Summary

  • Petros GigisはRIPE 92で、入口のパケット数やBGP情報だけでは、観測された通信の送信元アドレスが本物か判断できないと説明した。
  • openPennyは選んだTCP通信の少数のパケットを意図的に捨て、再送されるか確かめる。本人の技術解説によると、複数フローで計12パケットを落とした試験では、偽陽性率が100万分の1まで下がった条件があった。

入口が変わったという警報は、経路が変わった証拠とは限らない。別の誰かが送信元欄にそのプレフィックスを書けば、カウンターにはもっともらしい異変が残る。Petros GigisがopenPennyで確かめたいのは、ルーター設定を調べ始める前のこの一点だ。観測した通信に本物の送信元はいるのか。

中継ISPにとって答えは簡単ではない。NetFlowやsFlowは流入地点と量を示す。BGPは広告された経路を示す。しかしISPは通信の両端ではない。質疑でJen LinkovaがTCPのハンドシェイクを見ればよいのではと尋ねると、Gigisは終端する事業者と途中を運ぶ事業者で見える接続状態が違うと答えた。

openPennyの受動モードはミラーした通信を観察し、疑わしい部分を絞る。能動モードでは選択した小さな通信片をローカルの解析装置へ送り、少数のTCPパケットを落とす。実際にやり取りしている送信者なら欠落に反応して再送する。片道の送信元偽装は同じ応答を出せない。公式発表記録はx86装置を用いたISP向け設計を説明している。

発表者が示した「12」は一つの接続から落とす数ではなく、複数フローにわたる試験の数だ。その設定で偽陽性率が100万分の1まで下がったと報告した。外部の損失、負荷分散、TCPの違い、攻撃者による応答の模倣は判断を難しくする。再送を見つければ観測集合に本物の通信があると分かる。経路全体や異変の犯人までは決まらない。

これは警報の順番を直す仕事でもある。偽装雑音を経路漏れと誤認すれば、人手を何時間も浪費する。BGP観測点を通らない実際の迂回なら、逆に見逃す。Gigisは入口の数字に証拠能力を与えてから、対向先への連絡や経路ポリシーの変更を考えさせる。

資料：RIPE 92公式議事録 · 公式発表ページ · RACI人物紹介 · Gigis本人の技術解説。