要点

  • 07:35 UTC以降、AS3223はピアから学習した経路をAS3356経由で伝播し、事象は約20分続いた [1]。
  • これは誤ったASが起点になった単純な事象ではなく、経路または関係のリークだった。
  • RPKIの起点検証だけでは足りない。BGPロール、Only-to-Customer、明示的なポリシー、経路構成監視は「誰がどの経路をどの隣接網へ渡せるか」を扱う [13][14][15][16]。
  • RouteViewsとRIPE RISは有用な外部観測だが、全ルーターと全利用者を見ているわけではない [8][9]。
  • 公開情報は意図、正確な内部原因、ボトルネックの場所、影響範囲の全体を証明していない。

何が起きたか

Border Gateway Protocol（BGP）は、独立したネットワークが到達可能性を交換するためのプロトコルである。各ネットワークは自律システム番号（ASN）で識別される。Kentikによると、Voxility AS3223はピアから学習した経路をLumen AS3356へ広告した。ピア関係は通常、互いの顧客向け通信を交換するが、インターネット全体へのトランジットは提供しない。トランジット事業者はより広い到達性を提供する。ピア経路を上流へ渡せば、予定された範囲を超えて伝播し得る [1][11]。

Kentikの再構成は31,258経路を数え、そのうち7,381経路が公開経路コレクターRouteViewsへデータを提供する少なくとも50のピアで観測された [1][8]。これは標本内での広い伝播を示すが、インターネット全体の調査ではない。TPG TelecomやYahooに関連するプレフィックスの例では、AS3223とAS3356を通る予期しない経路が示された。これらの宛先組織に原因を帰す証拠ではない。

Kentikのフローデータ分析は、経路変化と誤誘導、さらに大きな中断または破棄を結び付けた。しかし、どのリンクや装置が詰まったかは特定していない。責任ある終結記録はこの限界を残すべきだ。公開証拠は異常経路と通信影響を示すが、すべての内部判断を再現しない。

なぜ重要か

DDoS緩和事業者は、多数の顧客経路を正当に運び、攻撃時には広告を急いで有効化する場合がある。静的な許可リストは広過ぎたり更新が遅れたりする。それでも無制限の受け入れは正当化されない。顧客、許可プレフィックス、起点、セッションロール、有効期間、戻り経路、失効を結び付ける運用台帳が必要である。

トランジット側には対になる責任がある。顧客が許可された経路と、その顧客がピアや他の上流から学んだ経路を区別しなければならない。「この顧客は通常多くの経路を広告する」だけを基準にすると、局所的な誤りに世界規模の伝播経路を与える。承認済みポリシーと実際のルーター状態の照合が不可欠である。

技術面

Resource Public Key Infrastructure（RPKI）とRoute Origin Authorization（ROA）は、あるASNがプレフィックスを起点としてよいかを検証する [15]。今回、起点は正しいまま、経路の途中が誤っていた可能性がある。そのため起点検証は関係の認可を判断できなかった。

RFC 8212は明示的なインポート・エクスポートポリシーを求める [13]。RFC 9234はBGPロールとOnly-to-Customer（OTC）属性を定義し、伝播境界を表現する [14]。ASPAはプロバイダー関係に関する追加証拠を提供する [16]。これらは対策の基準であり、当日のAS3223とAS3356間での実装を証明するものではない。

ASN登録とbgp.toolsは経路を安定した番号資源の識別子へ結び付ける [3][4][5][6]。それらは記録台帳であって責任判定ではない。決定的なのは、受信、選択、広告、撤回された経路と、その時点のポリシーバージョンである。

誰が影響を受けるか

経路リークは、宛先アプリケーションが正常でも、遠回り、遅延、リンク飽和、パケット損失を生じさせる。宛先、利用者、緩和事業者、トランジット、下流ネットワークは異なる断片しか見ない。単一のコレクターはインターネット全体を観測できない。調査ではルーターログ、コレクター、フロー、損失、顧客報告、撤回時刻を整合させる必要がある。

今後見るべき点

許可集合と広告集合の差、異常な起点や関係、BGPロールとOTCの適用率、RouteViewsとRIPE RISの収束、撤回後の通信回復を監視する。信頼できる修復は、失敗した経路クラスを試験で再現し、送信側エクスポートと上流側インポートの両方で拒否する。

AS3223が経路を広告していなかった、またはAS3356が拒否していたとログが示せば評価は変わる。既知の過度に寛容なポリシー、無視された警告、再発があれば重くなる。限定的な原因、自動封じ込め、コレクターでの一貫した消失、独立検証された修復があれば軽くなる。

情報源

  1. https://www.kentik.com/blog/beyond-their-intended-scope-ddos-mitigation-leak/
  2. https://manrs.org/2025/03/beyond-their-intended-scope-ddos-mitigation-leak/
  3. https://bgp.tools/as/3223
  4. https://bgp.tools/as/3356
  5. https://bgp.tools/as/7545
  6. https://bgp.tools/as/10310
  7. https://www.cenic.org/
  8. https://www.routeviews.org/routeviews/
  9. https://ris.ripe.net/docs/
  10. https://www.rfc-editor.org/rfc/rfc4271
  11. https://www.rfc-editor.org/rfc/rfc7908
  12. https://www.rfc-editor.org/rfc/rfc7454
  13. https://www.rfc-editor.org/rfc/rfc8212
  14. https://www.rfc-editor.org/rfc/rfc9234
  15. https://www.rfc-editor.org/rfc/rfc6811
  16. https://www.rfc-editor.org/rfc/rfc8893
  17. https://manrs.org/isps/guide/
  18. https://www.kentik.com/blog/a-brief-history-of-the-internets-biggest-bgp-incidents/