2015년 루트 DNS 대규모 쿼리 유입, 텔레메트리 책임성 시험

요약

2015년 말 루트 서버 트래픽 이벤트는 단일하고 장기화된 위기도 아니었고, 글로벌 도메인 네임 시스템(DNS)이 작동을 멈췄다는 증거도 아니었다. 이 이벤트는 두 개의 비정상 구간으로 구성되어 있었다: 대략 11월 30일 06:50–09:30 UTC와 12월 1일 05:10–06:10 UTC. 각 구간 동안 루트 서버 문자 대부분—전부는 아니었음—이 하나의 도메인 이름에 대한 형식적으로 올바른 쿼리를 수신했으며, 둘째 날에는 다른 이름이 사용되었다. 루트 서버 운영자들의 공동 보고서는 영향을 받은 각 문자에 대해 초당 약 500만 쿼리의 속도를 기록했다. 또한 일부 인스턴스 근처의 포화와 일부 관측 지점에서의 정상 쿼리 타임아웃을 기록하는 한편, 여러 문자는 계속 도달 가능했고 운영자들은 이 이벤트에 기인하는 최종 사용자 가시 오류를 알지 못했다고 밝혔다 [1].
이러한 사실들은 서비스 중단 수사나 공격자 귀속의 근거가 아니라, 증거에 관한 책임성 문제를 만든다. 애니캐스트 시스템에서는 BGP가 서로 다른 리졸버 경로를 서로 다른 사이트로 보낼 수 있으므로, 서비스 전반의 연속성과 특정 인스턴스·업링크·캐치먼트의 혼잡이나 손실은 공존할 수 있다 [3][4]. K-root의 보고는 높은 부하, 로컬 오버플로, 필터링 준비 상태 및 이후 수리를 포함해 그 비대칭성에 대한 가치 있는 운영자별 시각을 제공하지만, 모든 루트 운영자를 대신할 수는 없다 [2]. 문제는 운영자들이 자신의 관측 한계 안에서 공동 이벤트를 인식할 수 있었는지, 비교 가능한 텔레메트리를 보존할 수 있었는지, 영향받은 계층을 구분할 수 있었는지, 통제를 배치할 수 있었는지, 그리고 연속성과 손상을 모두 설명할 수 있었는지이다.

이벤트 경계는 엄격히 두 구간

이벤트 기록은 대략 2015년 11월 30일 06:50 UTC에 시작하여 첫 구간은 대략 09:30 UTC에 끝난다. 다시 대략 12월 1일 05:10 UTC에 시작해 대략 06:10 UTC에 끝난다. 이것은 공동 보고서가 제시한 경계이며, 이 사건에 관한 모든 주장을 지배해야 한다 [1]. 그 경계 없이 “2015년 공격”이라고 서술하면 두 트래픽 국면, 로컬 사후 영향, 완화 작업, 이후 분석을 하나의 연속 상태처럼 묶어버릴 위험이 있다.

두 구간은 또한 어떤 증거가 동시대적 증거인지 정의한다. 루트 서버 운영자들의 보고서와 K-root의 운영자 보고는 관측된 이벤트의 기록이다 [1][2]. 이후의 애니캐스트 연구는 부하와 도달 가능성이 사이트나 경로별로 달랐던 이유를 설명하는 데 도움을 줄 수 있다 [3][4]. 이후의 RSSAC 측정과 ICANN 연구는 가용성, 지연, 부하, 인스턴스 식별에 관한 어휘를 제공할 수 있다 [8][9][13]. 그러나 그 어떤 이후의 프레임워크도 두 구간 동안 수집되지 않은 패킷, 링크, 리졸버, 사용자 측정을 소급적으로 만들어낼 수 없다.

이 경계는 한 K-root 사이트에서의 관측이 모든 K-root 사이트에, 더군다나 모든 루트 문자에 투사되는 것을 막는다. 프로브가 본 타임아웃이 실패한 재귀 리졸버나 최종 사용자 트랜잭션의 증명이 되는 것도 막는다. 또한 이른 비상 대응 훈련을 이벤트 연표 밖에 유지한다: 그 훈련은 운영자들이 이미 파악했던 조정 통제를 보여줄 수 있으나, 특정 통제가 11월에 실패했다는 증명은 아니다. 유한한 이벤트는 주요 미지 사항을 그대로 남긴다: 행위자, 의도, 완전한 경로 분포, 보편적 사용자 경험, 각 운영자의 내부 의사결정 연표, 그리고 어느 하나의 조정 선택이 만든 인과 효과.

11월 30일과 12월 1일, 순서대로

대략 11월 30일 06:50 UTC에 루트 서버 인스턴스들이 비정상적인 볼륨의 DNS 쿼리를 수신하기 시작했다. 쿼리는 문법적으로 올바르고 하나의 도메인 이름에 집중되어 있었다. 대부분—전부는 아니지만—의 루트 문자가 자신의 애니캐스트 사이트에서 해당 트래픽을 관측했다. 공동 보고서는 영향을 받은 각 루트 문자에 대해 초당 500만 쿼리 규모의 피크를 추정했다. 이는 문자별 성격 규정이며, 모든 문자와 사이트를 합산한 전역 총계를 정당화하는 것이 아니다 [1].

첫 구간이 진행되는 동안 일부 루트 서버 인스턴스와 가까운 링크가 포화되었다. 일부 외부 관측 지점에서는 그렇지 않으면 정상인 쿼리가 타임아웃되었다. 동시에 여러 루트 문자는 이벤트 내내 계속 도달 가능했다. 이 서술들은 서로 다른 측정 단위를 다룬다: 가까운 링크, 애니캐스트 인스턴스, 하나의 문자, 원격 관측 지점. 이들은 모순이 아니며, 그 어느 것 하나만으로 모든 재귀 리졸버나 사용자가 무엇을 경험했는지 확립하지 못한다. 첫 구간은 약 2시간 40분 후 대략 09:30 UTC에 가라앉았다 [1].

두 번째 구간은 대략 12월 1일 05:10 UTC에 시작했다. 역시 고속의 형식적으로 올바른 DNS 쿼리로 구성되었지만, 쿼리된 도메인 이름은 전날 사용된 것과 달랐다. 공동 보고서는 대부분의 루트 문자에 걸쳐 유사한 폭넓은 패턴을 서술하며, 발신 주소가 수적으로 많고 지리적으로 분산되어 있으며 IPv4 주소 공간에서 무작위화된 것으로 보인다고 기술한다. 이 구간은 시작 후 약 1시간 뒤 대략 06:10 UTC에 끝났다 [1].

운영자들은 쿼리 형태, 속도, 주소 패턴, 영향받은 인프라, 로컬 완화를 비교할 수 있었지만, 다른 쿼리 이름과 서로 다른 시작·종료 시각은 여전히 관측 가능한 구분선으로 남았다. K-root는 첫날 배치 마찰이 드러난 후 둘째 날에는 필터링을 더 빠르게 활성화할 수 있었다고 보고했다 [2]. 이는 K-root의 대응 순서에 관한 증거이며, 모든 운영자가 같은 필터를 사용했고 같은 지연에 직면했고 같은 복구 경로를 따랐다는 증명이 아니다.

이 연표 어디에도 “글로벌 DNS 중단”이나 “전 세계적 최종 사용자 실패” 같은 표현을 정당화하는 것은 없다. 기록 대신 보여주는 것은 로컬화된 포화, 고르지 않은 가시성, 여러 문자에서의 서비스 지속이 결합된 고속 이벤트이다. 운영자들이 이 이벤트에 기인하는 최종 사용자 가시 오류를 알지 못했다는 진술은 연표의 일부이지만, 알려진 보고와 귀속에 관한 유한한 서술이지 모든 사용자 경로의 보편적 측정이 아니다 [1].

집합적 운영자 보고서가 확립하는 것—그리고 하지 않는 것

공동 보고서는 공유된 최소 기록을 확립한다. 두 구간이 발생했다. 각각 하나의 이름에 대한 올바른 쿼리를 중심으로 했다. 루트 서버 문자 대부분—전부가 아니라—이 트래픽을 관측했다. 보고된 속도는 영향을 받은 각 문자에 대해 초당 500만 쿼리에 근접했다. 일부 인스턴스 근처 링크가 포화되었고, 일부 관측 지점에서 정상 쿼리가 타임아웃되었으며, 여러 문자는 도달 가능했고, 운영자들은 알려진 기인 가능한 최종 사용자 가시 오류가 없다고 보고했다 [1].

이 보고서는 계층 간 차이를 보존한다는 점에서 특히 가치 있다. 하나의 루트 문자는 여러 애니캐스트 사이트에서 광고될 수 있다. BGP는 라우팅 조건에 따라 리졸버를 캐치먼트로 유도하므로, 강한 트래픽 흐름이 시스템 전반에 분산되면서도 특정 사이트나 업링크를 압도할 수 있다. 이 이벤트를 연구한 학계는 애니캐스트가 동일한 효과를 모든 곳에 퍼뜨리는 대신 부하의 일부를 국소화할 수 있음을 발견했다 [3][4]. 따라서 시스템 연속성, 문자 도달 가능성, 사이트 가용성, 링크 용량, 프로브 도달 가능성, 재귀 리졸버 행동, 최종 사용자 트랜잭션은 별개의 주장으로 남아야 한다.

이 보고서는 문자 간 동등한 부하나 동등한 손상을 확립하지 않는다. 영향받은 모든 인스턴스를 목록화하거나, 모든 상류 경로를 재구성하거나, 모든 리졸버를 측정하거나, 모든 사용자가 쿼리를 정상적으로 완료했다는 것을 증명하지 않는다. “알려진 최종 사용자 가시 오류 없음”은 증거 경계이다. 운영자가 알았고 귀속할 수 있었던 것을 말할 뿐, 보편적 최종 사용자 성공이 입증되었음을 말하지 않는다. 반대로 로컬 타임아웃이 글로벌 서비스 실패를 증명하지도 않는다. 하나의 프로브는 경로별 증상을 드러낼 수 있으나 그 유병률이나 하류 결과를 확립하지 못한다.

또한 공동 보고서는 행위자, 동기, 법적 책임을 식별하지 않는다. 모든 운영자의 내부 인식 시각, 에스컬레이션 기준, 패킷 보존 관행, 완화 결정을 노출하지도 않는다. 어느 하나의 조정 선택이 특정 결과를 만들거나 막았다는 것을 보여줄 수 없다. 이후의 서비스 기대치와 측정 프레임워크는 그런 질문을 더 정밀하게 만들 수 있으나, 동시대 기록의 불확실성을 덮어쓸 수는 없다 [8][9][13].

K-root는 운영자별 사례이지 시스템 전체의 대리물이 아님

RIPE NCC의 K-root 보고는 공동 보고서가 제공할 수 없는 세밀함을 공급한다. K-root 트래픽은 통상 수준의 약 20배까지 상승했다. 일부 K-root 사이트는 도달 가능한 상태로 남았고, 반면 여러 사이트의 업링크는 오버플로되었으며 모니터링은 영향받은 캐치먼트에서 심각한 패킷 손실이나 도달 불가능을 보여주었다 [2]. 이것은 하나의 애니캐스트 문자가 동시에 집합적 회복력과 로컬 스트레스를 보여줄 수 있음을 보여주는 구체적 사례이다. 다른 루트 문자에 그대로 복사할 수 있는 템플릿이 아니다.

K-root는 또한 운영 준비성 문제를 문서화했다. 필터는 원치 않는 트래픽을 줄였지만, 필요한 도구가 모든 서버에 존재하지 않아 배치가 바람직한 수준보다 오래 걸렸다. 12월 1일, K-root 운영자는 필터를 더 빠르게 활성화했다. RIPE NCC는 이후 하드웨어 업그레이드를 우선시하고 응답 도구가 기본적으로 존재하도록 운영 환경을 바꾸었다 [2]. 이는 하나의 운영자의 인프라와 워크플로에 관한 유한한 주장이다. 이 증거는 모든 루트 운영자가 같은 도구를 결여했거나, 동등한 필터를 사용했거나, 비슷한 업링크 제약을 겪었거나, 같은 수리를 했다는 것을 보여주지 않는다.

이 경계는 책임성에 중요하다. K-root의 사후 조치는 RIPE NCC의 손이 닿는 통제—서버 도구, 필터 배치, 링크와 하드웨어 계획, 모니터링, 운영 기본값—에 관한 증거이다. DNS-OARC를 통한 패킷 캡처 공유는 나아가 로컬 관측을 다른 전문가가 검토할 수 있는 자료로 바꾸었다 [2]. 이 조치들은 K-root가 보고한 조건에 대해 검증될 수 있다. 그러나 루트 서버 시스템 전체의 상태를 확립하지 않으며, 경로·용량·대응 기록이 부재한 다른 운영자에게 책임을 부과하지도 않는다.

이 사례는 또한 “도달 가능”이 식별된 범위를 필요로 하는 이유를 보여준다. 도달 가능한 상태로 남은 K-root 사이트는 다른 사이트의 손실을 부정하지 않는다. 도달 불가능한 하나의 프로브가 K-root 문자 전체의 불가용성을 증명하지도 않는다. BGP가 선택한 캐치먼트 때문에 두 리졸버는 같은 문자를 서로 다른 인스턴스와 링크를 통해 접근할 수 있다 [3][4]. 방어 가능한 평가는 각 결과 뒤의 사이트, 캐치먼트, 링크, 관측 지점, 시간 창을 명명해야 한다. K-root의 가치는 바로 시스템 전체 라벨보다 그 대상들을 더 조심스럽게 좁혀준다는 점이다.

쿼리와 발신 주소 근거는 귀속에 미치지 못함

이 트래픽에는 분류를 지원하되 신원 확인을 지원하지 않는 관측 가능한 특성이 있었다. 쿼리는 형식적으로 올바르았고, 각 구간 동안 하나의 도메인 이름을 대상으로 했으며, 둘째 날에는 다른 이름을 사용했다. K-root는 루트 서버가 재귀 해석이 아닌 권위 서비스를 제공함에도 재귀를 요청하는 쿼리를 관측했다 [1][2]. 이 특성들은 트래픽 시그니처를 정의하고 완화를 안내하는 데 도움을 준다. 그러나 누가 쿼리를 만들었고 왜 만들었는지는 드러내지 않는다.

표면상의 발신 주소는 수적으로 많고, 지리적으로 분산되어 있고, IPv4 공간에서 무작위화된 것으로 보였다 [1]. 이 패턴은 본질적으로 다른 설명을 허용한다. 주소가 스푸핑되었을 수 있다—즉 패킷 헤더가 발신 시스템을 식별하지 않았을 수 있다—또는 트래픽이 광범위하게 분산된 발신원을 통해 만들어졌을 수 있다. K-root의 관측은 스푸핑과 광범위 분산을 둘 다 가능성으로 지지했으며, 둘 중 하나를 선택하지 않았다 [2]. Verisign의 보고 역시 스푸핑되고 분산된 트래픽이 발신 주소만으로 기원과 의도를 추론하려는 시도를 좌절시킨다는 점을 강조했다 [5].

따라서 패킷 주소를 공격자 신원, 호스팅 네트워크 고발, 법적 결론으로 바꾸는 것은 불건전하다. 표면상의 지리가 기원의 증명은 아니다. 높은 속도가 동기의 증명도 아니다. 재귀 요청 비트가 발신자의 목적을 증명하지도 않는다. 패킷 캡처조차 그 가치에도 불구하고 관측 지점에 제시된 트래픽을 보여줄 뿐, 완전한 경로나 그 뒤에 있는 인간의 결정을 자동으로 재구성하지 않는다.

증거는 더 좁은 책임성 검증은 지원할 수 있다. 루트 운영자는 공유 시그니처를 언제 감지했는지, 어느 인스턴스와 링크가 영향받았는지, 어떤 필터링 규칙이 부하를 바꾸었는지, 어떤 패킷을 보존했는지, 어떤 지표를 공유했는지 보여줄 수 있다. 트랜짓, 호스팅, 접속 네트워크는 경로 증거가 그들의 통제 가능한 인프라를 관측된 흐름과 연결할 때만 평가될 수 있다. 재귀 리졸버 운영자는 자기 계층의 재시도와 캐싱 행동에 여전히 책임이 있으나, 루트 보고서는 모든 리졸버가 어떻게 행동했는지를 확립하지 않는다. 귀속 이전에 멈춤으로써 분석은 덜 아니 더 까다로워진다: 각 책임 주장은 관측 가능한 통제, 정의된 네트워크 계층, 해당 경로의 증거에 연결되어야 한다.

BGP가 하나의 루트 문자를 수많은 캐치먼트로 만든다

“루트 서버”라는 표현은 실제로 DNS 트래픽을 실어 나르는 토폴로지를 가릴 수 있다. 루트 서버 시스템은 집합적 서비스이다. 루트 문자는 그 시스템의 독립 운영되는 한 부분이다. 그 문자는 많은 애니캐스트 사이트에서 광고될 수 있으며, 각 사이트는 자신을 향해 라우팅된 트래픽을 수신하는 인프라를 담고 있다. 업링크는 사이트를 주변 네트워크와 연결하고, 재귀 리졸버는 자기 네트워크 위치에서 쿼리를 보낸다. 이 어느 단위도 최종 사용자 트랜잭션과 동등하지 않다. 최종 사용자 트랜잭션은 리졸버 캐싱, 재시도, 사용자 경로의 나머지에도 의존한다.

애니캐스트는 같은 루트 문자 서비스를 여러 위치에서 제공할 수 있게 한다. 그러면 BGP는 네트워크 간에 보이는 정책과 도달 가능성에 따라 경로를 선택한다. 모든 쿼리를 전역적으로 최적의 인스턴스에 배정하는 중앙 디스패처는 없다. 특정 사이트로 향하는 경로를 가진 리졸버들이 그 사이트의 캐치먼트를 형성한다. 라우팅 변화는 루트 운영자가 사이트에서 아무것도 바꾸지 않았더라도 캐치먼트를 바꿀 수 있다. 반대로 같은 나라의 두 리졸버는 제공자의 경로나 상호연결 방식이 다르기 때문에 서로 다른 사이트에 도달할 수 있다. 2015년 11월 이벤트를 검토한 연구는 이 캐치먼트 구조를 사용해 트래픽이 애니캐스트 배치에서 고르지 않게 분산될 수 있는 이유를 설명한다 [3][4].

분산은 모든 용량을 한 곳에 모으는 것과 같지 않다. 각 사이트에는 여전히 유한한 서버, 포트, 업링크가 있다. 한 캐치먼트가 불균형한 볼륨을 받으면, 같은 문자를 광고하는 다른 사이트가 가볍게 로드된 채 그 로컬 링크만 채워질 수 있다. BGP는 또한 공격 패킷과 일반 리졸버 쿼리를 같은 캐치먼트로 유도해, 필터링이나 서버 용량이 관련되기도 전에 제한된 링크에서 경쟁하도록 만들 수 있다. 따라서 애니캐스트는 고장 분리와 집합적 도달 가능성을 만들지만, 각 경로·링크·인스턴스를 서로 교체 가능하게 만들지는 않는다.

2015년 트래픽은 이 구분을 예증한다. 루트 서버 운영자들은 대부분—전부는 아닌—의 루트 문자가 자신의 애니캐스트 사이트에서 비정상 쿼리를 보았다고 보고했다. 그들은 영향받은 각 문자에 대해 초당 약 500만 쿼리로 트래픽을 추정했으나, 그 문자 수준 수치는 모든 사이트와 업링크 사이의 분포를 밝히지 않는다 [1]. 수적으로 많고 지리적으로 분산되며 무작위화된 것으로 보이는 IPv4 발신 주소는 진짜 발신 집단의 재구성을 더욱 제한한다. 스푸핑, 광범위 분산 또는 그 조합을 반영할 수 있으며, 패킷 발신 필드만으로는 기원, 의도, 행위자를 확립하지 못한다 [1][5].

따라서 책임성 기록은 모든 트래픽 서술 뒤의 분모를 식별해야 한다. “문자에서 초당 500만 쿼리”는 “각 사이트에서 초당 500만”이 아니다. 포화된 업링크는 그 문자의 모든 인스턴스가 도달 불가능했다는 증명이 아니다. 한 캐치먼트로 라우팅된 리졸버는 모든 리졸버를 대표하지 않고, 다른 캐치먼트에서의 성공적 쿼리는 보편적 성공을 증명하지 않는다. 특정 순간에 어느 트래픽이 어느 용량에 도달했는지는 선언된 사이트 수가 아니라 실행 중인 BGP와 링크 상태가 결정한다 [3][4].

로컬 포화는 시스템 연속성과 공존할 수 있다

로컬 손상과 시스템 연속성은 모순되는 발견이 아니다. 둘은 서로 다른 질문에 답한다. 시스템 연속성은 루트 서버 시스템이 분산된 운영자와 문자를 통해 루트 서비스를 계속 제공했는지를 묻는다. 로컬 포화는 특정 애니캐스트 사이트, 업링크, 리졸버 경로가 정의된 구간 동안 정상 쿼리를 실어나를 수 있었는지를 묻는다. 그 두 질문을 하나의 “올라옴/내려감” 이분법으로 합치면 이벤트를 중요하게 만든 메커니즘이 버려진다.

루트 서버 운영자들의 보고서는 이 구분의 일부를 보존했다. 일부 인스턴스 근처 링크의 포화와 일부 관측 지점에서 정상 쿼리의 타임아웃을 기록하면서도, 여러 루트 문자가 계속 도달 가능했다고 진술했다. 이 보고서는 루트 DNS의 글로벌 실패를 서술하지 않았다. 또한 운영자들이 이 이벤트에 기인하는 최종 사용자 가시 오류를 알지 못했다고 말했다 [1]. 이 명제들은 모두 참일 수 있다: 일부 로컬 경로가 패킷을 잃는 동안 다른 사이트와 문자는 계속 응답할 수 있다.

K-root는 모든 운영자의 템플릿이 아니라 유한한 예시를 제공한다. RIPE NCC는 K-root 통상 수준의 약 20배 트래픽을 보고했다. 일부 K-root 사이트는 도달 가능한 상태로 남았고, 여러 사이트의 업링크는 오버플로되었으며 모니터링은 영향받은 캐치먼트에서 심각한 손실이나 도달 불가능을 보여주었다 [2]. 이 관측들은 K-root 위치와 모니터링된 경로의 조건을 확립한다. 모든 K-root 사이트가 동일하게 행동했다는 것을 확립하지 않으며, 그 운영자의 증거 없이는 다른 루트 문자로 전이될 수 없다.

단위의 분리는 특히 리졸버 계층에서 중요하다. 재귀 리졸버는 관련 루트 정보를 캐시했을 수 있고, 타임아웃 후 재시도했을 수 있고, 다른 작동하는 서비스 경로에 도달했을 수 있다. 따라서 최종 사용자는 한 루트 쿼리의 손실에도 트랜잭션을 완료할 수 있었다. 반대로 특정 리졸버나 애플리케이션 경로는 시스템 전반 가용성 서술에는 절대 나타나지 않는 지연을 겪었을 수 있다. 고정된 기록은 이 결과들의 완전한 분포를 확립하지 않으므로, 보편적 손상도 보편적 정상도 지지할 수 없다.

“알려진 최종 사용자 가시 오류 없음”은 따라서 귀속된 증거 경계로 남아야 한다. 운영자가 알았던 것을 보고할 뿐, 모든 리졸버와 사용자에 대한 전지적 관측이 아니다. 마찬가지로 로컬 타임아웃의 존재를 글로벌 DNS 실패 주장으로 부풀릴 수 없다. 책임 있는 보도는 두 사실과 각각의 범위를 모두 유지한다. 루트 서버 시스템 연속성, 문자 수준 도달 가능성, 사이트·링크 포화, 리졸버 관측 결과, 최종 사용자 트랜잭션은 서로 관련되지만 서로의 대체물이 아니다 [1][2].

텔레메트리는 서로 다른 시야를 가진다

루트 운영자와 외부 측정 시스템은 이벤트의 서로 다른 부분을 관측한다. 운영자는 자기 인프라에 도착하는 패킷, 인터페이스 사용률, 서버 부하, 필터링 조치, 자기 통제하의 변경 시점을 검사할 수 있다. 이 증거는 특정 업링크가 채워졌다는 것, 특정 형태의 쿼리가 특정 인스턴스에 도달했다는 것, 완화 조치가 운영자 도메인 내부에서 보이는 트래픽을 바꾸었다는 것을 보여줄 수 있다. 그것만으로는 그 도메인 밖의 모든 리졸버 경로나 모든 사용자 경험을 서술할 수 없다.

운영자 로컬 패킷 증거에도 귀속 한계가 있다. 2015년에 관측된 쿼리는 수적으로 많고 무작위화된 것으로 보이는 발신 주소를 실고 있었다. 영향받은 인스턴스에서의 완전한 패킷 캡처조차 그 패킷에 제시된 주소를 보여줄 뿐, 그것을 생성한 시스템을 반드시 보여주지 않는다. 스푸핑과 분산은 기원과 조정에 관한 추론을 복잡하게 만든다 [1][2][5]. 로컬 텔레메트리는 수신 트래픽과 자원 압박의 강한 증거가 되면서도 행위자 신원이나 동기의 약한 증거로 남을 수 있다.

RIPE Atlas와 DNSMON은 이 시각을 반대로 한다. 그 프로브는 선택된 외부 관측 지점에서 DNS 도달 가능성과 성능을 시험하여 운영자의 내부 카운터가 드러내지 못하는 경로 효과를 노출할 수 있다 [14][18]. 그러나 프로브 결과 역시 경로별 관측이다. 타임아웃에는 프로브 자체, 리졸버 행동, 중간 라우팅, 포화된 업링크, 그 순간 도달한 애니캐스트 사이트가 관여할 수 있다. 성공적 응답은 그 관측 지점에서 시험된 트랜잭션이 성공했다는 것만 증명한다. 모든 캐치먼트, 사이트, 리졸버가 성공했다는 증명이 아니다.

이것은 구조적 비대칭을 만든다. 운영자는 패킷과 링크에 관한 고해상도 증거를 갖고도 사용자 측 결과에 대한 가시성이 불완전할 수 있다. 외부 측정 시스템은 지리적으로나 토폴로지적으로 분산된 증상을 드러낼 수 있으나, 제한된 인터페이스나 완화 상태를 식별하는 데 필요한 내부 맥락이 없다. 둘 다 “K-root”를 관측할 때조차, 애니캐스트 때문에 서로 다른 사이트와 캐치먼트를 논하고 있을 수 있다. 따라서 상관관계를 위해서는 타임스탬프, 가용한 경우 인스턴스나 사이트 식별, 경로 맥락, 쿼리 특성, 손실과 도달 가능성의 명확히 유한한 정의가 필요하다.

RSSAC 서비스 기대치와 측정 프레임워크는 가용성, 지연, 부하, 인스턴스 식별, 분포에 관한 유용한 어휘를 제공한다 [8][9][16][17]. 이후의 지침과 ICANN 연구는 증거 모델을 비교하고 누락된 필드를 노출하는 데 도움을 줄 수 있다 [10][11][12][13]. 그러나 2015년에 보존되지 않은 패킷, 링크 카운터, 프로브 커버리지, 내부 연표를 소급적으로 만들 수 없다. 방어 가능한 방법은 삼각측량이다: 운영자 로컬 증거, 외부 관측 증거, 공개 이벤트 보도를 별개의 기록으로 보존하고, 겹치는 부분을 조정하고, 그 어느 것도 증명할 수 없는 부분을 표시하는 것이다. 어떤 단일 대시보드도 자동으로 루트 서버 시스템, 문자, 사이트, 링크, 리졸버 집단, 최종 사용자에 대한 보편적 기록이 되지 않는다.

비상 대응 훈련은 대규모 유입 이전에 조정 문제를 정의했다

2015년 초에 루트 서버 운영자들은 모의 위협을 중심으로 한 비상 대응 훈련을 실시했다. 그 공개 권고안은 조정을 비공식적 예의가 아니라 운영 통제로 취급했다. 권고안에는 통신 개시를 위한 트리거, 백업 통신 채널, 각 이벤트별 인시던트 코디네이터 지정, 영향을 서술하기 위한 공통 용어, 모니터링 임계값, 조율된 대외 커뮤니케이션이 포함되었다 [6].

통신 트리거가 중요한 이유는 독립 운영되는 문자들이 공통 이벤트의 조각을 먼저 볼 수 있기 때문이다. 한 운영자는 특이한 쿼리 이름을 감지하고, 다른 운영자는 업링크가 포화에 접근하는 것을 보고, 외부 모니터는 일부 캐치먼트에서만 타임아웃을 기록할 수 있다. 트리거는 그런 부분 관측이 언제 공유 채널로 들어가야 하는지를 정의한다. 백업 채널은 비상 상황에서 일반 채널이 불가능하거나 부적합할 가능성을 다룬다. 어느 측정도 정확한 진단을 보장하지 않지만, 둘 다 적시 비교를 개인적 즉흥성에 덜 의존하게 만든다.

이벤트별 인시던트 코디네이터는 공통 이벤트 시계를 유지하고, 비교 가능한 지표를 요청하고, 해결되지 않은 불일치를 추적할 수 있다. 그 역할이 독립 운영자에 대한 명령 권한을 의미하지는 않는다. 그 책임성 가치는 공유 그림의 관리에 있다: 누가 어느 증상을 보고했는지, 그것이 어느 측정 단위에 관한 것인지, 언제 임계값이 넘어섰는지, 무엇이 여전히 불확실했는지. 공통 영향 용어는 아키텍처와 모니터링 시스템이 다른 운영자들 사이에서 그 기록을 해석 가능하게 만든다.

훈련 권고안은 커뮤니케이션이나 조정의 실패가 11월 이벤트의 어떤 부분을 만들었다는 증명이 아니다. 다른 코디네이터, 다른 임계값, 다른 메시지가 특정 사이트의 패킷 손실을 바꾸었을 것이라는 확립도 아니다. 고정된 자료는 모든 운영자의 내부 연표나 개별 조정 선택의 인과 효과를 제공하지 않는다. 훈련을 실패의 증명으로 취급하는 것은 이벤트 이전의 통제 권고를 이후 사건에 관한 증거와 혼동하는 것이다.

훈련 대신 실제 대응을 평가하기 위한 질문을 공급한다. 운영자들은 언제 공동 이벤트를 관측하고 있음을 인식했는가? 어떤 지표가 비교되었는가? 로컬 링크 알람이 운영자 간 트리거를 발동했는가? 서로 다른 캐치먼트 효과가 어떻게 서술되었는가? 한 운영자가 완화를 배치했을 때 다른 운영자에게 어떤 정보가 공유되었는가? 대외 성명은 시스템 서비스 지속과 특정 링크나 관측 지점의 손상을 어떻게 조율했는가? 답에는 이벤트별 기록이 필요하다. 훈련은 성숙한 조정 프로세스가 만들 수 있어야 하는 증거를 식별한다 [6].

영향 정의와 대외 커뮤니케이션은 책임성 통제다

운영자 간 영향 정의는 증거가 왜곡 없이 결합될 수 있는지를 결정한다. 한 운영자가 “영향받음”을 비정상 쿼리 스트림 수신으로 쓰고, 다른 운영자는 링크 포화로 쓰고, 외부 모니터는 프로브 타임아웃으로 쓴다면, “영향받은 서버”의 합산 수는 무의미하다. 각 용어는 측정 단위, 임계값, 구간, 분모를 필요로 한다.

이 규율 덕분에 겉보기에 충돌하는 성명들이 정확하게 공존할 수 있다. 루트 문자는 일부 애니캐스트 사이트에서 영향받으면서 다른 사이트를 통해 도달 가능할 수 있다. 사이트는 서버 프로세스가 작동하는 동안 업링크가 트래픽을 드롭할 수 있다. 한 리졸버 관측 지점은 타임아웃되는 동안 다른 리졸버는 다른 캐치먼트를 통해 같은 문자에 도달할 수 있다. 최종 사용자 트랜잭션은 캐시 데이터나 재시도가 손상된 경로를 피했기 때문에 성공할 수 있다. 이 어느 관측도 증거 없이 더 넓은 계층으로 승격되어서는 안 된다.

따라서 대외 커뮤니케이션은 평판 관리 이상이다. 조심스럽게 범위가 지정된 성명은 리졸버 운영자, 네트워크 운영자, 연구자, 사용자에게 무엇이 관측되었고 무엇이 관측되지 않았는지를 알려준다. 진화하는 이벤트 동안, 확인된 로컬 사실과 운영자 간 평가를 구분하고, 관측 창을 명시하고, “가용성”이 문자에 관한 것인지 시스템에 관한 것인지 식별하고, 측정되지 않은 사용자에 대한 불확실성을 보존해야 한다. 업데이트와 정정은 이전 주장을 조용히 대체하는 대신 이벤트 기록과 연결된 채로 유지되어야 한다. 훈련의 조율된 대외 커뮤니케이션 권고는 이 공유된 통제 표면을 인정한 것이다 [6].

책임은 실질적 통제를 따라야 한다. 루트 운영자는 용량, 자기 도메인 내 라우팅 선택, 모니터링, 완화 준비성, 증거 보존, 조정 참여를 통제한다. 트랜짓, 호스팅, 접속 네트워크는 연루된 경로의 용량, 필터링, 어뷰즈 대응을 통제할 수 있으나, 책임은 경로 증거 없이 배정될 수 없다. 재귀 리졸버 운영자는 자기 캐싱과 재시도 행동을 통제한다. RSSAC와 ICANN은 기대치, 용어, 측정 프레임워크를 정의할 수 있으며, 독립 운영자들은 자기 시스템 운영에 책임이 있다 [7][8][9]. 그 어느 배분도 2015년 트래픽 뒤의 행위자를 식별하지 않는다.

신뢰할 수 있는 다중 운영자 기록은 따라서 계층화된 이벤트 행렬을 보존해야 한다: 루트 서버 시스템 상태, 문자별 관측, 식별된 애니캐스트 사이트, 포화된 업링크, 외부 리졸버나 프로브 결과, 그리고 별도로 입증된 최종 사용자 트랜잭션. 각 항목은 출처, 시간 창, 신뢰도, 알려진 맹점을 실어야 한다. 공통 정의가 행을 비교 가능하게 만들고, 조율된 대외 커뮤니케이션이 그 한계를 가시화한다. 이 관행들이 합쳐져 텔레메트리를 개인 관측의 집합에서 책임성 통제로 바꾸되, 불완전한 측정이 보편적 지식이 되었다고 가장하지 않는다.

K-root의 필터링 대비—그리고 수리 근거의 경계

필터링 교훈은 공동 이벤트와 로컬 입증된 대응의 구분에서 시작한다. 루트 서버 운영자들의 보고서는 두 비정상 구간을 대략 2015년 11월 30일 06:50–09:30 UTC와 12월 1일 05:10–06:10 UTC로 위치시켰다. 영향받은 각 루트 문자에서 초당 약 500만 쿼리, 대부분이지만 전부는 아닌 문자의 트래픽, 일부 인스턴스 근처 포화, 일부 관측 지점의 타임아웃, 여러 문자의 지속 도달 가능성을 보고했다. 또한 운영자들이 이 이벤트에 기인하는 최종 사용자 가시 오류를 알지 못했다고 말했다. 이 진술들은 공존할 수 있다. 시스템, 문자, 인스턴스, 링크, 프로브, 사용자 트랜잭션은 서로 다른 증거 단위이기 때문이다 [1].

K-root의 보고는 그렌즈를 좁힌다. 그 트래픽은 통상 수준의 약 20배로 상승했다. 일부 K-root 사이트는 도달 가능한 상태로 남았고, 여러 사이트의 업링크는 오버플로되었으며 모니터링은 영향받은 캐치먼트에서 심각한 손실이나 도달 불가능을 보여주었다. 필터는 원치 않는 트래픽을 줄였지만, 필요한 도구가 모든 K-root 서버에 없어 첫 구간 동안 배치가 바람직한 수준보다 오래 걸렸다. 두 번째 구간 동안 K-root 운영자는 필터를 더 빠르게 활성화했다. RIPE NCC는 이후 하드웨어 업그레이드를 우선시하고, 응답 도구가 기본적으로 존재하도록 운영 환경을 바꾸고, DNS-OARC를 통해 패킷 캡처를 공유했다 [2].

이것은 K-root에 대한 강한 수리 증거이다: 관측된 제약, 느리게 배치된 통제, 더 빠른 반복 대응, 용량과 준비성 격차를 모두 줄이려는 변경을 식별한다. 그것은 다른 루트 운영자가 같은 도구를 사용했고, 같은 배치 지연을 겪었고, 같은 방식으로 포화되었고, 같은 수리를 했다는 증거가 아니다. 이 이벤트를 연구한 학계는 그런 변동이 왜 그럴듯한지 설명한다. 애니캐스트는 문자를 BGP가 선택한 캐치먼트에 걸쳐 분산하므로, 더 큰 서비스가 도달 가능한 채로도 트래픽과 손상이 특정 사이트와 링크에 집중될 수 있다 [3] [4]. 그 메커니즘은 운영자별 조사를 지지하며 운영자 경계를 지우지 않는다.

완전한 수리 기록은 따라서 공개 서술에 날짜가 찍힌 자산 목록, 인스턴스별 필터 가용성, 변경 승인, 배치 및 롤백 시각, 링크 용량 변경, 도구가 작동함을 증명하는 훈련, 해결되지 않은 격차에 대한 명명된 책임자를 결합할 것이다. 그 항목들은 감사 기준이지, 공개되지 않은 2015년 기록에 관한 주장이 아니다. K-root의 공개 보고는 유한한 운영 수리를 확립한다. 운영자 간 준비성은 한 투명한 사례로부터의 추론이 아니라 각 운영자의 호환 가능한 표현으로 된 동등한 증거를 요구한다.

실질 통제에 따른 책임 배분

책임은 행위자가 해당 계층에서 실제로 행사할 수 있는 통제를 따라야 한다. 루트 운영자는 자기 문자의 설계와 운영을 통제한다: 사이트와 업링크 용량, 라우팅 정책, 모니터링, 완화 절차, 응답 도구 가용성, 패킷과 변경 로그 보존, 에스컬레이션, 공개. 회복력 있는 루트 서비스에 관한 기대치는 유능한 운영이 다루어야 할 것을 정의하는 데 도움을 줄 수 있으나 [7] [8], 책임성 문제는 사실적이다: 운영자가 무엇을 관측했고, 무엇을 바꿀 수 있었고, 언제 행동했고, 어떤 증거를 보존했는가.

이 배분은 루트 운영자가 모든 패킷 경로를 통제한다는 주장이 아니다. 트랜짓, 호스팅, 접속 네트워크는 이벤트에 연루된 경로의 용량, 필터링, 어뷰즈 대응을 통제할 수 있으나, 그 계층의 책임은 경로별 증거를 요구한다. BGP 캐치먼트는 이동할 수 있고, 발신 주소는 스푸핑될 수 있으며, 한 프로브에서 본 포화된 상호연결은 그 트래픽을 실어 나른 모든 네트워크를 식별하지 않는다. 따라서 경로 주장에는 타임스탬프, 라우팅 상태, 인터페이스나 흐름 증거, 운영자의 실질적 개입 능력의 범위가 포함되어야 한다. 그 사슬 없이 경로 제공자를 지명하는 것은 기술적 가능성을 입증 없는 귀속으로 바꾸는 것이다.

재귀 리졸버 운영자는 또 하나의 계층에 있다. 그들은 자기 캐싱, 재시도 논리, 상류 선택, 텔레메트리, 사용자 대면 실패 기록을 통제한다. 그들의 관측은 특정 경로에서 정상 쿼리가 타임아웃되었다는 것을 확립할 수 있으나, 그 자체로 루트 문자 전체의 상태를 확립하지 않는다. 반대로 루트 운영자의 집합 가용성 성명은 모든 리졸버나 사용자 경로가 성공했다는 것을 증명할 수 없다. DNSMON이나 RIPE Atlas를 통한 외부 관측은 이 비대칭의 일부를 가로질러 줄 수 있으나, 여전히 보편적 경험이 아니라 선택된 프로브와 경로를 표본화한다 [14] [18].

ICANN과 RSSAC는 기대치, 측정 필드, 보고 프레임워크를 정의할 수 있으며, 독립 루트 문자를 직접 운영하지는 않는다. RSSAC001 기대치, RSSAC002 측정, 운영자 응답, 공개 측정 데이터는 이후의 검토를 더 일관되게 만들 수 있다 [8] [9] [16] [17]. 따라서 조정은 분리 가능한 직무를 가진 공유 통제이다. 각 운영자는 정확한 로컬 증거를 만들어야 하고, 집단은 트리거, 공통 용어, 인시던트 코디네이터, 백업 통신, 조율된 공개 기록을 확립해야 한다. 2015년 초 훈련은 이것들이 이미 인식된 조정 표면이었음을 보여주지만, 그 어느 것도 11월 이벤트 동안 실패했거나 특정 결과를 만들었다는 증명은 아니다 [6].

향후 다중 운영자 루트 이벤트를 위한 감사 가능한 증거 체크리스트

미래의 이벤트 기록은 독립 검토자가 계층을 무너뜨리지 않고 시스템 수준 주장에서 로컬 관측까지 내려갈 수 있어야 한다. 또한 운영자들이 보안에 민감한 세부를 노출하도록 강요받지 않고 증거를 비교할 수 있어야 한다. 최소 기록은 다음을 담아야 한다:

공통 이벤트 시계.모든 운영자에 대해 UTC 시작·종료 추정, 감지 시각, 에스컬레이션 시각, 완화 변경, 회복을 기록한다. 시계 출처와 불확실성을 명시한다. 공유 트래픽 구간에 안정적인 식별자를 부여하여 두 운영자가 모르게 서로 다른 창을 서술하지 않게 한다.
토폴로지 및 신원 스냅샷.참여하는 각 문자에 대해 활성 애니캐스트 인스턴스, 광고된 프리픽스, 관련 캐치먼트, 업링크, 중요한 라우팅 변경을 식별한다. DNS 위임이나 레지스트리 기록은 역할과 자원을 식별하지만, 실행 중인 경로와 서비스 관측이 실제로 도달 가능했던 것을 보여준다.
계층별 부하 및 손상 데이터.쿼리 속도, 패킷 및 비트 속도, 인터페이스 사용률, 드롭, 지연을 문자, 사이트, 링크별로 따로 보고한다. 기준선과 표본 간격을 보존한다. “일부 인스턴스가 포화됨”을 “루트 서버 시스템이 실패함”으로 바꾸거나, 집합 연속성을 모든 로컬 경로가 작동했다는 증명으로 바꾸지 않는다.
패킷 및 쿼리 증거.유한한 패킷 캡처, 쿼리 이름과 유형 분포, 프로토콜 플래그, 표면상의 발신 주소 특성, 수집 방법을 보존한다. 접근 통제와 보존 한계를 적용한다. 올바른 쿼리, 재귀 요청, 무작위화된 주소는 트래픽을 서술할 수 있다. 어느 것도 행위자나 동기를 확립하지 못한다 [1] [2] [5].
독립 관측 지점 증거.프로브 식별자나 재현 가능한 집계, 리졸버 위치와 네트워크 맥락, 시험 방법, 타임아웃 기준, 결측 데이터 처리를 공개한다. DNSMON, RIPE Atlas, 운영자 로컬 모니터링은 시간으로 정렬한 뒤 상호 교체 가능한 것으로 취급하지 않고 보완적 시각으로 보고한다 [14] [15] [18].
완화 및 변경 기록.각 필터, 경로 변경, 용량 개입에 대해 책임자, 승인, 범위, 배치 시각, 검증, 부작용, 롤백 조건을 기록한다. 원리상 사용 가능한 완화와 모든 의도된 인스턴스에 배치 가능한 완화 사이의 차이를 보여준다.
조정 증거.공통 인시던트가 언제 인식되었는지, 어느 트리거가 발동했는지, 누가 조율했는지, 어떤 지표가 교환되었는지, 상충하는 영향 서술이 어떻게 해결되었는지, 대외 커뮤니케이션이 언제 승인되었는지를 기록한다. 운영 세부를 공개할 수 없더라도 보호된 결정 로그를 보존한다 [6].
유한한 영향 성명.루트 서버 시스템, 문자, 인스턴스, 링크, 프로브, 리졸버, 알려진 사용자 효과를 따로 보고한다. “도달 가능”, “저하됨”, “알려진 최종 사용자 오류 없음” 같은 표현 뒤의 집단과 방법을 정의한다. 보고 부재를 보편적 부정으로 바꾸는 대신 맹점을 나열한다.
수리 마무리.모든 발견을 책임자, 기한, 검증 시험, 지속 증거에 연결한다. 용량 가정, 도구 분포, 커뮤니케이션, 측정 커버리지를 재시험한다. 정책 문서가 그렇게 말할 때가 아니라 관측 가능한 통제가 작동할 때 조치를 마감한다.

이후의 요구사항과 측정 작업은 이 기록에 대한 미래 지향적 어휘를 제공할 수 있다. RFC 7720, RSSAC001, RSSAC002는 서비스 기대치와 측정을 다룬다 [7] [8] [9]. 이후의 RSSAC 문헌과 CDAR 연구는 신원, 지표, 시스템 분석에 관한 질문을 다듬을 수 있다 [10] [11] [12] [13]. 그러나 2015년에 어떤 필드가 측정되었다는 소급적 주장에 사용되어서는 안 된다. 마찬가지로 이후의 K-root 확장 연구는 외부 프로브가 운영 변화를 평가할 수 있는 방법을 시연할 수 있으나, 이전 이벤트의 결측 관측을 채울 수 없다 [14]. 감사 가능한 산출물은 시간으로 정렬된 로컬 기록, 표본화된 외부 관측, 명확히 범위 지정된 공개 결론의 묶음이지 단일 전역 그래프가 아니다.

유한한 미지 사항과 법적·귀속 한계

공개 기록은 행위자, 의도, 완전한 경로 분포, 보편적 최종 사용자 경험, 모든 운영자의 내부 대응 연표, 어느 하나의 조정 선택의 인과 효과를 확립하지 않는다. 표면상의 발신 주소는 수적으로 많고, 지리적으로 분산되고, 보고에 따르면 IPv4 공간에서 무작위화되어 있었다. 스푸핑, 광범위 분산 또는 그 조합을 반영할 수 있다. 이 증거는 패킷에 대해 말할 수 있는 것을 제한하며, 누가 그것을 지시했고 왜 지시했는지를 말하지 않는다 [1] [2] [5]. 높은 쿼리 속도와 반복되는 표적 패턴은 운영 사실이지 신원 증거가 아니다.

운영자들이 최종 사용자 가시 오류를 알지 못했다는 진술 역시 유한하다. 모든 재귀 리졸버, 접속 네트워크, 사용자 트랜잭션이 성공했다는 주장이 아니다. 동시에, K-root 캐치먼트나 선택된 프로브에서 관측된 손실은 글로벌 DNS 중단을 확립하지 않는다. 방어 가능한 기록은 두 명제를 함께 유지한다: 로컬 링크와 경로는 심각한 손상을 겪었고, 시스템 수준 서비스는 계속되었으며, 보고하는 운영자들이 알기로는 기인 가능한 사용자 가시 오류가 없었다 [1] [2] [3].

운영 책임성이 자동으로 민사, 규제 또는 형사 책임이 되지는 않는다. 법적 결론에는 네트워크 텔레메트리만으로는 공급되지 않는 관할권, 적용되는 의무, 채택 가능한 증거, 인과, 피해, 절차적 권리가 필요하다. 마찬가지로 비상 훈련은 조정 통제의 벤치마크이지 과실이나 인과 실패의 증명이 아니다 [6]. 2016년 루트 서버 이벤트 보고는 보도 패턴의 비교 기준으로 사용될 수 있고 [19], 이후의 역사적 분석이나 운영자 뉴스 아카이브는 맥락 보조에 쓰일 수 있다 [13] [20]. 어느 쪽도 유한한 2015년 연표를 다시 쓰는 데 사용될 수 없다.

결론: 운영자 간 책임성 시험

2015년 대규모 유입이 중요한 이유는 집합 연속성과 로컬 실패가 동시에 관측 가능했기 때문이다. 애니캐스트와 BGP는 트래픽을 캐치먼트에 걸쳐 분산했지만, 모든 인스턴스나 업링크에 동일한 용량을 주지 않았다. 운영자들의 시스템 수준 보고서, K-root의 사이트 수준 보고, 외부 관측 지점 관측은 서로 다른 질문에 답했다. 책임성은 그 답들을 적절한 측정 단위에 붙인 채 유지하는 것에서 시작하여 공통 시계 위에서 정렬하는 것으로 진행된다.

루트 운영자는 자기 문자와 인스턴스에서 무엇이 일어났는지, 어떤 통제가 이용 가능했는지, 완화가 언제 실행 상태를 바꾸었는지, 어떤 증거가 공유되었는지, 수리가 검증되었는지를 보여줄 수 있을 때 실질 시험을 통과한다. 운영자 집단은 로컬 보고를 불일치, 표본 한계, 미지 사항을 보존하는 공개 성명으로 조율할 수 있을 때 집합 시험을 통과한다. 경로 및 리졸버 운영자는 자기 통제 계층에 대해서, 그리고 경로나 리졸버 증거가 지지하는 주장에 대해서만 책임이 있다. 프레임워크 기관은 사용 가능한 기대치와 측정 관례에 책임이 있으며, 운영하지 않는 인프라에 대해서는 책임이 없다.

이것은 분산 아키텍처가 대규모 유입을 흡수할 수 있다는 일반적 주장이 아니다. 더 날카로운 교훈은 분산이 증거 의무를 만든다는 것이다. 서비스는 집합적으로 가용한 채로 특정 캐치먼트, 링크, 관측자가 서비스를 잃을 수 있다. 선언된 토폴로지와 위임 기록은 그 질문을 해결할 수 없다. 실행 중인 경로, 카운터, 패킷 증거, 프로브, 조치 로그, 시험된 수리가 그렇게 해야 한다. 따라서 최종 책임성 시험은 진술은 간단하되 충족은 까다롭다: 모든 중요한 주장을 하나의 계층, 하나의 시간 창, 하나의 관측 방법, 하나의 책임 있는 통제 소유자, 하나의 명시된 불확실성으로 추적할 수 있는가. 그렇지 않다면 연속성은 여전히 실재할 수 있으나, 아직 감사 가능하게 만들어지지는 않았다.