2025년 DDoS 완화 유출 사건, BGP 역할 경계를 책임성 시험대에 올리다

요약

• Kentik은 2025년 4월 1일 07:35 UTC부터 DDoS 완화 공급업체 Voxility의 자율 시스템 AS3223이 피어로부터 학습한 경로를 트랜짓 공급업체 Lumen의 자율 시스템 AS3356을 통해 유출했다고 보고했습니다. 이 사건은 약 20분간 지속되었으며 Kentik의 재구성에서는 31,258개 경로가 관련되었고, 그중 7,381개는 RouteViews 공개 경로 수집 시스템에 데이터를 제공하는 최소 50개 피어 이상에게 관측되었습니다 [1].

• 이것은 단순히 잘못된 자율 시스템이 남의 프리픽스를 오리지네이트한 사례가 아니라 경로(path) 또는 인접성(adjacency) 유출이었습니다. 경로 중간이 의도된 관계를 위반하는 동안 오리진은 정상적으로 유지될 수 있었습니다. 이 구분이 바로 경로 오리진 검증(ROV)으로는 부족했던 이유를 설명합니다 [1][15][16].

• Kentik은 RouteViews BGP 메시지와 집계 트래픽 데이터를 사용해 TPG Telecom과 Yahoo 프리픽스 관련 사례, 그리고 유출된 경로를 통해 우회되거나 드롭된 트래픽을 보여주었습니다. 이 관측은 강력하지만 범위가 제한적입니다. 영향받은 모든 네트워크나 정확한 과부하 링크는 밝히지 않습니다 [1][8].

• DDoS 완화 네트워크는 어렵지만 생략할 수 없는 필터링 문제를 안고 있습니다. 대규모이자 변화하는 고객 집단의 경로를 정당하게 운반할 수 있기 때문입니다. 따라서 책임성은 관계 인식형 프로비저닝, 명시적 임포트·익스포트 정책, 경로 수 이상 징후 제어, 가능한 곳에서의 BGP Roles와 Only-to-Customer, 그리고 완화 공급업체와 트랜짓 이웃 양쪽이 보관하는 증거에 달려 있습니다 [12][13][14][16][17].

• 이 글은 악의적 의도, 법적 위반, 전면 장애 또는 알려진 내부 원인을 주장하지 않습니다. 대신 AS3223, AS3356, 피어, 영향받은 네트워크, 경로 수집기에 어떤 기록이 존재해야 사건 경계, 영향, 철회, 지속 가능한 복구를 입증할 수 있는지를 묻습니다.

무슨 일이 있었나

외부에 보이는 사건은 2025년 4월 1일 07:35 UTC에 시작되었습니다. Kentik은 Voxility, 즉 자율 시스템 번호 AS3223으로 식별되는 네트워크가 피어로부터 학습한 경로를 트랜짓 공급업체 Lumen(AS3356)에 광고하기 시작했다고 보고했습니다. 피어(peer)는 보통 상호 간 고객을 위해 전체 인터넷 트랜짓을 제공하지 않고 트래픽을 교환하는 네트워크입니다. 트랜짓 공급업체는 트래픽을 더 넓은 인터넷으로 운반합니다. 피어로부터 학습한 경로가 허용된 고객 경로인 것처럼 공급자에게 익스포트되면, 의도보다 멀리 전파되어 익스포트한 네트워크가 원래 운반할 의도가 없었던 트래픽을 끌어들일 수 있습니다 [1][11].

비전문가를 위한 가장 단순한 비유는, 제한된 교환만 허가된 물류 거점(depot)을 경유하는 지름길을 배송 회사가 공표하는 상황입니다. 다른 운송사는 그럴듯한 경로를 보고 자신의 규칙에 따라 선호하여 화물을 그 거점으로 보냅니다. 각 화물의 주소지는 여전히 정확할 수 있습니다. 문제는 인계 사슬입니다. 거점이나 그 링크가 우회된 물량을 처리하도록 프로비저닝되지 않았다면, 최종 목적지는 그대로인데도 배송이 느려지거나 실패합니다.

Kentik은 이 사건을 미스오리지네이션이 아닌 경로 오류로 규정했습니다. 유출된 경로는 31,258개였고 그중 7,381개는 최소 50개의 RouteViews 피어에게 관측되었으며, 사건은 최대 20분간 지속되었다고 밝혔습니다 [1]. 이 수치들은 귀속 관계를 유지한 채로 다루어야 합니다. 인터넷의 모든 라우터에 대한 전수 조사가 아닙니다. RouteViews는 참여 네트워크들이 제공하는 BGP 관측 지점의 모음입니다. 많은 수집기에서 보이는 경로는 광범위한 전파의 증거지만, 수집기 집합은 여전히 표본입니다 [8].

경로 사례들은 관계 실패를 구체적으로 보여줍니다. 유출 전에 캘리포니아 연구·교육 네트워크 CENIC이 제공하는 한 RouteViews 피드는 TPG Telecom 프리픽스가 Tata와 Lumen을 거치는 경로를 따랐습니다. 사건 중에는 같은 프리픽스가 AS3223과 AS3356 뒤에 나타났고, Kentik은 커뮤니티 값을 부쿠레슈티에서 수신된 고객 경로로 해석했습니다. 또 다른 사례는 평소 PCCW를 통해 GTT에 도달하던 Yahoo 프리픽스가 유출 기간 중 AS3356과 AS3223을 통해 관측된 것입니다 [1][7]. 이 사례들은 실행 경로가 바뀌었음을 보여줍니다. 그 자체로 그 경로를 만든 내부 라우트 맵을 공개하지는 않습니다.

Kentik은 집계 NetFlow 데이터도 검토했습니다. NetFlow는 네트워크 장비가 기록하는 트래픽 흐름의 요약입니다. 분석 결과 AS3356과 AS3223을 포함하는 경로를 따라 여러 국가의 목적지로 향하는 트래픽이 있었음을 보여주었습니다. 또한 가장 잘 보이는 유출 경로의 일부 집합에 대한 트래픽을 비교하여, 목적지에 도달한 우회된 부분과 더 큰 규모의 장애 또는 드롭을 함께 발견했습니다. Kentik은 경로상의 정확한 병목 지점이 불명확하다고 명시했습니다 [1]. 이 불확실성은 중요합니다. 책임 있는 서술은 혼잡에 대한 추론을 특정 포트, 라우터 또는 운영자의 확정적 실패라는 주장으로 바꾸어서는 안 됩니다.

따라서 공개 증거는 범위가 제한된 진술을 지지합니다. 경로 유출이 AS3223 밖으로 새어 나가 AS3356에서 수용·전파되었고, 다수의 경로 수집기 피어에서 나타났으며, Kentik 데이터에서 측정 가능한 트래픽 장애와 시간적으로 겹쳤습니다. 증거는 첫 오류가 라우트 맵 변경인지, 프로비저닝 기록인지, 세션 역할인지, 커뮤니티 규칙인지, 소프트웨어 결함인지, 또는 그 조합인지 밝히지 않습니다. 모든 목적지, 모든 고객 불만, 모든 복구 절차도 보여주지 않습니다.

왜 중요한가

DDoS 완화 공급업체는 특이한 라우팅 행위자입니다. 분산 서비스 거부 공격은 트래픽으로 서비스나 네트워크를 압도하려 합니다. 완화 공급업체는 고객의 경로를 수신하여 트래픽을 대형 스크러빙 시스템으로 우회시킬 수 있으며, 정상 트래픽이 반환되기 전에 원치 않는 트래픽이 필터링됩니다. 서비스 설계에 따라 공급업체는 많은 고객의 경로를 정당하게 오리지네이트하거나 트랜짓하거나 전파할 수 있습니다. 허가된 라우팅 표면은 공격과 온보딩 과정에서 빠르게 변할 수 있습니다.

이러한 광범위함 때문에 단순한 허용 목록은 어렵습니다. Kentik은 AS3223의 AS-SET에 대한 bgp.tools 확장에 수만 개의 자율 시스템과 수십만 개의 IPv4·IPv6 프리픽스가 포함되었다고 인용했습니다 [1][3]. AS-SET은 정책 생성을 위해 자율 시스템들을 묶는 인터넷 라우팅 레지스트리 객체입니다. 이런 객체는 필터 자동화에 도움이 되지만, 큰 중첩 집합은 의미 있는 관계 경계를 표현하기엔 지나치게 넓어질 수 있습니다. 라우팅 테이블의 대부분을 커버하는 목록은 라우터 메모리를 보호하는 동시에, 정당한 고객 전파와 유출된 피어 경로를 구분하는 데 거의 도움이 되지 않습니다.

어려움이 곧 책임을 없애지는 않습니다. 책임 있는 통제의 모습을 바꿀 뿐입니다. 완화 공급업체는 하나의 정적 프리픽스 목록을 완전한 답으로 삼을 수 없습니다. 고객, 서비스 모드, 허가된 프리픽스, 경로 오리진, 관계 역할, 활성화 기간, 업스트림 세션, 반환 경로를 식별하는 프로비저닝 장부가 필요합니다. 이 장부는 라우터에서 실제로 돌아가는 설정과 대조되어야 합니다. 중요한 질문은 스프레드시트나 레지스트리 객체가 존재하는지가 아니라, 익스포트되는 BGP 상태가 승인된 서비스 관계와 일치하는지입니다.

트랜짓 공급업체는 이 문제의 거울상을 직면합니다. 완화 고객이 여러 제3자 오리진을 정당하게 광고할 수 있다는 것을 알기 때문에, 오리진 소유만 기반으로 한 필터로는 부족할 수 있습니다. 그러나 그런 고객으로부터 거의 모든 경로를 수용하면 강력한 전파 통로를 만듭니다. 공급자는 고객이 허가한 경로와 완화 네트워크가 측면 피어나 공급자로부터 학습한 경로를 구분하는 통제가 필요합니다. 구분이 없으면 국지적인 익스포트 실수가 전 세계적 공유 리스크가 됩니다.

피해도 라우팅 테이블의 미관을 넘어섭니다. 유출된 경로는 트래픽을 멀리 떨어진 지리로 우회시키고, 링크를 과부하시키고, 지연을 만들고, 패킷 손실을 일으키고, 서비스가 사용 불가한 것처럼 보이게 할 수 있습니다. 목적지 운영자는 건강한 상태를 유지하면서 사용자는 장애를 경험할 수 있습니다. 지원 팀은 라우팅 변경이 자신들의 직접 통제 밖에 있기 때문에 애플리케이션, DNS 또는 클라우드 시스템을 살펴보며 시간을 낭비할 수 있습니다. 공공 서비스, 커뮤니케이션 플랫폼, 금융 시스템, 네트워크 기업에게 20분의 경로 왜곡은 영구 데이터 손실이 없더라도 운영적으로 유의미할 수 있습니다.

그래서 이 사건은 좁은 프로토콜 일기가 아니라 리스크와 책임성의 자리에 속합니다. BGP는 공유 컨트롤 플레인입니다. 각 운영자가 국지적 선택을 하지만, 경로가 잘못된 경계를 넘을 때 그 선택은 외부 비용을 만듭니다. 책임성에는 경로가 멈출 수 있었던 모든 지점의 증거가 필요합니다. 완화 공급업체의 익스포트, 트랜짓 공급업체의 임포트, 하류 전파, 영향받은 네트워크의 텔레메트리, 독립 수집기입니다.

기술적 층위: 오리진 유효성은 경로 유효성이 아니다

BGP는 자율 시스템들 사이에 도달 가능성을 교환합니다. 자율 시스템(AS)은 하나의 관리 라우팅 정책 아래 있는 네트워크이며 ASN으로 식별됩니다. BGP 광고는 IP 프리픽스, AS_PATH 및 기타 속성을 포함합니다. AS_PATH는 경로 광고가 통과한 자율 시스템들을 나열합니다. 라우터는 국지적 정책, 경로 길이 및 기타 속성으로 경로를 선택합니다 [10].

오리진 보안은 경로의 오리진 끝에 올바른 ASN이 나타나는지를 묻습니다. 리소스 공개키 기반구조(RPKI)는 리소스 보유자가 어느 ASN이 프리픽스를 오리지네이트할 수 있는지를 명시하는 ROA(Route Origin Authorization)를 만들 수 있게 합니다. 경로 오리진 검증은 수신한 오리진을 그러한 승인과 비교합니다 [15][16]. 이는 승인되지 않은 오리진의 경로를 거부하거나 우선순위를 낮출 수 있어 가치가 있습니다.

2025년 4월의 사건은 정당한 오리진을 교체하는 데 의존하지 않았습니다. 경로 사례들은 목적지 오리진을 그대로 유지하면서 AS3223을 의도치 않은 중간자로 삽입했습니다. Kentik은 사실상 새로운 more-specific 경로가 없음을 확인하고, ROV는 이 부류의 사건을 제한하지 못했을 것이라고 결론지었습니다 [1]. 따라서 통제 질문은 오리진 승인에서 전파 승인으로 이동합니다. AS3223은 피어 학습 경로를 AS3356에 보낼 수 있었나? AS3356은 그것을 고객 경로로 수용할 수 있었나? 하류 네트워크는 예상 관계와 어긋나는 경로를 알아차렸어야 했나?

RFC 7908은 경로 유출을 의도된 범위를 넘어선 전파로 정의하고 일반적인 관계 패턴을 기술합니다 [11]. 실제 인터넷은 흔히 밸리 프리(valley-free) 기대를 따릅니다. 네트워크는 고객으로부터의 경로를 피어나 공급자 쪽으로 운반할 수 있지만, 한 피어로부터 학습한 경로를 다른 피어나 공급자에게 운반하는 것은 보통 적절하지 않습니다. 실제 관계는 복잡할 수 있고 상업적 라벨이 항상 프로토콜 정책에 깔끔히 대응하지는 않습니다. 이 복잡성은 명시적인 기계 판독 가능 역할의 근거를 약화시키지 않고 오히려 강화합니다.

RFC 9234는 BGP Roles와 선택적 전이적 Only-to-Customer 속성(OTC)을 규정합니다 [14]. 이웃 네트워크는 공급자, 고객, 피어, 경로 서버, 경로 서버 클라이언트 같은 역할을 협상할 수 있습니다. OTC 속성은 경로가 전파될 수 있는 위치에 대한 정보를 전달합니다. Kentik이 기술한 단순화된 반사실(counterfactual)에서, OTC 표시된 피어 학습 경로는 AS3356이 AS3223으로부터 고객 경로로 수용해서는 안 됩니다 [1]. 이 속성은 어느 운영자도 그 메커니즘을 배포했다는 증명이 아닙니다. 유출된 경로에 없었던 관계 증거에 대한 표준 기반 서술입니다.

ASPA(Autonomous System Provider Authorization)는 경로 검증의 또 다른 부분을 다룹니다. AS는 자신의 공급자들을 승인하여 검증자가 경로 내 공급자 관계가 타당한지 판단할 근거를 제공할 수 있습니다 [16]. ASPA 배포와 검증은 여전히 운영상의 질문이며, 이 글은 그것이 이 특정 사건을 결정적으로 막았을 것이라고 주장하지 않습니다. 중요한 점은 경로와 관계 실패가 자체적인 증거를 필요로 하기 때문에 라우팅 보안이 오리진 너머로 확장되고 있다는 것입니다.

명시적 임포트·익스포트 정책은 여전히 기반입니다. RFC 8212는 외부 BGP 세션에 대한 기본 기대를 바꿉니다. 설정된 정책 없이는 경로를 임포트하거나 익스포트해서는 안 됩니다 [13]. RFC 7454는 필터링과 한도를 포함한 운영 보안 관행을 모아 놓습니다 [12]. 이 표준들은 실수를 없애지는 못합니다. 결여되거나 모호한 정책이 세션을 전체 테이블에 대한 경로 교환으로 조용히 바꾸지 않는 fail-closed 자세를 정의합니다.

AS3223의 증거 의무

AS3223의 첫 번째 증거 의무는 사건 당시 AS3356 세션에 대해 의도된 익스포트 집합을 보여주는 것입니다. 그 집합은 자체 오리지네이트 경로, 직접 승인된 고객 경로, 피어로부터 학습한 경로, 공급자로부터 학습한 경로, 임시 완화 경로를 구분해야 합니다. 사후 검토는 설정이 교정되었다고만 말해서는 안 됩니다. 사건 전후 정책을 보존하고, 정확한 델타를 식별하며, 그 델타를 승인된 변경이나 긴급 조치에 연결해야 합니다.

두 번째 의무는 정책과 실행 상태의 대조입니다. BGP 구현은 이웃으로부터 받은 경로, 국지적으로 선택한 경로, 이웃에 광고하는 경로 등 여러 경로 뷰를 유지합니다. Adj-RIB-Out 스냅샷 또는 동등한 광고 경로 기록은 AS3223이 실제로 AS3356에 보낸 것을 보여줄 수 있습니다. 그 출력을 프로비저닝 장부와 비교하면 유출된 경로가 잘못된 클래스로 유입되었는지, 커뮤니티 표시를 잃었는지, 익스포트 조항을 우회했는지, 지나치게 넓은 정책을 물려받았는지 식별할 수 있습니다.

세 번째 의무는 이상 징후 탐지를 설명하는 것입니다. 30,000개가 넘는 경로의 유출은 익스포트 경로 수나 경로 구성의 눈에 띄는 변화를 만들어야 합니다. 최대 프리픽스(maximum-prefix) 제어는 라우터가 너무 많은 경로를 받지 않도록 보호하려고 임포트 측에 적용되곤 합니다. 익스포트 측 제어는 세션의 계획된 경로 집합과 실제 집합을 비교할 수 있습니다. 운영자는 경보가 발생했는지, 누가 받았는지, 세션이나 정책이 얼마나 빨리 제한되었는지, 경보 임계값이 더 작은 재발을 탐지할 수 있는지를 보여주어야 합니다.

네 번째 의무는 관계 출처(provenance)를 보여주는 것입니다. 유출된 경로가 피어로부터 학습되었다면, 그것들을 분류한 인그레스 세션, 역할, 커뮤니티, 정책 태그를 시스템이 보존해야 합니다. 태그가 누락되거나 덮어써졌다면 복구는 인계 사슬을 복원해야 합니다. 관계 분류는 단순한 과금 라벨이 아닙니다. 경로가 어디로 갈 수 있는지를 결정하는 보안 메타데이터입니다.

다섯 번째 의무는 철회와 수렴을 증명하는 것입니다. 한 수집기에서 경로가 사라지는 것으로는 부족합니다. AS3223은 자체 철회 타임스탬프를 AS3356의 수용 상태, 하류 수집기 변화, 트래픽 회복과 연동해야 합니다. 마무리 자료는 잘못된 경로가 원천 측 조치, 업스트림 필터, 세션 재설정, 자연 수렴 중 무엇으로 제거되었는지 보여주어야 합니다. 메커니즘이 다르면 재발 리스크도 다릅니다.

이러한 의무들은 의도나 과실을 전제하지 않습니다. 실행 중인 광고가 다른 네트워크에 영향을 준 운영자에게 정상적으로 요구되는 증거 요건입니다. 회사가 예상치 못한 실패 후 빠르고 책임 있게 행동했을 수 있습니다. 기록이야말로 고객과 피어가 그런 대응을, 통제 변경 없이 사라졌다가 다시 나타나는 일시적 현상과 구분하게 해 줍니다.

AS3356의 수용 의무

AS3356은 피어 학습 경로의 보고된 원천이 아니었지만, 수용과 전파는 별개의 통제 결정입니다. 트랜짓 공급업체는 고객으로부터 무엇을 수용할지 선택합니다. 고객 프로비저닝, 레지스트리 데이터, RPKI 상태, IRR 집합, 경로 이력, 커뮤니티, AS-path 규칙, 협상된 역할을 사용할 수 있습니다. 어느 단일 출처도 완벽하지 않습니다. 견고한 수용 정책은 이들을 결합하고, 대규모 고객 경로 표면을 무제한 허가로 취급하지 않고 예외를 상향 보고합니다.

첫 번째 수용 질문은 AS3356이 AS3223이 운반하도록 승인된 것으로 무엇을 믿었는가입니다. 답이 확장된 AS-SET에서 나왔다면, 사후 검토는 당시 사용된 정확한 객체 버전과 확장 결과를 보존해야 합니다. 레지스트리 데이터는 변합니다. 중첩 객체에는 오래되었거나 지나치게 넓은 구성원이 포함될 수 있습니다. 생성된 필터를 재구성해야 정책 자체가 너무 많은 것을 승인했는지, 실행 중인 라우터가 정책 적용에 실패했는지 알 수 있습니다.

두 번째 질문은 공급자가 고객 경로 의미론을 강제했는가입니다. 목적지 오리진이 고객 뒤에 있는 고객 경로는 정당할 수 있습니다. 피어 학습 경로와 공급자 사이에서 고객이 트랜짓 역할로 보이는 경로는 관계와 어긋날 수 있습니다. BGP Roles와 OTC는 그러한 불일치를 인밴드에서 보이게 만들도록 설계되었습니다 [14]. 그 메커니즘이 배포되지 않은 곳에서도 운영자는 세션 분류, 커뮤니티, 경로 규칙에 기반한 동등한 국지적 통제가 필요합니다.

세 번째 질문은 경로 수와 신규성 탐지입니다. 고객의 정상 경로 표면은 클 수 있지만, 변화율과 구성에는 패턴이 있습니다. 무관한 피어로부터 학습된 수만 개의 경로가 갑자기 도착하면 최대 프리픽스 한도를 초과하지 않더라도 조사가 촉발되어야 합니다. 공급자는 새 경로를 고객의 승인된 오리진, 통상의 첫 홉 관계, 과거 광고와 비교할 수 있습니다. 목표는 정당한 완화 활동을 동결하는 것이 아니라, 예외적인 폭에는 예외적인 증거를 요구하는 것입니다.

네 번째 질문은 하류 익스포트입니다. AS3356이 경로를 수용한 후, 그 정책들은 얼마나 넓게 퍼지는지에 영향을 주었습니다. 완전한 서술은 어느 피어와 고객이 경로를 받았는지, 철회가 언제 전송되었는지, 어떤 하류 세션이 낡은 상태를 유지했는지를 보여주어야 합니다. 이 증거가 중요한 이유는, 공급자가 원천 수용을 멈춘 뒤에도 일부 하류 라우터가 수렴이 완료될 때까지 이전에 학습한 경로를 계속 선호할 수 있기 때문입니다.

다섯 번째 질문은 커뮤니케이션입니다. 영향받은 네트워크에는 정확한 인시던트 통지가 필요합니다. 사건 시작, 경로 클래스, AS 경로, 완화 절차, 신뢰도 한계, 복구 상태입니다. 트래픽 손실을 대조하려는 고객에게 '라우팅 문제' 같은 일반적 진술은 충분하지 않습니다. 공유 인시던트에는 각 운영자가 자신의 텔레메트리를 대조할 수 있도록 공유 타임스탬프와 아티팩트가 필요합니다.

누가 영향을 받았으며, 공개 데이터가 증명할 수 없는 것

Kentik의 트래픽 분석은 유출된 부분 경로를 포함하는 AS 경로에서 관측된 트래픽의 목적지 국가 비중을 식별하고, 잘 보이는 유출 경로의 일부 집합을 검토했습니다 [1]. 이 분석은 컨트롤 플레인 변화를 포워딩 결과와 연결하기 때문에 경로 테이블만의 서술보다 강력합니다. 그래도 Kentik의 고객 관측 지점, 흐름 주석 방식, 선정된 경로 집합에 의해 범위가 제한됩니다.

따라서 "전 세계 네트워크"라는 표현은 관측된 광범위한 영향으로 이해해야 하며, 모든 사용자나 모든 경로가 영향받았다는 주장이 아닙니다. 네트워크마다 다른 경로를 선택합니다. 로컬 선호(local preference)는 피어나 공급자 경로보다 고객 경로를 선호할 수 있습니다. AS-path 프리펜딩은 한 경로를 덜 매력적으로 보이게 할 수 있는 반면, 유출된 경로는 더 짧아 보일 수 있습니다. 지리, 피어링, 트래픽 엔지니어링이 모두 특정 네트워크가 유출을 보는지, 선택하는지에 영향을 줍니다.

TPG Telecom과 Yahoo를 포함한 사례들은 무관한 목적지 네트워크가 경로로 끌려들어질 수 있음을 보여줍니다 [1][4][5][6]. 이는 그 조직들이 사건을 일으켰거나 운영한 모든 서비스가 사용 불가했음을 확립하지 않습니다. 그들의 프리픽스는 경로 전파 분석의 증거 객체로 작용합니다. 책임 있는 통제 표면은 유출된 경로를 둘러싼 익스포트, 수용, 전파 결정입니다.

RouteViews와 RIPE RIS는 시야를 넓히는 데 도움이 될 수 있습니다 [8][9]. RIPE RIS는 여러 위치에 수집기를 둔 또 다른 공개 라우팅 데이터 플랫폼입니다. 두 시스템을 비교하면 경로가 언제 어디서 나타났는지 보여줄 수 있지만, 어느 수집기 플랫폼도 모든 라우팅 결정을 보지 못합니다. 경로는 보이면서 포워딩에는 선택되지 않을 수 있고, 한 네트워크에서 선택된 경로가 다른 네트워크의 경험을 대표하지 않을 수 있습니다.

정확한 병목 지점도 불명확합니다. Kentik은 목적지에 도달한 우회된 트래픽보다 드롭되거나 장애를 겪은 트래픽이 많았기 때문에, 예상치 못한 트래픽이 AS3356-AS3223 경로의 무언가를 압도했을 가능성이 높다고 추론했습니다 [1]. 이는 합리적인 운영 해석이지 위치에 대한 증명이 아닙니다. 마무리 자료는 패킷, 인터페이스 또는 흐름 기록이 주장을 뒷받침하지 않는 한 포트, 시설, 용량 소유자를 지명해서는 안 됩니다.

고객 손실 추정에도 같은 규율이 필요합니다. 20분의 열악한 라우팅은 세션을 끊고, 트랜잭션을 타임아웃시키고, 운영 대응을 촉발할 수 있습니다. 이를 금전 손실로 바꾸려면 서비스별 증거가 필요합니다. 공개 손실 수치의 부재가 라우팅 통제 실패를 덜 중요하게 만들지는 않습니다. 글이 손해배상을 지어내지 않고 연속성 리스크를 서술해야 한다는 뜻입니다.

레지스트리 기록은 증거의 닻이지 판결이 아니다

AS3223과 AS3356의 공개 ASN 페이지는 사건을 안정적인 번호 자원 신원에 연결하는 데 도움이 됩니다 [3][4]. AS7545와 AS10310의 추가 페이지는 사례 오리진을 닻으로 삼습니다 [5][6]. 회사 이름, 소유권, 서비스 설명은 바뀔 수 있지만 자율 시스템 식별자는 라우팅 증거의 일부로 남기 때문에 이 기록들이 유용합니다.

그래서 레지스트리 기록은 사건을 판결하지 않으면서 중요합니다. 레지스트리는 장부이자 기록 관리자이며, 운영 행위의 주권적 판사가 아닙니다. ASN 기록은 리소스 보유자나 라우팅 맥락을 식별할 수 있습니다. 특정 라우터에서 어떤 라우트 맵이 실행되었는지 증명하거나, 비공개 상호 접속 계약 하에 익스포트가 허용되었는지 판단할 수는 없습니다. 실행 중인 BGP 상태가 현실의 층위입니다.

이 구분은 두 가지 흔한 실수를 막습니다. 첫째는 등록을 허가로 취급하는 것입니다. ASN이 제대로 등록되어 있으니 그것을 포함하는 모든 경로는 정당해야 한다는 추론입니다. 거짓입니다. 등록은 신원과 리소스 관리를 다루지, 모든 전파 관계를 다루지 않습니다. 둘째는 공개 경로를 완전한 과실 판정으로 취급하는 것입니다. 수집기는 예상 밖의 시퀀스를 보여줄 수 있지만, 원인·승인·복구를 설명하려면 여전히 비공개 로그가 필요합니다.

책임성은 이 층위들을 연결합니다. 레지스트리 기록은 자율 시스템을 식별합니다. 프로비저닝 기록은 의도된 관계를 서술합니다. 라우터 상태는 수용과 익스포트된 것을 보여줍니다. 수집기는 외부 전파를 보여줍니다. 트래픽 텔레메트리는 포워딩 효과를 보여줍니다. 인시던트 기록은 복구를 설명합니다. 신뢰할 수 있는 사후 검토는 독립 검토자가 브랜드 신뢰나 옹호에 의존하지 않고 이 층위들을 넘나들 수 있게 해야 합니다.

유출을 막았거나 짧게 했을 통제들

첫 번째 통제는 모든 외부 BGP 세션에 대한 명시적 관계 지정입니다. 양쪽 모두 세션이 공급자-고객, 피어-피어, 경로 서버-클라이언트, 또는 문서화된 복잡 관계인지 알아야 합니다. 지정은 프로비저닝 데이터에 저장되고, 설정에 표현되며, 변경 시 검토되어야 합니다. 관계를 모르는 세션은 관대한 기본값을 물려받아서는 안 됩니다.

두 번째 통제는 기본 거부(deny) 임포트·익스포트입니다. RFC 8212는 정책 없이는 외부 세션을 넘어 경로가 흐르지 않는다는 원칙을 공식화합니다 [13]. 완화 공급업체의 경우 정책이 동적 입력을 필요로 할 수 있지만, 생성된 결과는 여전히 명시적이어야 합니다. 긴급 활성화는 전체 테이블의 관문을 우회하는 것이 아니라, 경계가 있는 승인을 추가해야 합니다.

세 번째 통제는 경로 출처입니다. 경로는 자체 오리지네이트, 고객 학습, 피어 학습, 공급자 학습 여부를 보여주는 내부 태그를 가져야 합니다. 그러면 익스포트 정책이 관계 규칙을 강제할 수 있습니다. 태그는 우발적 덮어쓰기로부터 보호되고, 라우트 리플렉터, 벤더 경계, 서비스 자동화 전반에서 테스트되어야 합니다.

네 번째 통제는 구현과 피어 지원이 허용하는 곳에서의 협상된 BGP Roles와 OTC입니다 [14]. 이 메커니즘은 관계가 양쪽 이웃에 의해 확인되고, 금지된 방향으로 이동하는 경로를 탐지하는 데 도움이 되는 신호를 운반하게 합니다. 배포는 세션별로 측정되어야 합니다. 역할이 지원된다는 정책 문서는 2025년 4월 1일 AS3223-AS3356 경계에서 사용되었다는 증거가 아닙니다.

다섯 번째 통제는 생태계가 성숙함에 따라 ASPA 기반 경로 검증입니다 [16]. 공급자 승인은 관측된 공급자 관계가 타당한지에 대한 더 많은 근거를 네트워크에 제공할 수 있습니다. 운영자는 커버리지, 검증자 행동, 예외 처리, 오탐 리스크를 추적해야 합니다. ASPA는 직접 고객 프로비저닝과 경로 정책을 대체하는 것이 아니라 보완해야 합니다.

여섯 번째 통제는 경로 수와 구성 모니터링입니다. 유용한 임계값은 현재 익스포트를 계획된 집합과 과거 기준과 비교합니다. 큰 델타, 예상 밖의 오리진 다양성, 새로운 첫 홉 관계, 갑작스러운 more-specifics, 비정상 전파를 탐지해야 합니다. 경보에는 명명된 담당자와 신속한 봉쇄 조치가 있어야 합니다.

일곱 번째 통제는 공개 수집기 모니터링입니다. RouteViews와 RIPE RIS는 의도된 광고와 실제 광고 사이의 불일치를 잡아내는 외부-내부 시각을 제공합니다 [8][9]. 운영자는 승인되지 않은 오리진만이 아니라 자신의 ASN이 경로에서 예상 밖으로 나타나는지도 감시해야 합니다. 경로 경보는 오리진 전용 모니터링이 놓치는 유출을 드러낼 수 있습니다.

여덟 번째 통제는 트래픽 영향 상관 분석입니다. BGP 업데이트는 컨트롤 플레인 사건을 설명하고, 흐름·인터페이스·패킷 손실 데이터는 포워딩 결과를 보여줍니다. 인시던트 타임라인은 경로 광고, 경로 선택, 트래픽 우회, 드롭, 고객 보고, 철회를 정렬해야 합니다. 정렬이 없으면 사용자가 여전히 영향받는 가운데 팀이 라우팅 문제를 종결할 수 있습니다.

아홉 번째 통제는 롤백 증명입니다. 복구된 설정은 소스에서 렌더링되고, 이전 버전과 비교되고, 랩이나 정책 테스트에서 검증되고, 변경 관리 하에 배포되고, 외부에서 관측되어야 합니다. 테스트에는 정확한 실패 클래스가 포함되어야 합니다. 공급자 익스포트로 제시된 피어 학습 경로입니다. 일반적인 성공적인 BGP 세션 테스트로는 부족합니다.

열 번째 통제는 커뮤니케이션 보존입니다. 피어, 고객, 트랜짓 공급자는 인시던트 통지, 확인 응답, 타임스탬프, 경로 샘플을 보존해야 합니다. 라우팅 실패는 조직 경계를 넘습니다. 한 운영자의 티켓 시스템에만 존재하는 마무리 자료는 공유 경로가 모든 곳에서 복구되었음을 증명할 수 없습니다.

경영진이 소유해야 할 것

경영진은 모든 라우트 맵 줄을 승인할 필요는 없지만, 경로 승인을 감사 가능하게 만드는 체계를 소유해야 합니다. 첫 번째 거버넌스 결정은 관계 장부의 소유자입니다. 영업이 상업적 합의를, 프로비저닝이 서비스를, 네트워크 엔지니어링이 세션을 알 수 있습니다. 이 기록들이 서로 불일치하면, 라우터는 결국 모호성을 설정으로 받아들입니다.

두 번째 결정은 긴급 DDoS 완화가 정상 증거 절차를 우회할 수 있는지입니다. 공격 대응은 경로를 빨리 광고하려는 압력을 만듭니다. 안전한 설계는 경계가 있는 프리픽스와 관계를 사전 승인하고, 모든 활성화를 기록하고, 만료를 적용하고, 외부 전파를 검증합니다. 속도는 통제를 비활성화해서가 아니라 준비된 통제에서 나와야 합니다.

세 번째 결정은 트랜짓 경계에서 어느 정도의 마찰을 수용할지입니다. 광범위한 고객 필터는 프로비저닝 작업을 줄이고 정당한 완화 경로의 우발적 거부를 피할 수 있습니다. 동시에 고객 실수의 폭발력 반경을 넓힙니다. 경영진은 관대한 정책에 대한 문서화된 리스크 수용을 요구하고, 더 좁은 동적 통제에 필요한 자동화에 자금을 배정해야 합니다.

네 번째 결정은 공개 품질입니다. 책임 있는 인시던트 진술은 사실, 추론, 미지를 구분합니다. 정확한 시각, ASN, 경로 클래스, 관측된 영향, 봉쇄, 계획된 통제를 제시합니다. 특정 엔지니어에게 책임을 돌리거나, 외부 증거가 확인하기 전에 완전 회복을 주장하는 것을 피합니다.

다섯 번째 결정은 독립 검증입니다. 정책을 작성한 팀이 복구가 작동한다고 판단하는 유일한 팀이어서는 안 됩니다. 별도의 네트워크 보안 또는 신뢰성 검토자가 경로 익스포트, 수집기 가시성, 경보를 테스트할 수 있습니다. 중요한 피어와도 조율된 검증 기간이 필요할 수 있습니다.

인센티브 리스크는 익숙합니다. 모든 운영자가 다음 경계가 문제를 잡아줄 것이라고 가정합니다. 완화 공급업체는 트랜짓 필터링을 기대하고, 트랜짓 공급업체는 정확한 고객 프로비저닝을 기대하고, 하류 네트워크는 경로 선택의 안정을 기대하고, 리소스 보유자는 RPKI가 라우팅 보안을 해결해 줄 것을 기대합니다. 2025년 4월의 유출은 이러한 부분적 가정들이 완전한 통제 체계가 되지 않음을 보여줍니다.

앞으로 지켜볼 것

첫 번째 신호는 구체적 근본 원인과 복구의 공개입니다. 유용한 서술은 민감한 설정을 노출하지 않고 실패한 정책 클래스를 명명하고, AS3223 또는 AS3356 중 누가 필터링을 바꿨는지 식별하며, 재발 방지에 대한 검증 가능한 진술을 제공합니다. '인적 오류'라는 일반적 언급은 관계 질문에 답하지 못합니다.

두 번째 신호는 BGP Role과 OTC 배포입니다. 운영자는 구현 지원을 공개하고 세션 커버리지를 측정해야 합니다. 중요한 지표는 소프트웨어가 기능을 파싱할 수 있는지가 아니라, 얼마나 많은 고위험 고객·피어·완화 세션이 일관된 역할을 협상하고 결과 정책을 강제하는지입니다.

세 번째 신호는 ASPA 생태계 커버리지입니다. 공급자 승인이 확대되면 경로 모니터가 더 강한 경로 증거를 얻을 수 있습니다. 검토자는 네트워크가 미지·무효 상태를 어떻게 처리하는지, 예외를 어떻게 거버넌스하는지, 통제가 정당한 복잡 관계를 방해하지 않고 공급자 경로 이상을 잡는지 지켜봐야 합니다.

네 번째 신호는 경로 유출 가시성입니다. 공개 모니터링은 더 적은 광범위 전파와 더 짧은 봉쇄 시간을 보여야 합니다. AS3223과 AS3356의 경우, 같은 관계를 통한 예상 밖의 피어 오리진 경로 재발은 복구가 불완전했다는 강력한 증거가 될 것입니다. 깨끗한 기간은 도움이 되지만 테스트된 통제 없이는 증명이 아닙니다.

다섯 번째 신호는 완화 공급업체의 온보딩 규율입니다. 공급자는 고객 프리픽스가 어떻게 승인되는지, 승인이 어떻게 만료되는지, 경로 출처가 어떻게 보존되는지, 익스포트 경로가 서비스 장부와 어떻게 비교되는지 설명할 수 있어야 합니다. 이는 컴플라이언스 양식이 아니라 연속성 통제입니다.

여섯 번째 신호는 트랜짓 공급업체의 고객 필터링입니다. 대형 통신사는 대량 완화 고객이 무제한 전파 특권을 받지 않음을 보여줄 만큼 라우팅 보안 자세를 공개해야 합니다. MANRS 가이드는 잘못된 광고 방지와 연락처 정보 유지를 위한 운영 기준선을 제공합니다 [2][17].

일곱 번째 신호는 공유 인시던트 타이밍입니다. 경로 수집기, 트래픽 텔레메트리, 운영자 진술은 시작, 봉쇄, 복구에 수렴해야 합니다. 그렇지 않다면 불일치는 계속 열려 있어야 합니다. 책임성은 가장 편리한 타임스탬프를 선택함으로써 달성되지 않습니다.

여덟 번째 신호는 조직 경계 너머의 증거 보존입니다. 미래의 검토는 정확한 AS3223 익스포트 정책, AS3356의 고객 수용 정책, 경로 수 경보, 수집기 스냅샷, 흐름 요약, 인시던트 통지, 복구 승인에 사용된 테스트를 회수할 수 있어야 합니다. 보존 기간은 장비가 휘발성 로그를 유지하는 시간이 아니라, 피어와 고객이 사건을 대조하는 데 필요할 수 있는 기간을 반영해야 합니다. 기록은 정책 버전과 시각 출처를 식별해야, 조사자가 설정되었거나, 선택되었거나, 광고되었거나, 수용되었거나, 단지 관측된 경로를 구분할 수 있습니다. 여기서 운영 연속성이 측정 가능해집니다. 경로 철회는 서비스를 빠르게 복원할 수 있지만, 복원된 상태가 지속 가능한 관계 인식 통제에서 나온 것인지, 일회성 수동 개입인지는 보존된 증거만 보여줄 수 있습니다. 운영자는 실패한 테스트와 예외도 보존해야 합니다.

거부된 중간 상태 없이 깨끗한 최종 설정만 있으면 리스크를 만든 결정 경로가 숨겨질 수 있습니다. 따라서 증거 보존은 예방의 일부입니다. 또 다른 광범위 전파 사건 전에 반복되는 정책 드리프트를 가시화합니다.

시나리오 변화

라우터 기록이 AS3223이 유출 경로를 익스포트한 적이 없고 수집기 경로가 다른 곳에서 만들어졌음을 보여준다면 평가는 달라집니다. AS3356이 경로를 거부했고 다른 경로가 집계나 관측 오류를 통해 단지 같은 시퀀스를 포함하는 것처럼 보였다면에도 달라집니다. 이것들은 검증 가능한 대안이며, 공개 글은 그에 열려 있어야 합니다.

증거가 알려진 관대한 익스포트 규칙, 반복된 경고, 비활성화된 경보, 검토 없이 수용된 경계 없는 AS-SET, 또는 복구되지 않은 이전 유사 유출을 보여준다면 평가는 더 심각해집니다. 운영자가 완전 회복을 주장하는 동안 관련 수집기나 트래픽 데이터가 계속 경로를 보여준다면에도 더 심각해집니다.

운영자가 좁은 설정 결함, 즉각적 자동 봉쇄, 일관된 수집기 철회, 검증된 트래픽 회복, 독립 테스트된 관계 인식 복구를 제시한다면 평가는 덜 심각해집니다. 그렇다고 사건이 지워지는 것은 아닙니다. 초기 통제 실패 후 책임 체계가 작동했음을 보여주는 것입니다.

판단은 규제자나 레지스트리가 과실을 선언하는지에 달려서는 안 됩니다. 번호 자원 레지스트리는 자신의 층위에서 신원과 승인 기록을 제공합니다. 라우터를 운영하지 않습니다. 결정적 증거는 실행 중인 경로 상태와 그것을 지배하는 통제입니다.

출처

1. https://www.kentik.com/blog/beyond-their-intended-scope-ddos-mitigation-leak/
2. https://manrs.org/2025/03/beyond-their-intended-scope-ddos-mitigation-leak/
3. https://bgp.tools/as/3223
4. https://bgp.tools/as/3356
5. https://bgp.tools/as/7545
6. https://bgp.tools/as/10310
7. https://www.cenic.org/
8. https://www.routeviews.org/routeviews/
9. https://ris.ripe.net/docs/
10. https://www.rfc-editor.org/rfc/rfc4271
11. https://www.rfc-editor.org/rfc/rfc7908
12. https://www.rfc-editor.org/rfc/rfc7454
13. https://www.rfc-editor.org/rfc/rfc8212
14. https://www.rfc-editor.org/rfc/rfc9234
15. https://www.rfc-editor.org/rfc/rfc6811
16. https://www.rfc-editor.org/rfc/rfc8893
17. https://manrs.org/isps/guide/
18. https://www.kentik.com/blog/a-brief-history-of-the-internets-biggest-bgp-incidents/