Summary

  • На RIPE 92 Petros Gigis объяснил: счётчики трафика и BGP показывают неожиданную точку входа, но не доказывают подлинность адреса отправителя в пришедших пакетах.
  • OpenPenny намеренно отбрасывает небольшое число TCP-пакетов выбранной пробы и наблюдает повторную передачу. В собственной технической статье Gigis сообщает о тестах с 12 потерями на нескольких потоках и доле ложных положительных результатов, достигавшей одного на миллион в условиях опыта.

Датчик говорит: трафик из этого префикса пришёл не там, где обычно. Инженер начинает искать утечку маршрута. Petros Gigis напоминает о более дешёвом объяснении: отправитель подставил чужой адрес источника. Пакеты действительно пересекли новую точку входа, но никакая сеть за указанным префиксом не обязана была менять свой путь.

Транзитный ISP находится между концами разговора. NetFlow и sFlow учитывают объём и место входа, BGP показывает объявленные маршруты. Полного состояния TCP-соединения посредник не имеет. На вопрос Jen Linkova о проверке рукопожатия Gigis ответил именно этим различием: оператор, который переносит чужой трафик, не видит того же, что сервер, завершающий соединение.

OpenPenny сначала пассивно изучает копии выбранных потоков. Если участок заслуживает проверки, активный режим направляет небольшой срез через локальный аналитический компьютер. Тот намеренно выбрасывает несколько TCP-пакетов и ждёт повторной передачи. Реальный собеседник узнаёт о пропаже и возвращает данные; односторонняя рассылка с подставленным адресом не образует такой обратной связи. Официальная карточка выступления описывает вариант размещения на обычной x86-машине.

Число 12 относится к нескольким потокам вместе, а не к каждому соединению. Ошибка «поддельное признано настоящим» в описанных испытаниях опускалась до одного случая на миллион. Потери на других участках, балансировка, разные реализации TCP и имитация ответов противником усложняют другие внедрения. Обнаруженный ответ подтверждает, что в агрегате есть настоящий трафик. Он ещё не перечисляет все узлы пути и не называет виновника отклонения.

Такой порядок экономит часы расследования. Поддельный поток способен вызвать тревогу о несуществующей маршрутной аварии. Настоящий обходной путь может не появиться на доступных BGP-мониторах. Gigis предлагает сначала проверить свидетельство, а затем открывать инцидент, звонить соседям и менять политику. Кнопка «тревога» не должна превращать любой исходный адрес в истину.

Источники: официальная стенограмма RIPE 92 · страница доклада · профиль RACI · техническая статья Gigis.