Résumé

  • Sur 13 générateurs synthétiques BGP, le plus fidèle à son collecteur d’origine a subi la plus forte baisse en changeant de collecteur: 35 à 41 % des anomalies n’ont pas été détectées.
  • Le détecteur a repéré le signal BGP de la panne ibérique d’avril 2025 en moins de dix minutes, avec 1,3 % de fausses alertes; des opérateurs ont aussi confirmé à l’aveugle un épisode de 65 minutes sur AS766.

Analyse

Avant son doctorat à l’Universidad Autónoma de Madrid (UAM), Shadi Motaali travaillait chez un fournisseur d’accès en Iran. Elle y voyait des incidents de routage et les réclamations de clients qui en découlaient. À RIPE 93, elle a posé la question avec l’horloge des opérateurs: quelques minutes, ou l’appel d’un abonné? Son étude mesure ce que perd un détecteur BGP quand son point d’observation change.

Le test entraîne le modèle sur RRC4 de RIPE RIS puis l’évalue sur RRC5. Motaali a comparé 13 générateurs synthétiques à partir de 30 événements documentés, étiquetés selon leurs horodatages publiés. Celui qui collait le mieux à son collecteur d’origine chutait le plus sur l’autre: 35 à 41 % des anomalies passaient inaperçues.

La transcription précise aussi le travail sur les signaux. Motaali a ramené 48 statistiques candidates issues des messages UPDATE à 25, retenues seulement lorsque six algorithmes de sélection étaient d’accord. Le détecteur ajoute une vue en graphe des systèmes autonomes. Dans un réseau clairsemé ou en étoile, un classifieur simple suffit; un réseau dense exige de tenir compte des relations entre variables. Le résumé de RIPE 93 indique que cette combinaison rétablit la robustesse entre collecteurs, sans chiffrer le nombre d’anomalies récupérées sur la paire RRC4–RRC5.

Lors de la panne électrique ibérique d’avril 2025, le détecteur a signalé l’événement dans les dix minutes suivant le début de son signal BGP. Le taux de fausses alertes était de 1,3 %; le modèle avait été entraîné cinq mois auparavant, sans nouvel entraînement. Dans une évaluation à l’aveugle sur AS766 (RedIRIS), les opérateurs ont confirmé, à partir des seuls horodatages, un épisode de routage de 65 minutes. Motaali a aussi décrit des retraits de routes en amont, peut-être dus à une convergence, que les opérateurs ont observés sans effet sur le trafic.

Le résultat utile n’est pas qu’un générateur imite bien son collecteur: c’est qu’il peut perdre une part majeure du signal dès que le réseau observé change. Motaali relie ce risque à la forme du réseau et donne aux opérateurs des raisons d’alerte qu’ils peuvent examiner.

Sources