Summary

  • Petros Gigis explicó en RIPE 92 que las estadísticas de entrada y los anuncios BGP no prueban por sí solos que los paquetes vengan del prefijo que figura en su dirección de origen.
  • openPenny elige una pequeña muestra TCP, descarta algunos paquetes y busca la retransmisión. El artículo original de Gigis informa que, en sus pruebas, doce descartes repartidos entre flujos dieron tasas de falsos positivos de hasta un caso por millón.

Una puerta de entrada nueva puede engañar incluso a un contador perfecto. El equipo de un ISP encuentra tráfico atribuido a un prefijo conocido en un punto de presencia inesperado. Tal vez el camino cambió. Tal vez un tercero escribió ese prefijo en el campo de origen. Petros Gigis diseñó openPenny para separar esas posibilidades antes de que la alarma consuma una guardia entera.

El problema pesa especialmente sobre una red de tránsito. NetFlow y sFlow miden el caudal y el lugar por donde llega. BGP describe anuncios de rutas. La red intermedia no termina la conexión del usuario ni dispone de todo el estado TCP del extremo. Jen Linkova preguntó en la sesión por qué no bastaba comprobar el saludo TCP; Gigis respondió que esa opción pertenece a quien termina la conexión, no a quien sólo la transporta.

El instrumento trabaja en dos tiempos. Su modo pasivo mira copias de los flujos y señala segmentos sospechosos sin tocar los paquetes vivos. Para una fracción seleccionada, el modo activo desvía tráfico a un equipo de análisis local y suprime unos pocos paquetes TCP. Si existe una conversación real, el emisor responde a la pérdida con retransmisiones. Los paquetes enviados con una identidad ajena y sin ese circuito de respuesta no ofrecen la misma señal. La ficha oficial de RIPE 92 presenta la propuesta para hardware x86 y procesamiento de paquetes en el ISP.

La cifra llamativa necesita su contexto. Gigis reporta doce paquetes descartados entre múltiples flujos y un falso positivo tan bajo como uno por millón en la configuración ensayada. Pérdidas externas, balanceo de carga, diferencias TCP y un adversario que imite respuestas exigen cautela en otro entorno. Encontrar tráfico legítimo dentro de un agregado respalda la observación del punto de entrada; no reconstruye automáticamente la ruta completa ni atribuye un ataque.

Con esa prueba, el operador puede gastar su tiempo donde duele. Un origen falsificado puede provocar horas de búsqueda de un desvío inexistente. Un desvío real puede quedar fuera de los monitores de BGP. Gigis coloca la verificación entre la alarma y la decisión: primero comprobar que hay un flujo auténtico; luego discutir con vecinos, revisar políticas o cambiar tránsito.

Fuentes: transcripción primaria de RIPE 92 · página oficial de la charla · perfil RACI · explicación original de Gigis.