Resumo

  • O detector treinado com o gerador sintético mais fiel ao fluxo do RRC4 foi o que mais falhou no RRC5: 35–41% das anomalias não foram detectadas.
  • O detector identificou o sinal BGP do apagão ibérico de abril de 2025 em menos de dez minutos, com 1,3% de falsos alarmes; operadores confirmaram às cegas um episódio de 65 minutos no AS766.

Análise

Antes do doutorado, Shadi Motaali trabalhou em um provedor de Internet no Irã e viu incidentes de roteamento do lado de quem precisava atender os clientes. No RIPE 93, ela formulou a pergunta que move sua pesquisa: a rede percebe o problema em minutos ou só quando alguém liga para reclamar? O teste acompanha o que um detector BGP deixa de ver quando muda a coleta.

Geradores sintéticos criam tráfego BGP artificial para treinar detectores. Motaali comparou 13 desses geradores e montou casos de anomalia a partir de 30 eventos documentados em horários publicados. O treinamento usou o RIPE RIS RRC4; a avaliação, o RRC5. O detector treinado com o gerador que mais se parecia com o fluxo real do RRC4 perdeu mais na troca: 35–41% das anomalias passaram despercebidas no RRC5.

A transcrição detalha a seleção de sinais. Motaali extraiu estatísticas dos UPDATE e reduziu 48 características candidatas a 25, mantendo somente as aprovadas por seis algoritmos de seleção. Menos entradas reduziram ruído e tempo de detecção. O classificador também considera um grafo de conexões entre sistemas autônomos: numa rede esparsa ou em estrela, pode usar uma classe simples; numa estrutura densa, precisa calcular relações entre características. Dois pares de vizinhos e cem enlaces de trânsito descrevem redes diferentes.

O detector resultante foi avaliado em dois eventos reais. No apagão ibérico de abril de 2025, identificou o sinal BGP em menos de dez minutos e teve 1,3% de falsos alarmes; havia sido treinado cinco meses antes, sem retreinamento. No teste cego do AS766 (RedIRIS), operadores confirmaram um episódio de roteamento de 65 minutos usando apenas os horários. O resumo não informa qual coletor treinou o modelo dessas avaliações reais.

Na sessão, Motaali mostrou que o alerta apontava a característica responsável; os operadores compararam o sinal com os próprios registros. Em um caso, encontraram retiradas de rotas vindas de redes a montante. A convergência foi uma explicação possível, sem efeito no tráfego. O valor do detector aparece quando o operador consegue conferir o que disparou a indicação.

Fontes