🥇 সবকিছু খুব খারাপ বা একটি নতুন ধরনের ট্রাফিক বাধা

13 মার্চ RIPE বিরোধী অপব্যবহার ওয়ার্কিং গ্রুপ একটি প্রস্তাব গৃহীত হয়েছে BGP হাইজ্যাকিং (hjjack) কে RIPE নীতির লঙ্ঘন হিসাবে বিবেচনা করুন। প্রস্তাবটি গৃহীত হলে, ট্রাফিক বাধা দ্বারা আক্রান্ত ইন্টারনেট প্রদানকারী আক্রমণকারীকে প্রকাশ করার জন্য একটি বিশেষ অনুরোধ পাঠানোর সুযোগ পাবে। যদি পর্যালোচনা দল পর্যাপ্ত সমর্থনকারী প্রমাণ সংগ্রহ করে, তাহলে LIR যেটি BGP বাধাদানের উত্স ছিল তাকে অনুপ্রবেশকারী হিসাবে বিবেচনা করা হবে এবং এর LIR মর্যাদা কেড়ে নেওয়া যেতে পারে। কিছু যুক্তিও ছিল এই বিরুদ্ধে পরিবর্তন

এই প্রকাশনায় আমরা এমন একটি আক্রমণের উদাহরণ দেখাতে চাই যেখানে শুধুমাত্র প্রকৃত আক্রমণকারীই প্রশ্নবিদ্ধ নয়, প্রভাবিত উপসর্গের সম্পূর্ণ তালিকাও। তদুপরি, এই জাতীয় আক্রমণ এই ধরণের ট্র্যাফিকের ভবিষ্যতের বাধার উদ্দেশ্য নিয়ে আবার প্রশ্ন উত্থাপন করে।

বিগত কয়েক বছর ধরে, শুধুমাত্র MOAS (মাল্টিপল অরিজিন অটোনোমাস সিস্টেম) এর মত বিরোধগুলিকে BGP ইন্টারসেপশন হিসাবে প্রেসে কভার করা হয়েছে। MOAS হল একটি বিশেষ ক্ষেত্রে যেখানে দুটি ভিন্ন স্বায়ত্তশাসিত সিস্টেম AS_PATH-এ সংশ্লিষ্ট ASN-এর সাথে পরস্পরবিরোধী উপসর্গের বিজ্ঞাপন দেয় (AS_PATH-এ প্রথম ASN, এরপরে মূল ASN হিসাবে উল্লেখ করা হয়)। যাইহোক, আমরা অন্তত নাম করতে পারেন 3টি অতিরিক্ত প্রকার ট্র্যাফিক ইন্টারসেপশন, একজন আক্রমণকারীকে ফিল্টারিং এবং মনিটরিংয়ের আধুনিক পদ্ধতিগুলিকে বাইপাস করা সহ বিভিন্ন উদ্দেশ্যে AS_PATH অ্যাট্রিবিউটটি ম্যানিপুলেট করার অনুমতি দেয়। পরিচিত আক্রমণের ধরন পিলোসোভা-কাপেলি - শেষ ধরনের এই ধরনের বাধা, কিন্তু গুরুত্বের মধ্যে নয়। এটা খুবই সম্ভব যে গত কয়েক সপ্তাহ ধরে আমরা এই ধরনের আক্রমণ দেখেছি। এই ধরনের একটি ঘটনা একটি বোধগম্য প্রকৃতি এবং বেশ গুরুতর পরিণতি আছে।

যারা TL;DR সংস্করণ খুঁজছেন তারা "পারফেক্ট অ্যাটাক" সাবটাইটেলে স্ক্রোল করতে পারেন।

নেটওয়ার্ক ব্যাকগ্রাউন্ড

(এই ঘটনার সাথে জড়িত প্রক্রিয়াগুলিকে আরও ভালভাবে বুঝতে সাহায্য করার জন্য)

আপনি যদি একটি প্যাকেট পাঠাতে চান এবং আপনার গন্তব্য IP ঠিকানা সহ রাউটিং টেবিলে একাধিক উপসর্গ থাকে, তাহলে আপনি দীর্ঘতম দৈর্ঘ্যের উপসর্গের জন্য রুটটি ব্যবহার করবেন। যদি রাউটিং টেবিলে একই উপসর্গের জন্য বেশ কয়েকটি ভিন্ন রুট থাকে, তাহলে আপনি সেরাটি বেছে নেবেন (সর্বোত্তম পাথ নির্বাচন পদ্ধতি অনুসারে)।

বিদ্যমান ফিল্টারিং এবং পর্যবেক্ষণ পদ্ধতি AS_PATH বৈশিষ্ট্য বিশ্লেষণ করে রুট বিশ্লেষণ এবং সিদ্ধান্ত নেওয়ার চেষ্টা করে। রাউটার বিজ্ঞাপনের সময় এই বৈশিষ্ট্যটিকে যেকোনো মান পরিবর্তন করতে পারে। AS_PATH এর শুরুতে কেবল মালিকের ASN যোগ করা (অরিজিন ASN হিসাবে) বর্তমান মূল চেকিং প্রক্রিয়াগুলিকে বাইপাস করার জন্য যথেষ্ট হতে পারে। তাছাড়া, যদি আক্রমণ করা ASN থেকে আপনার কাছে কোনো রুট থাকে, তাহলে আপনার অন্যান্য বিজ্ঞাপনে এই রুটের AS_PATH বের করা এবং ব্যবহার করা সম্ভব। আপনার তৈরি করা ঘোষণাগুলির জন্য যেকোন AS_PATH-শুধুমাত্র বৈধতা পরীক্ষা শেষ পর্যন্ত পাস হবে।

উল্লেখ করার মতো কিছু সীমাবদ্ধতা এখনও আছে। প্রথমত, আপস্ট্রিম প্রদানকারীর দ্বারা উপসর্গ ফিল্টারিংয়ের ক্ষেত্রে, আপনার রুটটি এখনও ফিল্টার করা হতে পারে (এমনকি সঠিক AS_PATH সহ) যদি উপসর্গটি আপস্ট্রিমে কনফিগার করা আপনার ক্লায়েন্ট শঙ্কুর অন্তর্গত না হয়। দ্বিতীয়ত, একটি বৈধ AS_PATH অবৈধ হয়ে যেতে পারে যদি তৈরি করা রুটটি ভুল দিকনির্দেশে বিজ্ঞাপন দেওয়া হয় এবং এইভাবে, রাউটিং নীতি লঙ্ঘন করে। সবশেষে, ROA দৈর্ঘ্য লঙ্ঘন করে এমন উপসর্গ সহ যেকোনো রুট অবৈধ বলে বিবেচিত হতে পারে।

ঘটনা

কয়েক সপ্তাহ আগে আমরা আমাদের একজন ব্যবহারকারীর কাছ থেকে একটি অভিযোগ পেয়েছি। আমরা তার মূল ASN এবং /25 উপসর্গ সহ রুটগুলি দেখেছি, যখন ব্যবহারকারী দাবি করেছেন যে তিনি সেগুলি বিজ্ঞাপন দেননি৷

TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.0/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG|| TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.128/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG|| TABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.0/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG|| TABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.128/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG|| TABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.0/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG|| TABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.128/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG|| TABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.0/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG|| TABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.128/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
এপ্রিল 2019 এর শুরুতে ঘোষণার উদাহরণ

/25 উপসর্গের পথে NTT এটিকে বিশেষভাবে সন্দেহজনক করে তোলে। ঘটনার সময় এলজি এনটিটি এই রুট সম্পর্কে অবগত ছিল না। তাই হ্যাঁ, কিছু অপারেটর এই উপসর্গগুলির জন্য একটি সম্পূর্ণ AS_PATH তৈরি করে! অন্যান্য রাউটার চেক করা একটি নির্দিষ্ট ASN প্রকাশ করে: AS263444। এই স্বায়ত্তশাসিত সিস্টেমের সাথে অন্যান্য রুট দেখার পরে, আমরা নিম্নলিখিত পরিস্থিতির সম্মুখীন হয়েছি:

TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG|| TABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG|| TABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.0/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG|| TABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.128/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG|| TABLE_DUMP2|1554076800|B|xxx|265466|1.24.0.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG|| TABLE_DUMP2|1554076800|B|xxx|265466|1.24.128.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG|| TABLE_DUMP2|1554076800|B|xxx|265466|1.26.0.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG|| TABLE_DUMP2|1554076800|B|xxx|265466|1.26.128.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG|| TABLE_DUMP2|1554076800|B|xxx|265466|1.64.96.0/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG|| TABLE_DUMP2|1554076800|B|xxx|265466|1.64.112.0/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
এখানে কি ভুল অনুমান করার চেষ্টা করুন

দেখা যাচ্ছে যে কেউ রুট থেকে উপসর্গটি নিয়েছে, এটিকে দুটি ভাগে বিভক্ত করেছে এবং সেই দুটি উপসর্গের জন্য একই AS_PATH সহ রুটের বিজ্ঞাপন দিয়েছে৷

TABLE_DUMP2|1554076800|B|xxx|263444|1.6.36.0/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG|| TABLE_DUMP2|1554076800|B|xxx|263444|1.6.38.0/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG|| TABLE_DUMP2|1554076800|B|xxx|61775|1.6.36.0/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG|| TABLE_DUMP2|1554076800|B|xxx|61775|1.6.38.0/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG|| TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG|| TABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG|| TABLE_DUMP2|1554076800|B|xxx|28172|1.6.36.0/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG|| TABLE_DUMP2|1554076800|B|xxx|28172|1.6.38.0/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
বিভক্ত উপসর্গ জোড়াগুলির একটির জন্য উদাহরণ রুট

একসাথে বেশ কিছু প্রশ্ন উঠে। কেউ কি বাস্তবে এই ধরণের বাধা দেওয়ার চেষ্টা করেছেন? কেউ কি এই রুট নিয়েছে? কি উপসর্গ প্রভাবিত হয়েছিল?

এখান থেকেই আমাদের ব্যর্থতার ধারা শুরু হয় এবং ইন্টারনেটের স্বাস্থ্যের বর্তমান অবস্থা নিয়ে হতাশার আরেক দফা।

ব্যর্থতার পথ

আগেরটা আগে. আমরা কিভাবে নির্ধারণ করতে পারি কোন রাউটারগুলি এই ধরনের বাধাপ্রাপ্ত রুট গ্রহণ করেছে এবং কার ট্রাফিক আজকে পুনরায় রুট করা যেতে পারে? আমরা ভেবেছিলাম আমরা /25 উপসর্গ দিয়ে শুরু করব কারণ তারা "সরলভাবে বিশ্বব্যাপী বিতরণ করতে পারে না।" আপনি অনুমান করতে পারেন, আমরা খুব ভুল ছিল. এই মেট্রিকটি খুব কোলাহলপূর্ণ বলে প্রমাণিত হয়েছে এবং এই জাতীয় উপসর্গ সহ রুটগুলি এমনকি Tier-1 অপারেটর থেকেও উপস্থিত হতে পারে৷ উদাহরণস্বরূপ, NTT প্রায় 50টি উপসর্গ রয়েছে, যা এটি তার নিজস্ব ক্লায়েন্টদের মধ্যে বিতরণ করে। অন্যদিকে, এই মেট্রিকটি খারাপ কারণ অপারেটর ব্যবহার করলে এই ধরনের উপসর্গগুলি ফিল্টার করা যেতে পারে ফিল্টারিং ছোট উপসর্গ, সব দিক থেকে অতএব, এই পদ্ধতিটি এমন সমস্ত অপারেটর খুঁজে পাওয়ার জন্য উপযুক্ত নয় যাদের ট্র্যাফিক এই ধরনের ঘটনার ফলে পুনঃনির্দেশিত হয়েছে৷

আরেকটি ভাল ধারণা আমরা তাকান ছিল অপেশাদার. বিশেষ করে সেই রুটগুলির জন্য যেগুলি সংশ্লিষ্ট ROA-এর maxLength নিয়ম লঙ্ঘন করে৷ এইভাবে আমরা একটি প্রদত্ত AS-এর কাছে দৃশ্যমান স্ট্যাটাস অবৈধ সহ বিভিন্ন মূল ASN-এর সংখ্যা খুঁজে পেতে পারি। যাইহোক, একটি "ছোট" সমস্যা আছে। এই সংখ্যার গড় (মাঝারি এবং মোড) (বিভিন্ন মূল ASNগুলির সংখ্যা) প্রায় 150 এবং, এমনকি যদি আমরা ছোট উপসর্গগুলিকে ফিল্টার করি, তবে এটি 70-এর উপরে থেকে যায়৷ এই অবস্থার একটি খুব সহজ ব্যাখ্যা রয়েছে: সেখানে শুধুমাত্র একটি কিছু অপারেটর যারা ইতিমধ্যেই এন্ট্রি পয়েন্টে "অবৈধ রুটগুলি পুনরায় সেট করুন" নীতি সহ ROA- ফিল্টার ব্যবহার করে, যাতে বাস্তব জগতে যেখানেই একটি ROA লঙ্ঘন সহ একটি রুট উপস্থিত হয়, এটি সমস্ত দিকে প্রচার করতে পারে৷

শেষ দুটি পন্থা আমাদের এমন অপারেটরদের খুঁজে বের করার অনুমতি দেয় যারা আমাদের ঘটনা দেখেছে (যেহেতু এটি বেশ বড় ছিল), কিন্তু সাধারণভাবে তারা প্রযোজ্য নয়। ঠিক আছে, কিন্তু আমরা কি অনুপ্রবেশকারী খুঁজে পেতে পারি? এই AS_PATH ম্যানিপুলেশনের সাধারণ বৈশিষ্ট্যগুলি কী কী? কয়েকটি মৌলিক অনুমান রয়েছে:

উপসর্গটি আগে কোথাও দেখা যায়নি;
মূল ASN (অনুস্মারক: AS_PATH-এ প্রথম ASN) বৈধ;
AS_PATH-এর শেষ ASN হল আক্রমণকারীর ASN (যদি তার প্রতিবেশী সমস্ত আগত রুটে প্রতিবেশীর ASN চেক করে);
আক্রমণ একটি একক প্রদানকারী থেকে উদ্ভূত.

যদি সমস্ত অনুমান সঠিক হয়, তবে সমস্ত ভুল রুট আক্রমণকারীর ASN উপস্থাপন করবে (অরিজিন ASN ব্যতীত) এবং এইভাবে, এটি একটি "গুরুত্বপূর্ণ" পয়েন্ট। প্রকৃত ছিনতাইকারীদের মধ্যে ছিল AS263444, যদিও অন্যরাও ছিল। এমনকি যখন আমরা বিবেচনা থেকে ঘটনা রুট বাতিল. কেন? এমনকি সঠিক রুটের জন্য একটি গুরুত্বপূর্ণ পয়েন্ট গুরুত্বপূর্ণ থেকে যেতে পারে। এটি হয় একটি অঞ্চলে দুর্বল সংযোগের ফলাফল বা আমাদের নিজস্ব দৃশ্যমানতার সীমাবদ্ধতার ফলাফল হতে পারে।

ফলস্বরূপ, আক্রমণকারীকে শনাক্ত করার একটি উপায় রয়েছে, তবে শুধুমাত্র যদি উপরের সমস্ত শর্ত পূরণ করা হয় এবং শুধুমাত্র তখনই যখন ইন্টারসেপশনটি পর্যবেক্ষণের থ্রেশহোল্ডগুলি অতিক্রম করার জন্য যথেষ্ট বড় হয়। যদি এই কারণগুলির কিছু পূরণ না হয়, তাহলে আমরা কি উপসর্গগুলিকে চিহ্নিত করতে পারি যা এই ধরনের বাধা থেকে ভুগছে? নির্দিষ্ট অপারেটরদের জন্য - হ্যাঁ।

যখন একজন আক্রমণকারী একটি আরও নির্দিষ্ট রুট তৈরি করে, তখন প্রকৃত মালিকের দ্বারা এই জাতীয় উপসর্গের বিজ্ঞাপন দেওয়া হয় না। যদি আপনার কাছে এটি থেকে এর সমস্ত উপসর্গগুলির একটি গতিশীল তালিকা থাকে, তাহলে একটি তুলনা করা এবং বিকৃত আরও নির্দিষ্ট রুটগুলি খুঁজে পাওয়া সম্ভব হয়। আমরা আমাদের BGP সেশনগুলি ব্যবহার করে এই উপসর্গগুলির তালিকা সংগ্রহ করি, কারণ আমাদেরকে শুধুমাত্র এই মুহূর্তে অপারেটরের কাছে দৃশ্যমান রুটের সম্পূর্ণ তালিকাই দেওয়া হয় না, এটি বিশ্বের কাছে বিজ্ঞাপন দিতে চায় এমন সমস্ত উপসর্গগুলির একটি তালিকাও দেওয়া হয়৷ দুর্ভাগ্যবশত, এখন কয়েক ডজন রাডার ব্যবহারকারী আছেন যারা শেষ অংশটি সঠিকভাবে সম্পূর্ণ করেন না। আমরা শীঘ্রই তাদের অবহিত করব এবং এই সমস্যাটি সমাধান করার চেষ্টা করব। বাকি সবাই এখনই আমাদের মনিটরিং সিস্টেমে যোগ দিতে পারেন।

আমরা যদি মূল ঘটনায় ফিরে যাই, আক্রমণকারী এবং বিতরণ এলাকা উভয়ই আমাদের দ্বারা জটিল পয়েন্ট অনুসন্ধান করে সনাক্ত করা হয়েছে। আশ্চর্যজনকভাবে, AS263444 তার সমস্ত ক্লায়েন্টকে বানোয়াট রুট পাঠায়নি। যদিও একটি অপরিচিত মুহূর্ত আছে।

BGP4MP|1554905421|A|xxx|263444|178.248.236.0/24|263444 6762 197068|IGP|xxx|0|0|13106:12832 22356:6453 65444:20000|NAG|| BGP4MP|1554905421|A|xxx|263444|178.248.237.0/24|263444 6762 197068|IGP|xxx|0|0|13106:12832 22356:6453 65444:20000|NAG||
আমাদের ঠিকানা স্থান বাধা দেওয়ার একটি প্রচেষ্টার একটি সাম্প্রতিক উদাহরণ

যখন আমাদের উপসর্গগুলির জন্য আরও নির্দিষ্টগুলি তৈরি করা হয়েছিল, তখন একটি বিশেষভাবে তৈরি AS_PATH ব্যবহার করা হয়েছিল। যাইহোক, এই AS_PATH আমাদের আগের কোন রুট থেকে নেওয়া যেত না। AS6762 এর সাথে আমাদের যোগাযোগও নেই। ঘটনার অন্যান্য রুটের দিকে তাকালে, তাদের মধ্যে কিছুর একটি বাস্তব AS_PATH ছিল যা পূর্বে ব্যবহার করা হয়েছিল, অন্যদের কাছে তা ছিল না, যদিও এটি আসলটির মতো দেখায়। অতিরিক্তভাবে AS_PATH পরিবর্তন করা কোনো বাস্তবিক অর্থ বহন করে না, যেহেতু ট্র্যাফিক যেভাবেই হোক আক্রমণকারীর কাছে পুনঃনির্দেশিত হবে, কিন্তু একটি "খারাপ" AS_PATH সহ রুটগুলি ASPA বা অন্য কোনো পরিদর্শন প্রক্রিয়া দ্বারা ফিল্টার করা যেতে পারে৷ এখানে আমরা ছিনতাইকারীর প্রেরণা সম্পর্কে চিন্তা করি। এই ঘটনাটি একটি পরিকল্পিত হামলা ছিল তা নিশ্চিত করার জন্য বর্তমানে আমাদের কাছে পর্যাপ্ত তথ্য নেই। তবুও, এটা সম্ভব। এর কল্পনা করার চেষ্টা করা যাক, যদিও এখনও অনুমানিক, কিন্তু সম্ভাব্য বেশ বাস্তব, একটি পরিস্থিতি।

পারফেক্ট অ্যাটাক

আমরা কি আছে? ধরুন আপনি আপনার ক্লায়েন্টদের জন্য একটি ট্রানজিট প্রদানকারী ব্রডকাস্টিং রুট। যদি আপনার ক্লায়েন্টদের একাধিক উপস্থিতি থাকে (মাল্টিহোম), তাহলে আপনি তাদের ট্রাফিকের একটি অংশ পাবেন। কিন্তু যত বেশি ট্রাফিক, আপনার আয় তত বেশি। তাই আপনি যদি একই AS_PATH দিয়ে এই একই রুটের সাবনেট প্রিফিক্সের বিজ্ঞাপন শুরু করেন, তাহলে আপনি তাদের বাকি ট্রাফিক পাবেন। ফলে বাকি টাকা।

ROA এখানে সাহায্য করবে? সম্ভবত হ্যাঁ, আপনি যদি এটি সম্পূর্ণরূপে ব্যবহার বন্ধ করার সিদ্ধান্ত নেন সর্বোচ্চ দৈর্ঘ্য. উপরন্তু, ছেদকারী উপসর্গ সহ ROA রেকর্ড থাকা অত্যন্ত অবাঞ্ছিত। কিছু অপারেটরের জন্য, এই ধরনের সীমাবদ্ধতা অগ্রহণযোগ্য।

অন্যান্য রাউটিং নিরাপত্তা ব্যবস্থা বিবেচনা করে, ASPA এই ক্ষেত্রেও সাহায্য করবে না (কারণ এটি একটি বৈধ রুট থেকে AS_PATH ব্যবহার করে)। কম গ্রহণের হার এবং ডাউনগ্রেড আক্রমণের অবশিষ্ট সম্ভাবনার কারণে BGPSec এখনও একটি সর্বোত্তম বিকল্প নয়।

সুতরাং আক্রমণকারীর জন্য আমাদের স্পষ্ট লাভ এবং নিরাপত্তার অভাব রয়েছে। মহান মিশ্রণ!

কি করতে হবে?

সুস্পষ্ট এবং সবচেয়ে কঠোর পদক্ষেপ হল আপনার বর্তমান রাউটিং নীতি পর্যালোচনা করা। আপনি বিজ্ঞাপন দিতে চান এমন ক্ষুদ্রতম অংশে (কোনও ওভারল্যাপ নয়) আপনার ঠিকানার স্থান ভেঙ্গে দিন। maxLength প্যারামিটার ব্যবহার না করে শুধুমাত্র তাদের জন্য ROA সাইন করুন। এই ক্ষেত্রে, আপনার বর্তমান POV আপনাকে এই ধরনের আক্রমণ থেকে বাঁচাতে পারে। যাইহোক, আবার, কিছু অপারেটরের জন্য আরও নির্দিষ্ট রুটের একচেটিয়া ব্যবহারের কারণে এই পদ্ধতিটি যুক্তিসঙ্গত নয়। ROA এবং রুট অবজেক্টের বর্তমান অবস্থার সমস্ত সমস্যা আমাদের ভবিষ্যতের উপকরণগুলির একটিতে বর্ণনা করা হবে।

উপরন্তু, আপনি এই ধরনের বাধা নিরীক্ষণ করার চেষ্টা করতে পারেন। এটি করার জন্য, আমাদের আপনার উপসর্গ সম্পর্কে নির্ভরযোগ্য তথ্য প্রয়োজন। এইভাবে, আপনি যদি আমাদের সংগ্রাহকের সাথে একটি BGP সেশন স্থাপন করেন এবং আপনার ইন্টারনেট দৃশ্যমানতা সম্পর্কে আমাদের তথ্য প্রদান করেন, আমরা অন্যান্য ঘটনার সুযোগ খুঁজে পেতে পারি। যারা এখনও আমাদের মনিটরিং সিস্টেমের সাথে সংযুক্ত নন তাদের জন্য, শুরু করার জন্য, শুধুমাত্র আপনার উপসর্গ সহ রুটের একটি তালিকা যথেষ্ট হবে। আপনার যদি আমাদের সাথে একটি সেশন থাকে, অনুগ্রহ করে চেক করুন যে আপনার সমস্ত রুট পাঠানো হয়েছে। দুর্ভাগ্যবশত, এটি মনে রাখার মতো কারণ কিছু অপারেটর একটি বা দুটি উপসর্গ ভুলে যায় এবং এইভাবে আমাদের অনুসন্ধান পদ্ধতিতে হস্তক্ষেপ করে। সঠিকভাবে করা হলে, আপনার উপসর্গ সম্পর্কে আমাদের কাছে নির্ভরযোগ্য তথ্য থাকবে, যা ভবিষ্যতে আমাদেরকে স্বয়ংক্রিয়ভাবে সনাক্ত করতে এবং আপনার ঠিকানা স্থানের জন্য এই (এবং অন্যান্য) ধরনের ট্রাফিক বাধা সনাক্ত করতে সাহায্য করবে।

আপনি যদি রিয়েল টাইমে আপনার ট্র্যাফিকের এই ধরনের বাধা সম্পর্কে সচেতন হন তবে আপনি নিজেই এটি প্রতিহত করার চেষ্টা করতে পারেন। প্রথম পন্থা হল এই আরো নির্দিষ্ট উপসর্গগুলি দিয়ে রুটের বিজ্ঞাপন দেওয়া। এই উপসর্গগুলির উপর একটি নতুন আক্রমণের ক্ষেত্রে, পুনরাবৃত্তি করুন।

দ্বিতীয় পন্থা হল আক্রমণকারীকে শাস্তি দেওয়া এবং যাদের জন্য সে একটি গুরুত্বপূর্ণ পয়েন্ট (ভাল রুটের জন্য) আক্রমণকারীর কাছে আপনার রুটের অ্যাক্সেস বন্ধ করে দেওয়া। এটি আপনার পুরানো রুটের AS_PATH-এ আক্রমণকারীর ASN যোগ করে করা যেতে পারে এবং এইভাবে BGP-তে অন্তর্নির্মিত লুপ সনাক্তকরণ পদ্ধতি ব্যবহার করে AS এড়াতে বাধ্য করুন। আপনার নিজের ভালোর জন্য.

উত্স: www.habr.com

সবকিছু খুব খারাপ বা একটি নতুন ধরনের ট্রাফিক বাধা

নেটওয়ার্ক ব্যাকগ্রাউন্ড

ঘটনা

ব্যর্থতার পথ

পারফেক্ট অ্যাটাক

কি করতে হবে?

একটি মন্তব্য জুড়ুন উত্তর বাতিল