو التدخل، لكن الفرصة ليست دليلًا على حدوث التفتيش. لا تظهر بيانات المسار المتاحة التقاط الحزم أو الوصول إلى المحتوى أو التعديل أو جمع بيانات الاعتماد أو التلاعب بالمعاملات. لا تحدد نظام اعتراض أو مشغل استخدمه.

يزيد التشفير من تعقيد تقييم الضرر. يمكن للتشفير الفعال أن يحد مما يمكن لشبكة عبور غير مقصودة قراءته أو تغييره، لكن سجل التوجيه العام لا يحدد حالة الأمان لكل جلسة متأثرة. وجود خدمات مالية ومتعلقة بالشهادات لا يثبت فشل التشفير. كما لا يثبت أن كل اتصال كان محميًا بشكل صحيح. سجلات TLS من جانب الخدمة، وقياس الجلسة، وأدلة الحزم ستكون مطلوبة لاستنتاج أكثر تحديدًا.

الضرر المدعوم الأكثر أمانًا هو إذًا فقدان التحكم في المسار المقصود والتعرض المؤقت لبعض حركة المرور لمسار عبور غير مصرح به. هذه نتيجة أمنية حقيقية للشبكة حتى بدون دليل على اختراق المحتوى. يعتمد المستخدمون ومشغلو الخدمات على التوجيه البيني لتقديم حركة المرور من خلال علاقات قابلية الوصول المتوقعة. يمكن للأصل الزائف أن يكسر حدود التحكم هذه مع ترك خوادم التطبيقات والجلسات المشفرة سليمة.

هذا التمييز يحمي كلاً من المساءلة والدقة. التقليل من الحدث لأنه لم يثبت سرقة بيانات يتجاهل تحويل المسار الموضح. تسمية الحدث اعتراضًا لأن حركة المرور عبرت روستيليكوم تعامل قدرة محتملة على أنها فعل مكتمل. الأدلة تدعم الموقف الوسط: حدث التحويل لحركة المرور المقاسة؛ التفتيش وفك التشفير والتعديل والاستغلال لا تزال غير معروفة.

أربع فئات من الأدلة تحافظ على صدق الإسناد

من الأفضل فهم الحدث من خلال أربع فئات من الأدلة: المؤكدة والمحتملة والمتنازع عليها وغير المعروفة. خلط هذه الفئات هو الطريق الرئيسي من ملاحظة تقنية إلى اتهام غير مدعوم.

تشمل الأدلة المؤكدة ملاحظات أصل AS12389، ونافذة 22:36 إلى حوالي 22:43 UTC، والإعلانات الزائفة، وبعض المسارات الأكثر تحديدًا، والنشر من قبل أقران متعددين، وتغيرات المسار المقاسة. فئات الخدمات المسماة والأمثلة مدعومة أيضًا عند ربطها بتقارير المراقبة. تعتمد هذه الاستنتاجات على ملاحظات موزعة بدلاً من الوصول إلى الأنظمة الخاصة لروستيليكوم. [1][2]

يجب أن تظل التفسيرات المحتملة مشروطة. الفشل الداخلي في التوجيه أو التكوين هو مرشح محتمل للسبب الجذري. لاحظت BGPMon إعلانات متزامنة شملت أنظمة مستقلة أخرى مرتبطة بروستيليكوم، وهو نمط يمكن أن يدعم فرضية خطأ داخلي أوسع بدلاً من مجموعة خارجية مستهدفة بعناية. الأدلة لا تحدد التكوين أو الأمر أو النظام الذي فشل بالضبط.

تتعلق التفسيرات المتنازع عليها بالاستهداف المتعمد ونية الاعتراض. جعل تركيز الوجهات المالية والدفع والتجارة الإلكترونية والأمنية، بالإضافة إلى المسارات الأكثر تحديدًا المُقدمة حديثًا، النمط مشبوهًا لـ BGPMon وThousandEyes. الشكوك ذات صلة لأنها تشكل استجابة الحوادث والحفاظ على الأدلة. إنها ليست نتيجة للغرض.

المجهولات تشمل من بدأ التغيير، وما إذا كان ذلك الشخص مصرحًا له، والآلية الداخلية الدقيقة، وسبب اختيار البادئات، وما إذا تم فحص الحزم، وما إذا تم فك تشفير أي محتوى، وما إذا كانت المعاملات متأثرة، وما إذا فقد المستخدمون بيانات أو أموالًا، وعدد السكان المتأثر الكامل تحت طريقة قياس مشتركة، وما حدث من علاج دائم.

استخدمت CERT-EU وENISA لاحقًا صياغة أقوى موجهة نحو التهديد في مناقشاتهما المؤسسية. هذه التقييمات تستحق إسنادًا دقيقًا لأن الهيئات العامة تستخدم حوادث سابقة لشرح مخاطر التوجيه. لا تخلق صياغتها وصولاً إلى سجلات تغيير AS12389 أو سجلات حزم الخدمة المتأثرة. يجب ألا يُعتبر التصنيف اللاحق القاطع كدليل أولي جديد حول نية المشغل في 2017. [4]-[6]

يضع مراجعة أمن التوجيه السنوية لجمعية الإنترنت الحلقة ضمن نمط أكبر بكثير من حوادث التوجيه ومخاوف الوقاية. يساعد هذا السياق في إظهار لماذا القضية مهمة تتجاوز مشغلًا واحدًا. لا ينبغي أن يسوي الحدث إلى إحصائية عامة أو يجيب على أسئلة الإسناد غير المحلولة. [3]

سلم الأدلة يوضح ما قد يبرر لغة أقوى. يمكن لتحديثات المسار الموزعة إثبات الأصل الزائف. يمكن لبيانات النشر من زوايا متعددة إثبات الوصول. يمكن لقياسات المسار النشطة إثبات التحويل من نقاط مراقبة معينة. يمكن لسجلات الخدمة إثبات الاتصالات المستلمة وحالة TLS وتأثيرات التطبيق. يمكن لالتقاط الحزم إثبات محتوى حركة المرور وتعديلها ضمن نطاقها. يمكن لسجلات التغيير والمصادقة الخاصة بالمشغل تحديد الإجراء الداخلي. يمكن لتحقيق السبب الجذري ربط تلك السجلات بالمسؤولية والنية.

يصل السجل العام لأبريل 2017 إلى المستويات الثلاثة الأولى لأجزاء من الحدث. لا يصل إلى المستويات اللاحقة. تسمح هذه الحدود بمساءلة تشغيلية قوية دون إسناد دافع غير مدعوم. يمكن مساءلة روستيليكوم عن شرح المسارات التي نشأها وصدرها AS12389 حتى عندما يكون الاستهداف المتعمد غير مثبت. يمكن سؤال الأقران عن قبولهم ونشرهم حتى لو لم ينشئوا المسارات. يمكن سؤال حاملي البادئات عن التفويض والمراقبة دون الإيحاء بأنهم تسببوا في الحادث.

يجب أن تكون أدلة الإسناد متماثلة أيضًا. يجب حفظ الأدلة التي تدعم فرضية العداء، بما في ذلك تركيز الهدف والإعلانات الأكثر تحديدًا. يجب أيضًا حفظ الأدلة التي تدعم فرضية الفشل العرضي، بما في ذلك الإعلانات التي تشمل أنظمة مستقلة ذات صلة. يشرح حساب ذو مصداقية لماذا تتناسب إحدى الفرضيات بشكل أفضل في النهاية أو يذكر أن السجل المتاح لا يمكنه الاختيار بينهما.

هذا الانضباط ليس ترددًا. إنه يسند مسؤولية واضحة عن الإجراءات القابلة للملاحظة بينما يرفض اختراع الحالة العقلية وراءها. في حوادث التوجيه، هذا هو غالبًا الفرق بين التحليل القابل للمساءلة وسرد الجغرافيا السياسية.

AS12389 سيطر على الأدلة الداخلية الأكثر إثباتًا

سيطرت روستيليكوم، كمشغل AS12389، على النظام الذي رأته الملاحظات العامة ينشئ ويصدر المسارات. هذا لا يثبت أن الإدارة العليا وجهت الحدث أو أن فردًا تصرف عمدًا. إنه يحدد المنظمة الأقرب إلى عملية إنشاء المسار والأدلة الأكثر قدرة على شرحه.

تبدأ الضوابط ذات الصلة قبل التصدير. تحدد أذونات إنشاء المسار الحسابات والأنظمة وسير العمل التي يمكنها تقديم بادئة في عملية التوجيه. يمكن أن تتطلب مراجعة التغيير فحصًا ثانيًا على التعديلات الحساسة أو الواسعة بشكل غير عادي. يمكن أن تحد قوائم السماح للبادئات من إعلانات العملاء والبنية التحتية إلى فضاء العناوين المتوقع. يمكن لسياسة الصادر إيقاف مسار لا يجب أن يغادر النظام المستقل. يمكن للمراقبة اكتشاف أصل غير متوقع أو مجموعة مفاجئة من الإعلانات الأكثر تحديدًا. يمكن لإجراءات الانسحاب تقصير وقت التعرض بعد الكشف.

هذه فئات تحكم، وليست ادعاءات حول تكوين AS12389 الدقيق في أبريل 2017. السجل العام لا يكشف أي الضوابط كانت موجودة، أو أيها فشل، أو أيها تم تجاوزه. كما لا يكشف ما إذا كانت مجموعة المسارات جاءت من أمر يدوي أو أتمتة أو جلسة عميل أو خطأ إعادة توزيع داخلي أو بيانات اعتماد مخترقة أو آلية أخرى.

يجب أن تربط أدلة المشغل الفئات. يمكن أن يظهر تاريخ التكوين ما تغير. يمكن أن تظهر سجلات المصادقة أي حساب أو نظام قام بالتغيير. يمكن أن تظهر سجلات الموافقة ما إذا كان مصرحًا به. يمكن أن تظهر سجلات جلسة BGP والتصدير أي المسارات تم إرسالها إلى أي جيران. يمكن أن تظهر سجلات التنبيه متى علم الموظفون أولاً. يمكن أن تظهر سجلات الحوادث من أمر بالانسحاب وكيف تم تحديد المجموعة المتأثرة.

السرعة وحدها لا تكفي. تم سحب الإعلانات بعد نافذة قصيرة، لكن مدة سبع دقائق لا تكشف ما إذا كانت المراقبة تعمل، أو أن أحد الأقران أطلق إنذارًا، أو أن المشغل لاحظ خطأً، أو أن الشرط الأصلي انتهى تلقائيًا. النهاية السريعة تقلل التعرض؛ لا تشرح الكشف أو فعالية التحكم.

الإفصاح هو نقطة التفتيش الأخيرة للمشغل الأصلي. حساب عام مفيد للحادث سيميز بين حقائق المسار الملحوظة ونتيجة السبب الجذري للمشغل. سيذكر نطاق التصدير المتأثر، ويشرح ما إذا كانت البادئات قد تم تقديمها بواسطة التكوين أو الأتمتة أو العميل أو مصدر مسار آخر، ويحدد التحكم الذي فشل، ويصف الاحتواء، ويعطي أدلة علاج محدودة. لا يحتاج إلى كشف بيانات الاعتماد أو طوبولوجيا سرية للعميل أو تفاصيل قابلة للاستغلال.

بدون هذا الحساب، لا يزال بإمكان المراقبين الخارجيين إسناد المسؤولية التشغيلية للأصل والتصدير. لا يمكنهم بشكل موثوق إسناد المسؤولية الشخصية أو النية أو توزيع الخطأ الداخلي. عدم تناسق الأدلة هو في حد ذاته حقيقة مساءلة: المنظمة التي سيطرت على عملية المسار سيطرت أيضًا على السجلات اللازمة لحل عدم اليقين الأكثر أهمية.

لا يمكن للمشغل سد هذه الفجوة بالإشارة إلى أن BGP موزع. التوزيع يعني أن AS12389 لم يتحكم في أي الشبكات البعيدة قبلت المسار. لا يمحو السيطرة على ما نشأه وصدره AS12389. على العكس، تحديد الأصل الزائف في AS12389 لا يمحو دور الجيران الذين نشروه. المسؤولية العملية تتبع كل نقطة تفتيش بدلاً من طي السلسلة بأكملها في فاعل واحد.

الأقران المقبولون سيطروا على حدود نشر الحدث

يصبح الأصل الزائف ذا عواقب واسعة فقط عندما تقبله شبكات أخرى وتنشره. لاحظت ThousandEyes أن Cogent وHurricane Electric وTata من بين الأقران الذين حملوا إعلانات AS12389. هذه الملاحظة لا تظهر السياسة الكاملة أو عملية القرار داخل أي شبكة مسماة. إنها تظهر أن قبول الأقران كان جزءًا من المسار من الأصل إلى التحويل المقاس. [1]

يختلف سؤال مساءلة الأقران عن سؤال روستيليكوم. الشبكة المستقبلة لم تعرف بالضرورة أن المسار كان زائفًا عندما وصل، ولم تنشئ الادعاء الأصلي. لكنها مع ذلك سيطرت على سياسة الاستيراد المحلية، ومرشحات العملاء والأقران، واستخدام معلومات تفويض المسار، والتنبيه عن الشذوذ، والتصدير اللاحق، والتنسيق في حالات الطوارئ.

يجب وصف مسؤوليات التصفية بالأدلة بدلاً من افتراضها من تسمية تجارية. قد تعالج الشبكة الجار كعميل أو قرين أو مزود عبور بموجب سياستها الخاصة. الملاحظات العامة لا تكشف عن هذه العقود أو قواعد الاستيراد لكل جلسة. كما لا تظهر ما إذا كان المسار قد مر لأنه لا يوجد مرشح، أو أن قائمة السماح كانت واسعة جدًا، أو أن بيانات السجل غير مكتملة، أو أن إشارة التحقق غير متوفرة، أو أن السياسة المحلية قبلت تحذيرًا.

يوفر RFC 7454 وNIST SP 800-189 ومواد مشغل MANRS مراجع تحكم للتصفية والتنسيق وتبادل المسار المرن. تدعم توقع أن الشبكات يجب أن تعرف ما هي المسارات التي قد يعلنها الجار، وترفض الإعلانات غير المعقولة حيث تسمح المعلومات الموثوقة، وتراقب الشذوذ، وتحتفظ بمسارات اتصال للتصحيح السريع. لا تثبت أن قرينًا معينًا انتهك واجبًا محددًا في أبريل 2017. هذا الاستنتاج سيتطلب سجلات السياسة التاريخية للقرين واختيار المسار والتنبيه. [10][15]-[17]

النشر يخلق واجب أدلة نسبي. يجب أن يكون القرين الذي حمل مسارًا أكثر تحديدًا غير متوقع قادرًا على إظهار ما استلمه، وما التحقق أو المرشحات التي تم تشغيلها، وأي تفضيل محلي اختاره، وأين صدر المسار، ومتى سحبه. الأدلة المحفوظة تمكن من تمييز لاحق بين قيود لا مفر منها في بيانات التفويض المتاحة وفشل سياسة يمكن السيطرة عليه.

نفس الأدلة يمكن أن تمنع اللوم غير العادل. قد يُظهر القرين أنه لا يوجد ROA مطبق، أو أن بيانات السجل لم تحدد مجموعة عملاء ضيقة بما يكفي، أو أنه قبل المسار بموجب سياسة موثقة، أو أنه غير مساره بسرعة بعد تنبيه. بدلاً من ذلك، قد تظهر السجلات أن قيدًا معروفًا كان غائبًا أو تم تجاهله. تحدد ملاحظات المسار العامة الشبكات التي يجب سؤالها؛ لا تقدم الإجابة الكاملة.

التوجيه الموزع إذًا ينتج مساءلة موزعة. تتحمل روستيليكوم مسؤولية الأصل الزائف والتصدير. تتحمل الشبكات المستقبلة مسؤولية الضوابط عند حدودها الخاصة. تتداخل هذه المسؤوليات في التأثير دون أن تصبح متطابقة في السبب.

حاملو البادئات والمراقبون المستقلون سيطروا على أشكال مختلفة من الاستعداد

المنظمات التي ظهر فضاء عناوينها في المجموعة المتأثرة لم تنشئ إعلانات AS12389. مسؤوليتهم تتعلق بالإعداد والكشف والتصعيد وأدلة جانب الخدمة، وليس اللوم على الأصل.

يمكن لحاملي البادئات الحفاظ على سجلات توجيه وتفويض دقيقة، وترتيب مراقبة أصل خارجي، وتحديد جهات اتصال التصعيد للمزود، والحفاظ على أدلة الخدمة عند حدوث تنبيه. حيثما كان مناسبًا تشغيليًا، يمكنهم التفكير في نشر مسار أكثر تحديدًا تخفيفيًا من خلال مقدمي الخدمة الشرعيين. أي تخفيف يجب تقييمه بعناية لأن تغييرات المسار التي تتم أثناء الحادث يمكن أن تخلق مشاكل جديدة في قابلية الوصول.

السياق التاريخي ضروري. حدث الحدث قبل تطبيق التحقق من صحة الأصل على نطاق واسع. السجل المتاح لا يحدد أي البادئات المتأثرة كان لديها ROAs صالحة في أبريل 2017، أو ما هي الأطوال القصوى التي فوضتها تلك ROAs، أو أي الشبكات المستقبلة استخدمت التحقق. سيكون من الخطأ إذًا معاملة غياب الرفض العالمي كدليل على أن كل حامل بادئة أهمل RPKI أو أن كل قرين تجاهل إشارة غير صالحة متاحة.

سيطرت منظمات المراقبة على نقطة تفتيش مختلفة: جودة الأدلة الخارجية. قدمت BGPMon نافذة حدث محددة، وعدد البادئات المتأثرة، ومقام 37 نظامًا مستقلاً، ومثالًا أكثر تحديدًا، وفرضيات متنافسة حول النية. قدمت ThousandEyes إطار ملاحظتها المكون من 137 بادئة، والتصنيف المؤدي إلى 36 بادئة لشركات خارجية، وملاحظات نشر الأقران، وأمثلة الخدمات المتأثرة، والمسارات المقاسة. [1][2]

تلك السجلات تكون أقوى عندما تظل نقاط مراقبتها وحدودها الزمنية وطرق تصنيفها قابلة للتكرار. يوضح وصول بيانات BGPStream من CAIDA وإعادة البناء التاريخي من قبل Moriano والمؤلفين المشاركين كيف يمكن لمواد أرشيف Route Views وRIPE RIS دعم التحليل اللاحق. إعادة البناء اللاحقة لا تزال بحاجة إلى ذكر أي المجمعات وفترات التحديث تم استخدامها وكيف تم تجميع البادئات. [7][8]

المراقبون المستقلون لديهم أيضًا واجب لغوي. يمكنهم وصف الاختيار المشبوه وشرح لماذا تثير المسارات الأكثر تحديدًا القلق. يجب أن يذكروا بشكل منفصل ما إذا كانوا يمتلكون أدلة على الغرض أو الوصول الداخلي أو اعتراض المحتوى. هذا الفصل يسمح للمراقب بتحذير المشغلين بسرعة دون تحويل درجة الشذوذ إلى حكم إسناد.

يمتلك مشغلو الخدمات المتأثرة الأدلة اللازمة لتقييم الضرر النهائي. قد تظهر سجلات حركة المرور تحولات الاتصال. قد تظهر سجلات TLS ما إذا كانت الجلسات قد اكتملت بشكل آمن. قد تظهر سجلات التطبيق والمعاملات أخطاء أو احتيالًا أو عدم تأثير مادي. قد تحدد تقارير العملاء الجغرافيا والمدة. لا يمكن إعادة بناء أي من هذه السجلات بشكل موثوق من تحديثات المسار وحدها.

التقسيم العملي واضح. يتحكم حاملو البادئات في الاستعداد والتصعيد. يتحكم المراقبون المستقلون في الملاحظة والتحليل الخارجيين. يتحكم مشغلو الخدمات في أدلة تأثيرات التطبيق والعملاء. يمكن لكل منهم إغلاق جزء مختلف من سجل الحادث، ولا ينبغي لأي منهم الادعاء بأن أدلة الطرف الآخر غير ضرورية.

RPKI يمكن أن يقيد الأصول الزائفة لكنه لا يستطيع تحديد الدافع

RPKI محوري في مناقشة التحكم لأن الحدث تضمن أصلًا زائفًا. يجب ذكر دوره بشكل ضيق. تدعم بنية RPKI بيانات قابلة للتحقق تشفيريًا حول موارد أرقام الإنترنت. يحدد تفويض أصل المسار (ROA) النظام المستقل المصرح له بنشر بادئات محددة ضمن نطاق الكائن. يسمح التحقق من صحة الأصل للشبكة المستقبلة بمقارنة إعلان أصل BGP مع بيانات التفويض المتاحة. [11]-[14][18]

يمكن لتلك الآلية إعطاء الشبكة دليلًا مفيدًا على أن الأصل الملحوظ لا يتطابق مع تفويض تغطية. إذا كانت البادئة المتأثرة لديها ROA مناسب في أبريل 2017 وقامت الشبكة المستقبلة بالتحقق، فإن أصل AS12389 كان يمكن أن ينتج إشارة قد ترفضها السياسة أو تقلل من أولويتها. النتيجة الفعلية ستعتمد على التفويض التاريخي وطول البادئة وبيانات التحقق وسياسة التوجيه المحلية.

عدة حدود تتبع.

أولاً، RPKI لا يثبت النية. يمكن أن يفشل المسار في التحقق من الأصل بسبب إعلان عدائي أو خطأ مشغل أو تفويض قديم أو ROA غير صحيح النطاق أو عدم تطابق آخر. الإشارة تتعلق بتفويض الأصل، وليس بالحالة العقلية أو هوية الشخص وراء التحديث.

ثانيًا، التحقق من الأصل لا يشرح المحفز الداخلي. يمكن أن يحدد تعارضًا عند حدود الاستقبال بينما يترك دون إجابة ما إذا كان المسار جاء من تكوين يدوي أو أتمتة أو عميل أو وصول مخترق أو مسار إعادة توزيع غير مقصود.

ثالثًا، RPKI لا يتحقق بحد ذاته من مسار AS بالكامل. بيان الأصل المصرح به ليس دليلًا تشفيريًا على أن كل علاقة عبور أو مقطع مسار شرعي. يعالج تصنيف تسريب المسار في RFC 7908 وإرشادات التصفية في RFC 7454 مخاوف سياسية وتشغيلية أوسع لا يمكن اختزالها في فحص أصل واحد. [9][10]

رابعًا، الادعاء بأثر رجعي يتطلب بيانات بأثر رجعي. لا يمكن إسقاط تغطية RPKI الحالية أو ممارسة التحقق أو إرشادات السجل إلى الماضي بدون دليل. الأسئلة ذات الصلة هي أي البادئات المتأثرة كان لديها ROAs مناسبة في 26 أبريل 2017، وما أطوال البادئات التي فوضتها، وما بيانات التحقق التي تلقاها كل قرين، وكيف عالج كل قرين الحالة الناتجة.

خامسًا، التحكم يكون مفيدًا فقط بقدر تكامله التشغيلي. يجب أن تكون سجلات التفويض دقيقة ومحفوظة. يجب مراقبة أدوات التحقق وتوزيع البيانات. يجب أن تحدد سياسة المسار ما يحدث عند وجود إشارة أو غيابها. يحتاج المشغلون إلى إجراءات استثناء وتراجع واتصال طارئ. تضع إرشادات MANRS وNIST التصفية والتحقق والتنسيق والنظافة العامة للتوجيه ضمن ممارسة تشغيلية أوسع بدلاً من تقديم RPKI كإجابة كاملة. [15]-[17]

هذه القيود لا تضعف قضية أمن أصل المسار. إنها توضح ما يمكن للتحكم إثباته. يمكن لـ RPKI تقليل الاعتماد على ادعاء أصل غير موثق ويمكن أن يساعد الشبكات المستقبلة في اتخاذ قرار أكثر استنارة. لا يمكنه تحديد لماذا أعلنت AS12389 المسارات، أو ما إذا كانت حركة المرور قد فُحصت، أو من يتحمل كل المسؤولية.

قضية أبريل 2017 هي إذًا حجة لضوابط متعددة الطبقات. يمكن لتفويض الأصل أن يقيد القبول. يمكن لمرشحات البادئات أن تحد من ما يصدره الجار. يمكن لمراقبة المسارات الأكثر تحديدًا وتغيير الأصل أن تقلل وقت الكشف. يمكن لتنسيق الأقران تسريع الانسحاب. يمكن للقياس النشط إظهار تأثير المسار. يمكن لسجلات الخدمة تقييم الضرر. يمكن لسجلات المشغل شرح السبب.

لا تقدم أي طبقة الحساب الكامل. أقوى تصميم مؤسسي يجعل الطبقات تنتج أدلة يمكن التوفيق بينها بعد الحدث.

معايير أمن التوجيه تخلق واجبات القدرة، وليس أحكامًا بأثر رجعي

المعايير ووثائق أفضل الممارسات هي الأكثر فائدة هنا كخرائط تحكم. يوفر RFC 7908 مفردات لتسريبات المسار. يعالج RFC 7454 أمن BGP التشغيلي والتصفية. يصف RFC 6811 وRFC 7115 التحقق من صحة الأصل واستخدامه التشغيلي. يعرف RFC 6480 وRFC 6482 أسس RPKI وROA. يربط NIST SP 800-189 وMANRS بين التصفية والتحقق والتنسيق والمراقبة والعمليات البينية المرنة. تشرح RIPE NCC التحقق من صحة أصل BGP وحدوده. [9]-[18]

معًا، يدعمون واجبات مؤسسية قابلة للقياس دون الادعاء بخرق قانوني في 2017. يجب على شبكة الأصل تحديد البادئات التي يمكنها إنشاؤها وتصديرها. يجب على الشبكة المستقبلة الحفاظ على ضوابط استيراد متناسبة واستخدام بيانات تفويض موثوقة حيثما كانت متاحة. يجب على حامل البادئة الحفاظ على سجلات دقيقة ومراقبة الأصول غير المتوقعة. يجب على المشغلين الحفاظ على السجلات وجهات الاتصال التي تسمح بالانسحاب السريع والشرح اللاحق.

الواجبات هي قدرات، وليست شعارات. "نستخدم RPKI" غير مكتمل بدون ROA التاريخي وحالة التحقق والاستجابة المحلية. "نقوم بتصفية العملاء" غير مكتمل بدون مجموعة البادئات المسموح بها ودليل على تشغيل المرشح. "نراقب BGP" غير مكتمل بدون عتبات التنبيه والطوابع الزمنية والتصعيد. "تم سحب المسار" غير مكتمل بدون سجل الكشف والقرار.

الوثائق لا تثبت أن روستيليكوم أو أي قرين مسمى فشل في تحكم محدد أثناء الحدث. ذلك سيتطلب مقارنة بين المتطلبات التاريخية والهندسة الفعلية للمشغل وأدلة الحادث. المعايير الحالية لا تزال قادرة على تعريف الأسئلة التي يجب أن تكون المؤسسة المسؤولة قادرة على الإجابة عليها الآن.

هذا النهج يتجنب خطأين. أحدهما هو القدرية التكنولوجية، حيث يصبح التصميم الموزع لـ BGP سببًا لعدم قدرة أي شخص على أن يكون مسؤولاً. الآخر هو اليقين التكنولوجي، حيث يتم إعلان تحكم حديث واحد كمنع تاريخي مضمون. الأدلة لا تدعم أيًا منهما.

المساءلة المؤسسية بدلاً من ذلك تسأل ما إذا كان كل فاعل يمكنه إظهار تحكمه عند النقطة التي يملكها. يظل هذا المعيار صالحًا حتى عندما لا يكون للنظام العالمي مشغل مركزي ويكون الدافع الأصلي غير محلول.

يجب قياس الضرر دون اختراع اختراق

تضمنت المجموعة المتأثرة خدمات مالية ودفع وتجارة إلكترونية وأمن ويب وشهادات. ذكرت التقارير ماستركارد وفيزا وبي إن بي باريبا وإتش إس بي سي وسيمانتيك وجيوت كأمثلة مرتبطة بالبادئات المتأثرة. هذه الأسماء تشرح لماذا تعامل المراقبون مع النمط بجدية. لا تثبت اختراق المنظمات أو عملائها. [1][2]

الضرر المؤكد هو ضرر توجيه. فقدت بعض حركة المرور مسارها المقصود وعبرت شبكة عبور غير مصرح بها. غير ذلك حدود الثقة للاتصالات المتأثرة وقلل من سيطرة حاملي البادئات على كيفية وصول المستخدمين إلى خدماتهم.

الأضرار الثانوية المحتملة تتطلب أدلة منفصلة. احتيال المعاملات يتطلب سجلات معاملات. سرقة بيانات الاعتماد تتطلب أدلة مصادقة أو مستخدم أو أدلة جنائية. اختراق TLS يتطلب أدلة جلسة وشهادة. تغيير البيانات يتطلب سجلات حزمة أو تطبيق أو سلامة. الانقطاع يتطلب قياسات توفر مرتبطة بالمستخدمين المتأثرين. الضرر المالي يتطلب سجلات خسارة وتحليل سببي.

لا يتبع أي من هذه الاستنتاجات بمجرد مرور مسار عبر AS12389. يمكن للتسليم اللاحق أن يسمح للخدمة بالبقاء متاحة، ويمكن للتشفير أن يحد من المحتوى المقروء. لا حقيقة تلغي المخاطرة. لا تثبت السلامة لكل اتصال.

يجب أن يستخدم الإبلاغ عن الضرر إذًا مقياسًا متعدد المستويات. فقدان التحكم في المسار مؤكد. التعرض لمسار عبور غير مقصود مؤكد لحركة المرور المقاسة. رؤية المحتوى ممكنة لكنها غير مثبتة. الاعتراض النشط متنازع عليه وغير مثبت. اختراق البيانات وتأثيرات المعاملات والخسارة غير معروفة.

هذا المقياس يعطي المنظمات المتأثرة مجالًا للإبلاغ بصدق. يمكنهم الاعتراف بحدوث حدث تحكم جدي في الشبكة بينما تستمر التحقيقات. يمكنهم لاحقًا إضافة نتائج جانب الخدمة دون إعادة كتابة ملاحظات التوجيه. إذا لم يتم العثور على ضرر تطبيقي، يجب الإبلاغ عن هذه النتيجة كدليل ضمن النطاق المفحوص، وليس كدليل على أن الأصل الزائف كان غير ضار.

نفس الانضباط ينطبق على الوكالات العامة والباحثين. يمكن لصياغة التهديد القوية أن تحفز ضوابط أفضل، لكن لا ينبغي أن تحول فئات الضرر المحتمل إلى حقائق حادث. مصداقية المناصرة لأمن التوجيه تعتمد على الحفاظ على هذا الخط.

يجب أن يجيب الإفصاح على أسئلة التحكم حتى عندما يظل الإسناد غير محلول

تقرير الحادث لا يحتاج إلى تحديد فاعل عدائي ليكون مفيدًا. يمكن أن يذكر ما يعرفه المشغل عن إنشاء المسار والتصدير والنشر والكشف والانسحاب مع الإشارة إلى أن الدافع غير محلول.

بالنسبة لـ AS12389، فإن الحد الأدنى من الحساب المفيد سيحدد الفئة المصدر للإعلانات، ومجموعة المسارات ونطاق التصدير، وقناة الكشف، وقرار الانسحاب، والفترة المتأثرة، وتغييرات التحكم التي تمت بعد ذلك. يمكن أن يشرح ما إذا كان الحدث شمل تكوينًا أو أتمتة أو إدخال عميل أو آلية داخلية أخرى دون كشف أوامر حساسة أو بيانات اعتماد.

يمكن للشبكات المستقبلة الإفصاح عما إذا تم التعامل مع المسارات كإعلانات عميل أو قرين أو عبور؛ وما إذا تم تطبيق فحوصات البادئة أو الأصل أو المسار؛ وما إذا كانت بيانات RPKI التاريخية أنتجت إشارة قابلة للاستخدام؛ وكيف تمت إزالة المسارات. يمكن لحاملي البادئات الإفصاح عن متى تم تنبيههم، ومع من اتصلوا من مقدمي الخدمة، وما إذا كانت أدلة الخدمة أظهرت تأثيرات قابلة للقياس على العملاء.

السجل العام المقدم من المراقبين يفصل بالفعل بعض الحقائق عن التفسيرات. وثقت BGPMon وThousandEyes التوقيت ومجموعات المسارات والمسارات الأكثر تحديدًا والنشر وتأثيرات المسار، ثم ناقشتا لماذا بدا نمط الهدف مشبوهًا. حافظت BGPMon أيضًا على أدلة تدعم فرضية الفشل العرضي. [1][2]

هذا هو النموذج لعدم اليقين القابل للمساءلة. يجب ألا يخفي التقرير أدلة مشبوهة لتجنب مخاطر السمعة. لا ينبغي أن يقدم الشك كنية. يجب أن يذكر السجلات التي من شأنها أن تحسم القضية ويذكر ما إذا تم فحص تلك السجلات.

الإفصاح يحتاج أيضًا إلى اختبار علاج دائم. بيان أن المسارات سحبت يصف الاحتواء. لا يظهر أن الأذونات تغيرت، أو أن المرشحات ضيقت، أو أن التنبيهات تحسنت، أو أن السجلات احتفظت بها، أو أن تنسيق الأقران تم اختباره. يجب أن تحدد أدلة العلاج التحكم الفاشل والتغيير والاختبار ونتيجة المراقبة.

للمؤسسات قيود إفصاح مختلفة. قد يحمي المشغلون المعلومات الحساسة أمنيًا والسرية للعملاء. قد يتجنب مقدمو الخدمات المالية والأمنية كشف أنماط حركة المرور. قد يعامل الأقران السياسات على أنها حساسة تجاريًا. هذه القيود تبرر التجميع والتنقيح، وليس استنتاجًا خاليًا من الأدلة.

المصلحة العامة تكون أقوى عند الحدود بين العملية المؤكدة والغرض المزعوم. يمكن للحساب الواضح أن يقول إن AS12389 أصدر مسارات زائفة، ونشرها أقران، وتغير مسار حركة المرور المقاسة. يمكنه أيضًا أن يقول إن الاستهداف المتعمد والاعتراض والتجسس غير مثبت. هذا المزيج أكثر مساءلة من الإنكار من خلال الغموض أو الاتهام من خلال الاستدلال.

الأدلة التي يمكن أن تغير التقييم

يمكن للعديد من السجلات تقوية أو تضييق أو عكس أجزاء من التقييم الحالي بشكل جوهري.

يمكن لتاريخ تكوين AS12389 تحديد مصدر المسار الدقيق والتغيير. يمكن لسجلات المصادقة والتفويض تحديد الحساب أو النظام المعني وما إذا كان الإجراء اتبع سير عمل معتمدًا. يمكن لسجلات التصدير وجلسة BGP تحديد أي الجيران تلقوا أي إعلانات. يمكن لسجلات التنبيه والاستجابة للحوادث إظهار كيف تم اكتشاف الحدث ولماذا حدث الانسحاب.

يمكن لتقرير السبب الجذري لروستيليكوم ربط تلك السجلات، وتمييز الخطأ عن الإجراء غير المصرح به، وتوثيق العلاج. ستعتمد مصداقيته على الطريقة والحفاظ على الأدلة وما إذا تم فحص الفرضيات المتنافسة. التأكيد المجرد للحادث أو الهجوم لن يحل سؤال الإسناد.

يمكن لسجلات مرشح الأقران والتحقق والاختيار إظهار لماذا مرت مسارات محددة. يمكن لقطات السياسة التاريخية تمييز التحكم المفقود عن بيانات التفويض المفقودة. يمكن لسجلات التصدير إظهار حدود النشر، بينما يمكن لسجلات الاتصال والتذاكر إظهار متى نسق الأقران الانسحاب.

يمكن لإعادة التحليل القابلة للتكرار لأرشيف RIPE RIS وRoute Views التوفيق بين أطر عد BGPMon وThousandEyes أو شرح لماذا تختلف. يمكنه أيضًا رسم خريطة النشر عبر الزمن ونقاط المراقبة. سيحتاج التحليل إلى معلنة المجمعات والطوابع الزمنية وإزالة الازدواجية وطرق تصنيف البادئات. [7][8]

يمكن لسجلات ROA التاريخية لكل بادئة متأثرة إظهار ما إذا كان التحقق من الأصل سينتج نتيجة مفيدة في ذلك الوقت. سيحتاج التحليل إلى الأصل المصرح به ذي الصلة والبادئة ونطاق الطول الأقصى، بالإضافة إلى أدلة على بيانات التحقق التي كانت لدى كل شبكة مستقبلة وكيف استجابت سياستها المحلية.

يمكن لسجلات حركة المرور للخدمة المتأثرة وTLS والمصادقة والتطبيق والمعاملات إثبات ما إذا كانت الاتصالات المحولة قد اكتملت أو فشلت أو أظهرت تأثيرات مشبوهة. يمكن لالتقاط الحزم تقديم أدلة أكثر مباشرة ضمن نطاقها المحدود وفترة الاحتفاظ. يمكن لسجلات حوادث العملاء والخسارة ربط التأثيرات التقنية بالأشخاص أو المنظمات.

الأدلة على أن المسار المقاس لم يحمل حركة مرور إنتاجية ستضيق استنتاج الضرر. أدلة فحص الحزم أو التعديل أو استخدام بيانات الاعتماد ستوسعه. أدلة تغيير مسار متعمد وموثق مرتبط بفاعل مسؤول ستغير تقييم الإسناد بشكل جوهري. أدلة خطأ داخلي وتحكم تصحيحي تم اختباره ستعزز تفسير الفشل العرضي.

حتى تتوفر هذه السجلات، يجب أن يظل الاستنتاج محدودًا. إعلانات AS12389 وتحويل المسار مؤكدة. فشل التوجيه أو التكوين محتمل. الاستهداف المتعمد والاعتراض وهوية الفاعل غير محلولة. اختراق البيانات والخسارة غير مثبتين.

المساءلة تبدأ حيث يتم التحكم في الأدلة

حدث أبريل 2017 ليس في المقام الأول قصة حول ما إذا كان تسمية مقلقة تهزم أخرى. إنه اختبار لكيفية إسناد المسؤولية في بنية تحتية موزعة بطبيعتها.

سيطرت روستيليكوم على إنشاء المسار وسياسة التصدير والسجلات الداخلية الأقرب إلى السبب. سيطر الأقران المقبولون على المرشحات والتحقق والنشر والأدلة الخاصة بهم. سيطر حاملو البادئات على بيانات التفويض والمراقبة والتصعيد. سيطر المراقبون المستقلون على الملاحظة الخارجية والشفافية التحليلية. سيطرت الخدمات المتأثرة على أدلة تأثير العملاء والتطبيق.

لم يسيطر أي فاعل على المسار بأكمله. كل منهم سيطر على نقطة تفتيش حيث كان المنع أو الحصر أو الكشف أو الشرح ممكنًا. هذا كافٍ للمساءلة التشغيلية حتى عندما يظل الدافع غير معروف.

يظهر الحدث أيضًا لماذا يجب معاملة RPKI كتحكم محدود. يمكن لتفويض الأصل مساعدة الشبكات المستقبلة في رفض أو تقليل الثقة في أصل زائف عندما تدعم البيانات التاريخية والسياسة تلك النتيجة. لا يمكنها تحديد الشخص وراء التحديث، أو إثبات الاعتراض، أو استبدال تصفية التصدير أو تنسيق الأقران أو قياس المسار أو التحقيق في جانب الخدمة.

أقوى استنتاج هو إذًا ثابت ومحدود. تثبت الملاحظات العامة أن AS12389 أصدر مسارات زائفة، وأن أقرانًا متعددين نشروا بعض الإعلانات، وأن حركة المرور المقاسة غيرت مسارها. لا تثبت أن روسيا أو روستيليكوم كانت تنوي التجسس، أو أنه تم فحص حركة المرور، أو أن بيانات مالية أو أموالًا فقدت.

المساءلة لا تتطلب اختراع تلك الحقائق. إنها تتطلب من المشغلين الذين سيطروا على الأدلة الحاسمة الحفاظ عليها واختبارها وشرح ما تظهره.

المصادر

تم التحقق من الوصول: 2026-07-25

  1. ThousandEyes، آلية الحدث، أدلة المسار وسطح الخدمة المتأثرة:https://www.thousandeyes.com/blog/rostelecom-route-leak-targets-ecommerce-services
  2. BGPMon، توقيت الحدث، العدادات، مثال المسار الأكثر تحديدًا والفرضيات المتنافسة:https://www.bgpmon.net/bgpstream-and-the-curious-case-of-as12389/
  3. جمعية الإنترنت، سياق مراجعة أمن التوجيه السنوي المستقل:https://www.internetsociety.org/blog/2018/01/14000-incidents-2017-routing-security-year-review/
  4. CERT-EU، ملخص مؤسسي لاحق للحادث والضرر:https://cert.europa.eu/publications/threat-intelligence/threat-memo-190611-1/pdf
  5. ENISA، تحليل أمن BGP وتوصيات التحكم:https://www.enisa.europa.eu/sites/default/files/publications/WP%202019%20-%20O.1.2.3.P%20-%20Short%20position%20paper%20%E2%80%94%20analysis%20of%20a%20technical%20topic%20%28BGP%20security%29.pdf
  6. CERT-EU، تقييم تهديد منسوب لاحق:https://cert.europa.eu/publications/threat-intelligence/threat-memo-bgp-hijacking-russia/pdf
  7. Moriano والمؤلفون المشاركون، إعادة بناء تاريخية محكمة:https://pmoriano.com/docs/COMNET21.pdf
  8. CAIDA BGPStream، الوصول إلى بيانات Route Views وRIPE RIS التاريخية:https://bgpstream.caida.org/data
  9. IETF RFC 7908، تعريفات تسريب المسار وتصنيفه:https://datatracker.ietf.org/doc/html/rfc7908
  10. IETF RFC 7454، إرشادات أمن BGP التشغيلية والتصفية:https://datatracker.ietf.org/doc/html/rfc7454
  11. IETF RFC 6811، حالات التحقق من صحة أصل BGP:https://datatracker.ietf.org/doc/html/rfc6811
  12. IETF RFC 7115، الاستخدام التشغيلي للتحقق من صحة أصل RPKI:https://datatracker.ietf.org/doc/html/rfc7115
  13. IETF RFC 6480، بنية RPKI:https://datatracker.ietf.org/doc/html/rfc6480
  14. IETF RFC 6482، ملف تفويض أصل المسار:https://datatracker.ietf.org/doc/html/rfc6482
  15. NIST SP 800-189، إرشادات أمن BGP والتبادل المرن:https://csrc.nist.gov/pubs/sp/800/189/final
  16. MANRS، إجراءات مشغل الشبكة:https://manrs.org/netops/
  17. MANRS، إرشادات تنفيذ مشغل الشبكة:https://manrs.org/netops/bcop/
  18. RIPE NCC، شرح التحقق من صحة أصل BGP وحدوده:https://www.ripe.net/manage-ips-and-asns/resource-management/rpki/bgp-origin-validation/