요약

  • 2021년 10월의 장애는 계획된 안티-DDoS 점검 이후에 발생했지만, 공개 기록은 장애 자체를 DDoS 공격 탓으로 돌리지 않는다.
  • OVHcloud는 BGP에서 OSPF로의 재배포에 관한 명령이 인터넷 전체 라우팅 테이블을 내부 IGP에 유입시켜 라우터 자원을 과부하시키고, IPv6는 도달 가능한 상태로 남은 가운데 IPv4 라우팅을 작동 불능으로 만들었다고 밝혔다.
  • 승인 통제는 존재했다. OVHcloud는 해당 변경이 CAB, MOP, 동료 검토를 통과했다고 밝혔으므로, 책임의 쟁점은 과정 부재가 아니라 의미 검증, 영향 범위 제한, 실시간 상태 관찰, 실효적 롤백에 있다.
  • 복구는 단계적으로 이루어졌다. 구성 문제는 09:20 CET경 나타났고, 결함 라우터는 10:18에 전원이 차단되었으며, 첫 서비스는 10:20에 복귀했고, 기술적 위기는 10:57에 종료로 표시되었다.
  • 근거는 광범위한 서비스 영향을 수반한 라우팅 도달성 실패를 뒷받침하지만, 정확한 고객 수, 데이터 손실, 물리적 파괴, 완전한 재무 손실 총액, 또한 입증된 복사-붙여넣기 근본 원인을 확립하지는 않는다.

점검 의도는 운영상 원인이 아니었다

2021년 10월 13일, OVHcloud는 생산 라우팅 인프라에 대한 계획된 작업을 시작했다. 명시된 목적은 공격이 더 격해지던 시기에 안티-DDoS 보호를 강화하는 것이었다. 이 맥락은 중요하지만 인과 사슬에서 올바른 위치에 두어야 한다. 이는 변경이 왜 이루어졌는지를 설명할 뿐, 적대적 트래픽이 장애를 일으켰다는 것을 확립하지 않는다.

이 구분은 단순한 편집상 주의 그 이상이다. 운영자는 위협에 대응해 라우팅, 필터링, 용량, 탐지 시스템을 일상적으로 변경한다. 보안 목적의 점검 중 모든 실패를 공격으로 묘사하면, 책임이 변경 자체의 설계와 실행에서 멀어진다. 문서화된 실패가 내부 컨트롤 플레인 사건이었을 때도, 쟁점은 적이 활동했는지가 된다. 여기서 인용된 출처는 구성 명령, 경로 재배포, 자원 고갈, 수렴 실패, 물리적 격리를 묘사한다. 장애 시점에 DDoS가 네트워크를 압도했다고는 묘사하지 않는다.

그래서 이것은 변경통제 사건이다. 점검에는 의도된 보안 목표가 있었지만, 실행 중인 네트워크는 명령이 만든 상태를 따랐다. 의도는 내부 프로토콜로 유입되는 경로 수를 제한하지 않았다. 안티-DDoS 목적이 존재한다고 새 상태가 안전해지지 않았다. 보안 작업도 일반적인 연속성 요건을 충족해야 한다: 제한된 범위, 예측 가능한 의미, 관찰 가능한 효과, 시험된 되돌리기 경로, 나쁜 상태가 퍼지기 전에 억제할 수단.

이 경계는 또한 외부 사건과 내부 오류가 하나의 원인으로 섞이기 쉽지만 뒷받침되지 않는 이야기를 막는다. 위협 압력은 긴급성을 만들 수 있고, 긴급성은 일정과 위험 허용도에 영향을 줄 수 있다. 그러나 공개 근거는 공격 트래픽이 구체적 실패를 강제했다는 것을 보여주지 않는다. 뒷받침되는 설명은 더 좁고 더 유용하다: 안티-DDoS 개선을 위한 점검 중에 라우팅 시스템이 안전하게 감당할 수 없는 상태를 수용했다.

BGP에서 OSPF로 이어지는 컨트롤 플레인 경로

기술적 기제가 중심이다. OVHcloud는 해당 명령이 BGP(Border Gateway Protocol)에서 OSPF(Open Shortest Path First)로의 재배포에 관한 것이라고 밝혔다. BGP는 네트워크 경계를 넘어 도달성 정보를 교환하고 정책에 따라 경로를 선택하는 데 사용된다. OSPF는 하나의 관리 네트워크 내부에서 토폴로지와 도달성 정보를 배포하는 내부 게이트웨이 프로토콜이다. 재배포는 이 두 도메인을 연결할 수 있지만, 동시에 경로 양, 속성, 정책, 실패 동작을 엄격히 통제해야 하는 경계를 만든다.

OVHcloud의 장애 설명에 따르면, 한 라우터가 명령을 올바르게 해석하지 못했다. 결과는 잘못된 목적지 하나나 실패한 세션 하나에 그치지 않았다. 인터넷 전체 라우팅 테이블이 회사 내부 라우팅 시스템에 광고되었다. OSPF 테이블이 가득 차고 라우터의 메모리와 프로세서가 과부하되었다. 이어 BGP와 OSPF 사이의 수렴 루프가 발생해 IPv4 라우팅이 작동 불능이 되었다.

이 순서는 이 사건을 막연한 '네트워크 문제'로 축소할 수 없는 이유를 설명한다. 실패는 프로토콜 경계를 넘었다. 외부 도달성 정보가 영향받은 상태가 감당할 수 없는 규모로 내부 컨트롤 플레인에 들어왔다. 그 부하가 문제를 교정하거나 우회하는 데 필요한 라우팅 기능 자체를 손상시켰다. 컨트롤 플레인이 포화되고 반복적으로 재수렴하면, 논리적으로 단순한 수리 명령도 단순한 운영 효과를 내지 못할 수 있다.

'인터넷 전체 라우팅 테이블'이라는 표현은 경로 수를 새로 만들지 않고도 중요하다. 공개 라우팅 테이블은 크고 동적이다. 그 양을 IGP에 주입하면 참여 장비 전반에서 메모리, 프로세서 시간, 링크 상태 처리 용량, 수렴 주의력을 소모할 수 있다. 기록은 영향받은 경로나 라우터의 정확한 수를 확립하지 않으므로 그 수치를 추측해서는 안 된다. 다만 질적 경계는 확립한다: 재배포가 내부 라우팅 도메인이 안전하게 흡수할 수 있는 범위를 훨씬 넘었다.

이 기제는 명령 검증이 왜 의미적이어야 하는지도 보여준다. 파서는 구성 한 줄을 수용할 수 있다. 장비는 그를 커밋할 수 있다. 동료 검토자는 모든 키워드를 인식할 수 있다. 그 중 어느 것도 결과 경로 집합이 유계임을 증명하지 않는다. 재배포의 경우 검토의 의미 있는 대상은 경계를 넘을 예측된 경로와 속성 집합, 그리고 모든 수신 컨트롤 플레인 구성요소에 미치는 효과다.

따라서 안전한 변경에는 구문 유효성 확인 이상이 필요하다. 다음과 같은 검증 가능한 주장이 필요하다: 이 식별된 서브셋의 프리픽스만 BGP에서 OSPF로 내보낼 수 있고, 서브셋 밖은 거부되며, 경로 수와 자원 사용은 정의된 임계 이하에 머물고, 예기치 않은 증가는 광범위한 전파 전에 변경을 정지시킨다. OVHcloud 사건은 승인된 의도가 아니라 실제 경로 집합이 첫 결정적 시험이 될 때의 결과를 보여준다.

하나의 편리한 기간이 아니라 단계화된 시계

상세한 운영 타임라인은 사건을 단계로 나눈다. 계획된 작업은 09:05 CET에 시작했다. BGP 격리와 구성 조치는 09:18에 기록되었다. 네트워크 구성 문제는 09:20에 발생했고, 라우터 성능 문제는 09:21에 감지·에스컬레이션되었다. 09:30까지 시도된 롤백이 실패했고 물리적 격리가 복구 경로로 선택되었다.

영향받은 라우터는 10:18에 전원이 차단되었다. 네트워크가 그 없이 수렴을 시작하면서 첫 서비스는 10:20에 복귀했다. OVHcloud는 10:57에 기술적 위기를 종료로 표시했다. 같은 날 더 이른 요약은 개입과 격리에 대해 더 거친 시각을 사용했다. 상세한 사후 장애 설명이 정밀도의 더 강한 근거이며, 이른 요약은 공개 시각이 조사가 진행되면서 더 정확해질 수 있다는 경고로 남는다.

이 이정표들은 서로 다른 상태를 묘사한다. 결함 상태의 시작은 감지와 같지 않다. 격리 결정은 성공한 격리와 같지 않다. 첫 서비스 복귀는 완전한 안정화가 아니다. 기술적 위기의 종료는 모든 고객 대면 의존성이 그 순간에 회복되었다는 증명이 아니다. 이 상태들을 하나의 기간으로 압축하면 가장 중요한 운영 질문이 숨겨진다.

책임성의 관점에서 간격은 정보가 된다. 기록된 구성 문제에서 감지까지 약 1분이 지났다. 롤백이 실패로 판정되고 격리가 선택되기까지는 수분이 지났다. 라우터가 물리적으로 전원 차단되기까지는 훨씬 더 오래 걸렸다. 그 조치 직후 첫 복구가 뒤따랐고, 더 넓은 안정화는 계속되었다. 공개 기록은 그 간격 안의 모든 명령, 접근 제약, 결정, 의존성을 노출하지 않는다. 그럼에도 어느 복구 경계가 결정적이었는지를 보여준다: 결함 라우터를 실행 중 토폴로지에서 제거하는 것이 수렴을 진행시켰다.

운영자는 장애 시계를 같은 단계적 형태로 공개해야 한다. 유용한 기록은 변경 시작, 첫 비정상 경로 수, 첫 자원 경보, 고객 영향 발생, 감지, 에스컬레이션, 롤백 시작, 롤백 검증, 억제 결정, 물리적 또는 논리적 격리, 첫 성공적 종단 서비스 시험, 안정화를 구분한다. 그 구분이 없으면 짧은 '장애 지속시간'이 네트워크가 여전히 취약하거나 결과가 불확실했던 긴 기간을 감출 수 있다.

검토는 존재했으나 억제는 실패했다

OVHcloud는 해당 변경이 변경 자문 위원회(CAB), 작업 절차서(MOP), 동료 검토 과정을 통해 준비되었다고 밝혔다. 이 근거는 아무도 작업을 검토하지 않았거나 과정이 없었다는 단순한 주장을 배제한다. 더 어려운 책임 질문을 만든다: 왜 그 통제들이 네트워크 전역 결과를 가진 경로 재배포를 예방하거나 억제하지 못했는가?

승인 기제는 흔히 필수 참여자의 서명, 점검 창구 존재, 명령 나열, 롤백 절의 존재에 초점을 맞춘다. 그러한 검사는 추적성을 만들지만, 추적성은 억제가 아니다. 작업 절차서는 안전하지 않은 조치를 정확히 기록할 수 있다. 동료는 명령이 서면 계획과 일치한다고 확인하는 동시에 계획과 명령 모두가 결정적 가드를 빠뜨릴 수 있다. 변경 위원회는 경로 집합의 기계 생성 미리보기를 보지 않은 채 사업 리스크를 평가할 수 있다.

이 사건은 최소한 네 가지 별개의 검토 대상을 시사한다. 첫째는 의도다: 어떤 보안 또는 회복탄력성 결과를 추구하는가? 둘째는 구성 의미다: 각 명령이 지명된 장비와 소프트웨어 버전에서 어떤 상태를 만드는가? 셋째는 전파다: 어떤 다른 라우터와 프로토콜이 그 상태를 수신하거나 증폭할 수 있는가? 넷째는 회복이다: 변경된 라우터, 관리 경로, 컨트롤 플레인이 과부하되면 무엇이 남는가?

앞의 둘만 다루는 검토는 영향 범위를 놓칠 수 있다. 전파를 다루지만 롤백이 항상 실행될 것이라고 가정하는 검토는 회복 함정을 놓친다. 높은 경로 양과 프로세서 스트레스에서 시험하지 않은 롤백 명령을 나열한 검토는 문서화된 옵션을 사용 가능한 통제로 오인할 수 있다. 공개 설명은 롤백이 실패했다고 한다. 그 실패를 특정 개인, 제품, 미보고된 제약에 귀속할 만큼 공개하지는 않는다. 다만 계획된 되돌리기가 필요한 순간에 네트워크를 복원하지 못했다는 것을 보여준다.

여기서 실행 상태가 절차 산출물을 압도한다. CAB 승인은 결정의 기록이다. MOP는 의도된 조치의 기록이다. 동료 검토는 다른 사람이 계획을 살폈다는 증거다. 어느 것도 패킷을 전송하거나 경로 전파를 유계하지 않는다. 네트워크의 운영적 실체는 설치된 경로 집합, 소모된 자원, 수렴 중인 세션, 고객이 경험한 도달성이다. 거버넌스는 변경을 정지하거나 되돌릴 수 있는 측정과 결부될 때만 실효적이 된다.

교훈은 검토를 폐기하라는 것이 아니라 검토를 반증 가능하게 만들라는 것이다. 실행 전에 검토자가 관찰할 것으로 기대하는 것을 진술할 수 있어야 한다: 최대 경로 수 델타, 허용된 프리픽스 패밀리, 안정적인 CPU와 메모리 범위, 예기치 않은 OSPF 데이터베이스 성장 없음, BGP로의 피드백 없음, 독립 경로를 통한 성공적 프로브. 실행 중에는 그 기대에서의 이탈이 진행을 자동으로 일시정지해야 한다. 실행 후에는 관찰된 경로·서비스 상태가 예측과 일치할 때까지 승인이 잠정적으로 남아 있어야 한다.

IPv4는 실패했고 IPv6는 도달 가능했다

공개 기록은 중요한 프로토콜 패밀리 경계를 보존한다. IPv4 라우팅은 작동 불능이 되었고 IPv6는 도달 가능하게 남았다. 그것이 모든 IPv6 의존 서비스가 정상 작동했다는 뜻도, 모든 IPv4 경로가 동일하게 실패했다는 증명도 아니다. 그러나 사건이 하나의 무차별적 방식으로 모든 연결을 지우지 않았다는 것은 보여준다.

이 차이는 진단과 회복탄력성 양쪽에서 중요하다. 한 주소 패밀리가 도달 가능하면 운영자는 모니터링, 관리, 상태 공표, 선별된 고객 커뮤니케이션을 위한 경로를 유지할 수 있다. 그 잠재력이 실현되는지는 의존성에 달려 있다. 영향받은 IPv4 경로로만 도달되는 상태 페이지는 그 구분을 전달할 수 없다. 이용 불가한 서비스를 통해 이름을 풀이하는 관리 도구는 하위 IPv6 경로가 있어도 실패할 수 있다. 고객 애플리케이션은 엣지에서 IPv6를 지원하면서도 IPv4 전용 오리진이나 제3자에 의존할 수 있다.

공개 보도는 OVHcloud 자체 사이트와 상태 접근에서 실패가 관찰되었다고 기록했다. 이는 연속성 경고다: 장애를 설명하는 데 쓰이는 시스템이 장애의 운명을 같이할 수 있다. 운영자는 영향받지 않은 프로토콜 패밀리를 통해 어떤 장애 대응 기능이 도달 가능하게 남는지 알고, 낮은 수준 프로브에 응답하는 주소가 아니라 완전한 서비스로서 시험해야 한다.

이 분할은 기술 서사도 좁힌다. IPv4에 집중된 라우팅 상태 실패라는 운영자의 설명을 뒷받침한다. 파괴된 서버, 상실된 고객 데이터, 물리적 데이터센터 사건이라는 주장을 뒷받침하지 않는다. 호스팅된 시스템은 네트워크가 그에 도달하는 데 필요한 경로를 광고하거나 전달할 수 없어 도달 불가한 상태에서도 전원이 켜진 채 온전할 수 있다.

고객에게 도달 불가와 파괴는 사건 중 비슷하게 느껴질 수 있다: 사이트가 로드되지 않고, API에 도달할 수 없고, 의존 거래가 실패한다. 책임성 관점에서 둘은 매우 다르다. 경로 통제 실패의 복구는 컨트롤 플레인 상태, 수렴, 격리, 도달성에 초점을 맞춘다. 물리적 파괴나 데이터 손실의 복구는 서로 다른 근거, 리스크, 치유를 수반한다. 10월의 사건은 OVHcloud의 별개인 2021년 3월 스트라스부르 화재와 혼합되어서는 안 된다.

엉터리 총계 없이 넓은 영향

OVHcloud는 네트워크 전반의 장애와 자사 웹사이트의 IPv4 트래픽을 올바르게 처리할 수 없음을 묘사했다. 독립 보도는 고객 서버와 사이트가 도달 불가가 되는 모습, 회사 공개 사이트의 오류 반환, 상태 정보의 이용 불가를 관찰했다. Numerama는 수천 개의 영향받은 사이트를 보도하고 프랑스 공공·상업 서비스의 사례를 지명했다.

그 관찰들은 실질적 도달성 영향을 확립한다. 그러나 완전한 목록을 확립하지는 않는다. 인용된 출처는 영향받은 고객, 서비스, 라우터, 국가, 거래, 매출의 감사된 수치를 제공하지 않는다. 지명된 사이트는 의존성을 보여줄 뿐, 전체 영향 범위로 취급되어서는 안 된다. '수천'은 보고된 규모 묘사이지 조정된 고객 영향 대장의 대체물이 아니다.

같은 규율이 피해에도 적용된다. 호스팅 서비스가 도달 불가해지면 사용자는 판매, 커뮤니케이션, 출판, 행정 기능을 놓칠 수 있다. 출처는 이 사건에서 완전한 재무 손실 총액, 구체적 데이터 손실, 물리적 손상을 확립하지 않는다. 책임 있는 설명은 관찰된 것을 말하고 나머지는 열어 둔다.

이 불확실성은 그 자체로 운영적으로 유용하다. 공급자는 추측 없이 컨트롤 플레인 증상을 고객 대면 결과에 연결하는 영향 시스템이 필요하다. 경로 텔레메트리는 프리픽스 철회나 불안정을 보여줄 수 있다. 서비스 프로브는 도달성을 보여줄 수 있다. 고객 지원은 보고를 보여줄 수 있다. 청구와 의존성 데이터는 노출 추정에 도움이 될 수 있다. 어느 하나만으로 전체 수를 제공하지는 않는다. 성숙한 장애 기록은 이 근거 흐름들이 어떻게 조정되었고 불확실성이 어디 남는지를 설명한다.

공개 커뮤니케이션은 도달성과 워크로드 건전성도 구분해야 한다. 서버는 이용 불가한 경로 뒤에서 정상 작동할 수 있다. 반대로 경로가 회복되어도 세션, 캐시, 큐, 의존성이 정착할 시간이 필요해 애플리케이션은 여전히 손상될 수 있다. 이 사건의 단계적 복구에서 그 구분은 특히 중요하다. 첫 서비스는 10:20에 복귀했지만 기술적 위기는 10:57에야 종료로 표시되었다.

롤백은 문서화되어 있었고, 격리가 통제를 회복했다

시도된 소프트웨어 롤백은 실패했다. 공개 기록은 그 실패가 과부하된 자원, 명령 동작, 접근 제약, 수렴 역학, 다른 미보고 요인 중 무엇에서 비롯되었는지 말할 만큼 상세하지 않다. 다만 계획된 논리적 되돌리기가 불충분했고 엔지니어들이 물리적 격리로 이동했다는 것은 확립한다.

10:18에 결함 라우터의 전원이 차단되었다. 네트워크가 수렴하면서 2분 뒤 첫 서비스가 복귀했다. 그 근접성이 모든 숨은 인과 세부를 증명하지는 않지만, 운영자 타임라인에서 격리가 복구와 연관된 조치임을 강하게 지목한다. 복구 경로는 그 상태를 안전하게 현장에서 교정할 수 없는 참여자를 제거할 수 있는 능력에 의존했다.

이는 구체적 통제 요건을 만든다. 중대 라우팅 변경에는 영향받은 컨트롤 플레인의 건강에 의존하지 않는 격리 경로가 필요하다. 여기에는 대역 외 관리, 원격 전원 제어, 독립 콘솔 접근, 사전 승인된 피어 차단, 현지 개입이 포함될 수 있다. 적절한 조합은 토폴로지와 리스크에 따르지만, 정상적인 라우팅, CPU, 메모리, 관리 도달성이 저하되었을 때도 사용 가능해야 한다.

격리에는 리허설된 결과 모형도 필요하다. 라우터를 제거하면 나쁜 상태를 떨어뜨릴 수 있지만 용량이나 연결성을 제거할 수도 있다. 운영자는 어떤 피어가 재수렴하는지, 얼마나 여유 용량이 남는지, 경로 리플렉터나 내부 프로토콜 이웃이 변동을 증폭할지, 어떤 서비스가 잠시 희생될지를 알아야 한다. 억제 조치는 사건 전에 설계되어야 하고, 롤백 실패 후에 즉흥되어서는 안 된다.

롤백과 복원의 구분이 필수적이다. 롤백 명령은 구성을 이전 상태로 되돌리는 것을 목표로 한다. 복원은 네트워크가 다시 안정적이고 올바른 서비스를 전달하는 것이다. 명령은 부실 경로나 과부하 프로세스가 남은 채 성공을 보고할 수 있다. 구성은 수렴이 계속되는 가운데 되돌려질 수 있다. 반대로 물리적 격리는 원래 롤백이 왜 실패했는지 아직 설명하지 않은 채 서비스를 복원할 수 있다. 각 주장은 자체 근거가 필요하다.

이 사건이 운영자에게 증명을 요구하는 것

중심의 책임성 시험은 점검에 서류가 있었는지가 아니다. 변경이 실행되는 동안 통제들이 정확한 라우팅 상태를 증명하고 보존할 수 있었는지이다. 그 시험은 점검 창구 이전에 허용된 재배포 모형으로 시작한다. 기대되는 프리픽스, 경로 수, 속성, 필터, 수신 도메인이 명시적이고 기계 검증 가능해야 한다.

다음 시험은 억제다. 나쁜 재배포는 IGP를 채우기 전에 강경계를 만나야 한다. 프리픽스 한도, 경로 정책, 프로토콜 분리, 단계적 활성화, 섀도 검증, 좁은 카나리아가 노출을 줄일 수 있다. 어느 단일 기제도 보편적이지 않으며, 공개 출처는 당시 배치된 정확한 보호를 밝히지 않는다. 이 사건은 계획된 명령이 옳다는 자신감이 아니라 독립적으로 강제되는 한도의 필요성을 보여준다.

셋째 시험은 관측 가능성이다. 시스템은 경로 수 델타, OSPF 데이터베이스 성장, BGP와 OSPF 수렴 활동, 프로세서와 메모리 압박, 인접성 변화, 업데이트율, 프로토콜 패밀리별 종단 도달성을 노출해야 한다. 경보는 정지 권한과 연결되어야 한다. 성능 문제를 감지하는 것은 가치 있지만, 추가 전파를 막는 것은 더 가치 있을 수 있다.

넷째 시험은 스트레스 하의 회복이다. 롤백은 컨트롤 플레인 자원이 제약되고 변경된 장비가 더 이상 신뢰할 수 있는 실행 환경이 아닐 때 연습되어야 한다. 격리는 독립 경로로 가능해야 한다. 복원 기준에는 명령 프롬프트의 복귀만이 아니라 안정적 라우팅과 고객이 보는 프로브가 포함되어야 한다.

다섯째 시험은 공개 근거다. 유용한 사후 장애 설명은 의도된 상태, 관찰된 상태, 억제 결정, 단계적 복구, 알려진 미지를 식별한다. OVHcloud의 상세 타임라인과 기제는 일반적 사과보다 더 많은 책임성을 제공한다. 남은 질문은 그 교훈이 지속 가능한 통제로 전환되었는지, 그 통제들이 이후 현실적인 실패 조건에서 시험되었는지이다. 이용 가능한 기록은 그 현재 실효성을 확립하지 않는다.

기록이 해소하지 않는 것

출처는 장비 모델, 소프트웨어 버전, 공급업체, 정확한 명령, 파서 동작, 경로 수, 전체 토폴로지를 식별하지 않는다. 특정 엔지니어에게 책임을 귀속하거나 어느 개인이 어느 시점에 무엇을 알았는지 증명하지 않는다. 그 간극은 개인 과실이나 공급업체별 결함에 대한 공정한 주장을 막는다.

일부 보도는 삭제된 경영진 메시지를 논하며 복사-붙여넣기 오류를 시사했다. 이후의 공식 장애 설명은 복사-붙여넣기를 최종 근본 원인으로 확립하지 않는다. 뒷받침되는 진술은 라우터가 명령을 올바르게 해석하지 못했고 그 결과 재배포가 라우팅 실패를 일으켰다는 것이다. 더 구체적인 것은 더 강한 근거가 나타나기 전까지 귀속된 채 잠정적으로 남아야 한다.

기록은 또한 고객 데이터 손실, 서버 파괴, 화재, 물리적 손상을 증명하지 않는다. 완전한 경제적 손실 수치나 정확한 영향 고객 수를 제공하지 않는다. DDoS 트래픽이 장애를 일으켰다는 것을 보여주지 않는다. 변경에 CAB, MOP, 동료 검토가 없었다는 것도 보여주지 않는다.

이 한계는 결론을 약화시키기보다 선명하게 한다. 검토되고 계획된 보안 관련 변경이 라우팅을 압도하는 컨트롤 플레인 상태를 만들어 IPv4 도달성을 무너뜨리고 소프트웨어 롤백에 저항하며 물리적 격리를 요구했다. 책임 있는 대응은 의미적 경로 검증, 강제된 재배포 한도, 독립 관리 접근, 실효적 정지 권한, 서비스 기반 복원 근거를 시연하는 것이다. 그것들은 연속성이 실제로 얻어지거나 잃어지는 실행 중인 네트워크에 관한 주장이다.

출처