Кратко

  • Из 13 синтетических генераторов BGP наиболее точный для своего коллектора сильнее всего потерял при переносе: детектор пропустил 35–41% аномалий.
  • Детектор обнаружил сигнал BGP при отключении электричества в Иберии в апреле 2025 года менее чем за десять минут при доле ложных тревог 1,3%; в слепой проверке AS766 операторы подтвердили 65-минутный эпизод маршрутизации.

Анализ

До аспирантуры Shadi Motaali работала в интернет-провайдере в Иране и видела аварии маршрутизации со стороны оператора — вместе с жалобами клиентов. На RIPE 93 она поставила вопрос в рабочем масштабе: сеть заметит сбой через несколько минут или после звонка клиента? Исследование проверяет, что теряет BGP-детектор при смене точки наблюдения.

Для обучения взяли RIPE RIS RRC4, для проверки — RRC5. Motaali собрала 30 документированных событий по опубликованным временным меткам и сравнила 13 синтетических генераторов трафика. Генератор с лучшим соответствием исходному коллектору сильнее всех просел на другом: незамеченными остались 35–41% аномалий.

В расшифровке есть и детали подготовки признаков. Из 48 статистик UPDATE оставили 25: признак проходил дальше, только если с ним соглашались шесть алгоритмов отбора. Это уменьшало шум и ускоряло реакцию. Затем к статистике добавили граф связей автономных систем. Для разреженной или звёздной сети подходит простой класс модели; плотная структура требует учитывать связи между признаками. Аннотация RIPE сообщает, что топология восстановила устойчивость при переходе между коллекторами, но не показывает, сколько именно пропусков удалось вернуть на паре RRC4–RRC5.

Во время отключения электричества в Иберии в апреле 2025 года детектор заметил событие менее чем через десять минут после начала связанного сигнала BGP. Доля ложных тревог составила 1,3%; модель не переобучали пять месяцев. В слепой проверке на AS766 (RedIRIS) операторы независимо подтвердили 65-минутный эпизод маршрутизации, используя только временные метки. Motaali также рассказала о проверке тревоги, за которой стояли withdrawals от upstream-сетей; возможным объяснением была сходимость маршрутов, на трафик событие не повлияло.

Локальный лидер может оказаться худшим гостем у соседнего коллектора. Motaali подбирает класс модели к структуре сети и оставляет оператору объяснение, которое можно проверить по маршрутам.

Источники