모든 것이 매우 나쁘거나 새로운 유형의 교통 차단

13월 XNUMX일 RIPE 학대 방지 실무 그룹에 제안을 받았습니다 BGP 하이재킹(hjjack)을 RIPE 정책 위반으로 간주하세요. 제안이 수락되면 트래픽 가로채기 공격을 받은 인터넷 제공업체는 공격자를 폭로하기 위해 특별 요청을 보낼 기회를 갖게 됩니다. 검토팀이 충분한 뒷받침 증거를 수집한 경우 BGP 차단의 소스인 LIR은 침입자로 간주되어 LIR 상태가 박탈될 수 있습니다. 몇 가지 주장도 있었지만 이에 반대 변화.

이 간행물에서 우리는 실제 공격자뿐만 아니라 영향을 받는 접두사의 전체 목록이 문제가 되는 공격의 예를 보여주고 싶습니다. 더욱이 이러한 공격은 향후 이러한 유형의 트래픽을 가로채려는 동기에 대한 의문을 다시 제기합니다.

지난 몇 년 동안 언론에서는 MOAS(Multiple Origin Autonomous System)와 같은 충돌만 BGP 차단으로 다루었습니다. MOAS는 두 개의 서로 다른 자율 시스템이 AS_PATH의 해당 ASN(AS_PATH의 첫 번째 ASN, 이하 원본 ASN이라고 함)과 충돌하는 접두사를 광고하는 특별한 경우입니다. 그러나 우리는 적어도 이름을 지정할 수 있습니다 3가지 추가 유형 트래픽 차단을 통해 공격자가 필터링 및 모니터링에 대한 최신 접근 방식을 우회하는 등 다양한 목적으로 AS_PATH 속성을 조작할 수 있습니다. 알려진 공격 유형 필로소바-카펠리 - 그러한 차단의 마지막 유형이지만 전혀 중요하지 않습니다. 이것이 바로 우리가 지난 몇 주 동안 보아온 종류의 공격일 가능성이 높습니다. 그러한 사건은 이해할 수 있는 성격과 매우 심각한 결과를 낳습니다.

TL;DR 버전을 찾는 사람들은 "Perfect Attack" 자막으로 스크롤할 수 있습니다.

네트워크 배경

(이 사건과 관련된 프로세스에 대한 이해를 돕기 위해)

패킷을 보내려고 하고 대상 IP 주소가 포함된 라우팅 테이블에 여러 개의 접두사가 있는 경우 길이가 가장 긴 접두사의 경로를 사용하게 됩니다. 라우팅 테이블에 동일한 접두사에 대한 여러 다른 경로가 있는 경우 가장 좋은 경로 선택 메커니즘에 따라 가장 좋은 경로를 선택합니다.

기존 필터링 및 모니터링 접근 방식은 AS_PATH 속성을 분석하여 경로를 분석하고 결정을 내리려고 시도합니다. 라우터는 광고 중에 이 속성을 임의의 값으로 변경할 수 있습니다. AS_PATH 시작 부분에 소유자 ASN을 원본 ASN으로 추가하는 것만으로도 현재 원본 확인 메커니즘을 우회하는 데 충분할 수 있습니다. 또한, 공격받은 ASN에서 귀하까지의 경로가 있는 경우 이 경로의 AS_PATH를 추출하여 다른 광고에 사용할 수 있습니다. 귀하가 작성한 공지 사항에 대한 AS_PATH 전용 유효성 검사는 결국 통과됩니다.

아직 언급할만한 몇 가지 제한 사항이 있습니다. 첫째, 업스트림 공급자에 의한 접두사 필터링의 경우 접두사가 업스트림에 구성된 클라이언트 콘에 속하지 않으면 경로가 여전히 필터링될 수 있습니다(올바른 AS_PATH를 사용하더라도). 둘째, 생성된 경로가 잘못된 방향으로 보급되어 라우팅 정책을 위반하는 경우 유효한 AS_PATH가 무효화될 수 있습니다. 마지막으로 ROA 길이를 위반하는 접두사가 있는 경로는 유효하지 않은 것으로 간주될 수 있습니다.

사건

몇 주 전에 우리는 사용자 중 한 명으로부터 불만 사항을 접수했습니다. 우리는 그의 원본 ASN 및 /25 접두사가 있는 경로를 보았지만 사용자는 이를 광고하지 않았다고 주장했습니다.

TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.0/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.128/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.0/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.128/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.0/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.128/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.0/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.128/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
2019년 XNUMX월 초 공지사항 예시

/25 접두사에 대한 경로의 NTT는 특히 의심스럽습니다. LG NTT는 사건 당시 이 경로를 인지하지 못했다. 그렇습니다. 일부 운영자는 이러한 접두사에 대해 전체 AS_PATH를 생성합니다! 다른 라우터를 확인하면 특정 ASN인 AS263444가 드러납니다. 이 자율 시스템으로 다른 경로를 살펴본 후 다음과 같은 상황에 직면했습니다.

TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.0/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.128/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.24.0.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.24.128.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.26.0.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.26.128.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.64.96.0/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.64.112.0/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
여기서 무엇이 잘못되었는지 추측해 보세요.

누군가가 경로에서 접두사를 가져와서 두 부분으로 나누고 해당 두 접두사에 대해 동일한 AS_PATH를 사용하여 경로를 광고한 것으로 보입니다.

TABLE_DUMP2|1554076800|B|xxx|263444|1.6.36.0/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|263444|1.6.38.0/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|61775|1.6.36.0/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|61775|1.6.38.0/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|28172|1.6.36.0/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|28172|1.6.38.0/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
분할 접두사 쌍 중 하나에 대한 경로 예시

여러 가지 질문이 동시에 발생합니다. 실제로 이런 유형의 차단을 시도한 사람이 있습니까? 이 길을 택한 사람이 있나요? 어떤 접두사가 영향을 받았나요?

이것이 바로 우리의 일련의 실패가 시작되는 곳이자 현재 인터넷 상태에 대한 또 다른 실망감이 시작되는 곳입니다.

실패의 길

먼저 첫 번째 것들. 어떤 라우터가 이러한 가로채기된 경로를 수락했는지, 그리고 오늘 누구의 트래픽이 다시 라우팅될 수 있는지 어떻게 확인할 수 있습니까? 우리는 /25 접두사로 시작할 것이라고 생각했습니다. 왜냐하면 "전역적으로 배포할 수 없기" 때문입니다. 짐작할 수 있듯이 우리는 매우 틀렸습니다. 이 측정항목은 너무 시끄러운 것으로 밝혀졌으며 이러한 접두사가 있는 경로는 Tier-1 운영자에게서도 나타날 수 있습니다. 예를 들어 NTT는 약 50개의 접두사를 보유하고 있으며 이를 자체 클라이언트에 배포합니다. 반면, 연산자가 다음을 사용하는 경우 이러한 접두사가 필터링될 수 있으므로 이 측정항목은 좋지 않습니다. 작은 접두사 필터링, 모든 방향으로. 따라서 이 방법은 이러한 사고로 인해 트래픽이 리디렉션된 모든 사업자를 찾는 데 적합하지 않습니다.

우리가 생각한 또 다른 좋은 아이디어는 POV. 특히 해당 ROA의 maxLength 규칙을 위반하는 경로의 경우. 이 방법으로 특정 AS에 표시되는 Invalid 상태의 다양한 원본 ASN 수를 찾을 수 있습니다. 그러나 "작은" 문제가 있습니다. 이 숫자(다양한 원본 ASN의 수)의 평균(중앙값 및 최빈값)은 약 150이며, 작은 접두사를 필터링하더라도 70 이상으로 유지됩니다. 이 상황은 매우 간단하게 설명됩니다. ROA 위반이 있는 경로가 현실 세계에 나타날 때마다 모든 방향으로 전파될 수 있도록 이미 진입점에서 "잘못된 경로 재설정" 정책과 함께 ROA 필터를 사용하는 운영자는 거의 없습니다.

마지막 두 가지 접근 방식을 사용하면 사건을 본 운영자를 찾을 수 있지만(상당한 규모이기 때문에) 일반적으로 적용할 수 없습니다. 좋아요, 그런데 침입자를 찾을 수 있을까요? 이 AS_PATH 조작의 일반적인 특징은 무엇입니까? 몇 가지 기본 가정이 있습니다:

• 접두사는 이전 어느 곳에서도 볼 수 없었습니다.
• 원본 ASN(알림: AS_PATH의 첫 번째 ASN)이 유효합니다.
• AS_PATH의 마지막 ASN은 공격자의 ASN입니다(이웃이 모든 수신 경로에서 이웃의 ASN을 확인하는 경우).
• 공격은 단일 공급자로부터 시작됩니다.

모든 가정이 정확하다면 모든 잘못된 경로에는 공격자의 ASN(원본 ASN 제외)이 표시되므로 이것이 "중요한" 지점입니다. 실제 납치범 중에는 AS263444가 있었지만 다른 사람도 있었습니다. 사건 경로를 고려 대상에서 제외했을 때에도 마찬가지입니다. 왜? 올바른 경로에도 중요한 지점은 여전히 ​​중요할 수 있습니다. 이는 지역의 연결 상태가 좋지 않거나 자체 가시성이 제한되어 발생한 결과일 수 있습니다.

결과적으로 공격자를 탐지할 수 있는 방법이 있는데, 위의 조건이 모두 충족되고 차단량이 모니터링 임계값을 통과할 만큼 큰 경우에만 가능합니다. 이러한 요소 중 일부가 충족되지 않으면 이러한 차단으로 인해 문제가 발생한 접두사를 식별할 수 있습니까? 특정 운영자의 경우 - 그렇습니다.

공격자가 보다 구체적인 경로를 생성하면 이러한 접두사는 실제 소유자에 의해 광고되지 않습니다. 모든 접두사의 동적 목록이 있는 경우 비교를 수행하고 왜곡된 보다 구체적인 경로를 찾는 것이 가능해집니다. 우리는 BGP 세션을 사용하여 이 접두사 목록을 수집합니다. 왜냐하면 지금 운영자에게 표시되는 전체 경로 목록뿐만 아니라 전 세계에 광고하려는 모든 접두사 목록도 제공되기 때문입니다. 불행하게도 현재 마지막 부분을 올바르게 완료하지 못한 수십 명의 Radar 사용자가 있습니다. 곧 해당 담당자에게 알리고 이 문제를 해결하도록 노력하겠습니다. 다른 모든 사람들도 지금 당장 모니터링 시스템에 참여할 수 있습니다.

원래의 사건으로 돌아가면 우리는 임계점을 찾아 공격자와 유포지역을 모두 탐지했다. 놀랍게도 AS263444는 모든 클라이언트에 조작된 경로를 보내지 않았습니다. 낯선 순간이 있지만.

BGP4MP|1554905421|A|xxx|263444|178.248.236.0/24|263444 6762 197068|IGP|xxx|0|0|13106:12832 22356:6453 65444:20000|NAG||
BGP4MP|1554905421|A|xxx|263444|178.248.237.0/24|263444 6762 197068|IGP|xxx|0|0|13106:12832 22356:6453 65444:20000|NAG||
주소 공간을 가로채려는 시도의 최근 예

접두사에 대해 보다 구체적인 항목이 생성되면 특별히 생성된 AS_PATH가 사용되었습니다. 그러나 이 AS_PATH는 이전 경로에서 가져올 수 없습니다. AS6762와도 통신이 되지 않습니다. 사건의 다른 경로를 살펴보면, 그 중 일부는 이전에 사용되었던 실제 AS_PATH를 가지고 있는 반면, 실제 경로처럼 보이더라도 다른 경로는 그렇지 않았습니다. AS_PATH를 변경하는 것은 트래픽이 어쨌든 공격자에게 리디렉션되기 때문에 실제로 의미가 없습니다. 그러나 "잘못된" AS_PATH가 있는 경로는 ASPA 또는 기타 검사 메커니즘에 의해 필터링될 수 있습니다. 여기서 우리는 납치범의 동기에 대해 생각해 봅니다. 현재로서는 이 사건이 계획된 공격이었다는 것을 확인할 수 있는 정보가 충분하지 않습니다. 그럼에도 불구하고 가능합니다. 여전히 가상이지만 잠재적으로 매우 실제적인 상황을 상상해 봅시다.

퍼펙트 어택

우리가 가진 것? 귀하가 고객에게 경로를 방송하는 대중교통 제공업체라고 가정해 보겠습니다. 클라이언트가 다중 상태(멀티홈)인 경우 트래픽의 일부만 수신하게 됩니다. 그러나 트래픽이 많을수록 수입도 늘어납니다. 따라서 동일한 AS_PATH를 사용하여 동일한 경로의 서브넷 접두사를 알리기 시작하면 나머지 트래픽을 수신하게 됩니다. 결과적으로 나머지 돈.

ROA가 여기에 도움이 될까요? 아마도 그렇습니다. 완전히 사용을 중단하기로 결정했다면 최대 길이. 또한 접두사가 교차하는 ROA 레코드를 갖는 것은 매우 바람직하지 않습니다. 일부 운영자의 경우 이러한 제한이 허용되지 않습니다.

다른 라우팅 보안 메커니즘을 고려하면 ASPA는 유효한 경로의 AS_PATH를 사용하기 때문에 이 경우에도 도움이 되지 않습니다. BGPSec는 채택률이 낮고 다운그레이드 공격 가능성이 남아 있기 때문에 여전히 최적의 옵션이 아닙니다.

따라서 공격자에게는 분명한 이득이 있고 보안은 부족합니다. 훌륭한 믹스!

어떻게해야합니까?

명백하고 가장 과감한 단계는 현재 라우팅 정책을 검토하는 것입니다. 주소 공간을 광고하려는 가장 작은 덩어리(중복 없음)로 나눕니다. maxLength 매개변수를 사용하지 않고 해당 항목에 대해서만 ROA에 서명합니다. 이 경우 현재 POV가 이러한 공격으로부터 사용자를 보호할 수 있습니다. 그러나 일부 운영자의 경우 더 구체적인 경로를 독점적으로 사용하기 때문에 이러한 접근 방식이 합리적이지 않습니다. ROA 및 경로 개체의 현재 상태와 관련된 모든 문제는 향후 자료 중 하나에서 설명됩니다.

또한 이러한 차단을 모니터링할 수도 있습니다. 이를 위해서는 접두사에 대한 신뢰할 수 있는 정보가 필요합니다. 따라서 귀하가 수집기와 BGP 세션을 설정하고 인터넷 가시성에 대한 정보를 제공하면 다른 사고의 범위를 찾을 수 있습니다. 아직 모니터링 시스템에 연결되지 않은 사용자의 경우 먼저 접두사가 포함된 경로 목록이면 충분합니다. 우리와 세션이 있는 경우 모든 경로가 전송되었는지 확인하십시오. 불행하게도 일부 연산자는 접두사 한두 개를 잊어버려서 검색 방법을 방해하기 때문에 이는 기억할 가치가 있습니다. 올바르게 완료되면 당사는 귀하의 접두사에 대한 신뢰할 수 있는 데이터를 갖게 되며, 이는 향후 귀하의 주소 공간에 대한 이러한 유형(및 기타)의 트래픽 차단을 자동으로 식별하고 감지하는 데 도움이 될 것입니다.

이러한 트래픽 차단을 실시간으로 인지하게 되면 직접 대응할 수 있습니다. 첫 번째 접근 방식은 보다 구체적인 접두사를 사용하여 경로를 직접 알리는 것입니다. 이러한 접두사에 대한 새로운 공격이 발생하는 경우 반복합니다.

두 번째 접근 방식은 공격자에 대한 경로의 접근을 차단하여 공격자와 그가 중요한 지점(좋은 경로의 경우)인 사람들을 처벌하는 것입니다. 이는 공격자의 ASN을 이전 경로의 AS_PATH에 추가하여 BGP에 내장된 루프 감지 메커니즘을 사용하여 해당 AS를 피하도록 강제함으로써 수행할 수 있습니다. 당신 자신의 이익을 위해.

출처 : habr.com