DDoS時代の対外接続

Size: px

Start display at page:

Download "DDoS時代の対外接続"

すずりかたいわ
4 years ago
Views:

1 Internet Week ョ企業対処戦略 ~ 基礎実践 ~ 時代対外接続 ~ 運用者そしベテ ~ 株式会社矢萩茂樹 1

2 対策 : 守何対策あを守を明確化必要 : 全? 優先? 必須自分 : 全ネワ? 特ホ? ネ? : 全必要? 特地域遮断? 国内守う? 構を知連携し防御法をう 2

3 構分流入経路をネワ構う防? 3

4 構 : ネワ組織集合体ンタネ独立しネワ組織集合体ネワ組織 = y ンタネ階層接続間接続間 y 各々情報経路を交換出典 : 4

5 = ネワを効率的接続交換場 CDN MNO CDN MNO 専用線 DF メュ接続 IX CSP CDN CSP CDN CSP CSP 旧来接続方式複雑細い帯域非効率構成ン広帯域回線集約 = 間相互接続ポン接続しい組織特場所あ相互接続を効率的行え交換場を提供各参加者接続し経路を交換相互接続 5

6 ン相互接続ン INTERNET ン流接続自 AS1 経路子 AS1 経路親 AS-A 全経路 L2 Ethernet 自 AS2 経路子 AS2 経路親 AS-B 全経路ン流接続 AS1 10G 100G 自 AS1 経路子 AS1 経路 Internet exchange 市場自 AS2 経路子 AS2 経路 10G 100G AS2 子 AS22 AS1 AS2 AS2 子 AS22 経路信ン相互接続 IP / BGP4 直接接続 AS2 AS1 AS1 経路信 AS22 AS1 経路転送 6

7 ンン相互接続ンネ接続ン ( 流接続 ) ンネ全経路交換流へ自 AS 配 AS 経路流流全ンネ経路うサ有償購入売買契約存在流品質保持義務生ン対応依頼 IX 経由間相互接続ン相互接続相互合意互い配経路交換管理さた自 AS 経路交換た基本的相互交換た場合相互接続費用発生い大手ンい最量条件付く場合あ多く場合窓口交換覚書接続あ相手やサベ保障や義務生い BGP 経路制御可能人手作業依頼一般的対応困難 7

8 日本ンタネ構 Internet 南米 AS 流ン経由ンネ接続 IX / DC ン相互接続 AS 欧州 AS 南米欧州 Asia 系 AS 北米 AS 北米国内海外国内 Cloud 海外 Cloud 国内 AS 国内接続海外 Contents 流 IX 国内 Contents Hyper Giant 自 AS 企業個人 8

ネワ傾向 : 全 28% Other 72% Top20 41% Top3 AS20940 4% AS16509 Akamai Amazon 9% AS20940 Akamai AS15169 Google 26% AS15169

9 ネワ傾向 : 全 28% Other 72% Top20 41% Top3 AS % AS16509 Akamai Amazon 9% AS20940 Akamai AS15169 Google 26% AS15169 Google Top20 AS Ranking 30% 弱 Google 約 10% Akamai 約 70% Top20AS 集中 9

IX 経由ンキンい AS # あくま今回測定分類 IX 接続い Peering 条件あ AS 1 2

10 ネワ傾向 : ン全経由 35% ン Traffic 65% IX Traffic IX 経由全体約 70% こ IX 経由ンキンい AS # あくま今回測定分類 IX 接続い Peering 条件あ AS AS 多く IX 経由 10

11 分 CDN CSP ン経由 ~ % 海外 The Internet 流国内 Cloud/DC 経由 ~ % IX コンテン提供者 Facebook Twitter LINE DWANGO Yahoo! Apple Dwango Limelight Amazon Google Akamai Microsoft CSP/CDN/Cloud/DC CDNetworks IIJ EdgeCast IDCF Sakura Cloudflare NIFTY Equinix Sonet DataHotel NTTPC NCOM KDDI Softbank etc... : 視聴者海外国内 11

12 CDN CSP 対策遅い Cloud / 海外流入こ流経由危険? 海外 The Internet 流 : 視聴者 Cloud/DC 国内 IX 海外 Facebook Yahoo! Amazon Twitter Apple Google LINE Dwango Akamai CSP/CDN/Cloud/DC IDCF Sakura コンテン提供者 Cloudflare DWANGO Limelight Microsoft CDNetworks EdgeCast NIFTY Equinix Sonet DataHotel NTTPC NCOM KDDI Softbank etc... 国内日本 IX 直接接続比較的全あ DDoS 可能性い国内 IX コンン系ネワ防御対策さい DDoS まこい全 IIJ ウ乗いサ流入可能性あ 12

13 流入経路主海外ウ! IX 直接接続接続 AS 内に伝搬限定さ DDoS 流入可能性低い海外 AS/ クラウら流入可能性あ限定的 Internet 南米 AS AS ランジッら DDoS 流入確率高い AS 経路あほんこ接続ら流入欧州 AS 南米欧州 Asia 系 AS 北米 AS 北米国内海外国内 Cloud 海外 Cloud 国内 AS 国内接続海外 Contents 流 IX 国内 Contents Hyper Giant 自 AS 企業個人 13

14 構分流入経路をンう防? 14

15 対策 : 守何対策あを守を明確化必要自分 : 全? 優先? 必須 : 全ネワ? 特ホ? ネ? : 全必要? 特地域遮断? 国内守う? ャ系向流内ポ変更を設機能 y 制御を提供しい有効! 起動流入経路規制対外接続化ポ起動可能対応度高化! 15

16 自 AS xxxxx DDoS 影響例サ Back Bone 流回線流主要 NW 日本 US Asia 欧州そ他メン 1 メン 2 メン 3 DNS Mail DDoS 検知メン 4 a.b.c.0/24 流回線輻輳全信異常遅延や廃棄発生結果届ンタネ利用能 a.b.c.d/32 あホ大量を信 16

17 総合的対策 : ン対策 Blackhole 対処 IX Blackhole Community 規制方法 Community 制御内容広報した /32 経路関し AS17676 すべのトラ BLACKHOLE 17676:2089 フックを廃棄する広報した /32 経路関し AS4725 すべの BLACKHOLE 4725:9999 トラフックを廃棄する IX Blackhole Community RFC7999 DE-CIX MSX-IX Equinix HKIX BBIX Blackhole Community 65535: :666 0: : : :666 17

19 サ自 AS xxxxx Back Bone Blackhole 対処流回線流主要 NW 日本 US Asia 欧州そ他メン 1 メン 2 メン 3 DNS Mail DDoS 検知メン 4 a.b.c.0/24 検知機経由 y 付ウン実施流廃棄 a.b.c.d/32 廃棄特ホ大量を信 19

サ Blackhole 対処 : 影響自 AS xxxxx Back Bone 流回線流 17676 主要 NW 日本 US Asia 欧州そ他メン

20 サ Blackhole 対処 : 影響自 AS xxxxx Back Bone 流回線流主要 NW 日本 US Asia 欧州そ他メン 1 メン 2 メン 3 DNS Mail DDoS 検知メン 4 a.b.c.0/24 通信可他通信救済 a.b.c.d/32 廃棄 20

ン経路規制対処例経路広報経由広報場合あ JP Verio/KDDI/ODN Asia 広報経路向広報停止 y 流経路出い広報停止 y : : を客様経路出い記場合

22 総合的対策 : ン対策例流入経路規制規制方法 Community 制御内容流入経路規制 17676:800 AS17676から米国向け広報しい流入経路規制 17676:810 AS17676からジ向け広報しい流入経路規制 17676:820 AS17676から国内向け広報しい規制方法 Community 制御内容流入経路規制 4725:10000 AS4725から米国向け広報しい流入経路規制 4725:600 AS4725からジ向け広報しい流入経路規制 4725:500 AS4725から国内向け広報しい 22

23 流入経路規制自 AS xxxxx サ Back Bone 流回線流主要 NW 日本 US Asia 欧州そ他メン 1 メン 2 メン 3 DNS Mail 検知機経由方向ウン規制実施ポ変更 DDoS 検知メン 4 a.b.c.0/24 日本以外経路流緩和 a.b.c.d/32 特ホ大量を信 23

24 サ自 AS xxxxx 流入経路規制 : 影響 Back Bone 流回線流主要 NW 日本 US Asia 欧州そ他メン 1 メン 2 メン 3 DNS Mail DDoS 検知メン 4 a.b.c.0/24 海外通信可他通信救済 a.b.c.d/32 国内通信救済 24

25 総合的対策 : 対応ン対処し止いいう? 接続ン相互接続タ追加能動的作業依頼い入広報経路制御 : 制御ン他経路を優先通常流量制限利用非常時使えい! : 攻撃いホ経路指ウン廃棄利点 : 接続しい全対し廃棄範囲を限し対処可能対象判要! 欠点 : 付長制限あ実際効果あ単悪影響懸念保守目的経路広報停止ン回しン廃棄利点 : 対象え把握簡単実行可能欠点 : 異常超過把握いを規制しいいわい対処をやン大量流品質コ増大対処 : 解析超過把握必要流入可能性高い属性対処 25

26 対応 : ン IX DDoS IX RTBH 防御国内海外 Contents 国内 Contents Internet 南米 AS AS ン DDoS ン Blackhole 防御欧州 AS 南米 Trasnit 欧州 Asia 系 AS 北米 AS 北米海外国内 Cloud 海外 Cloud 国内 AS IX RTBH 防御国内接続流 IX 流 RTBH 防御 Hyper Giant 自 AS 26

27 対応 : ン規制 IX DDoS 流入 AS へ経路広報停止ン迂回さン Blackhole 廃棄 Internet 南米 AS AS ン DDoS ン Blackhole 防御欧州 AS 南米欧州 Asia 系 AS transit 北米 AS 北米国内海外国内 Cloud 海外 Cloud 国内 AS 国内接続海外 Contents 流 IX 経路広報停止流へ迂回流 RTBH 防御国内 Contents Hyper Giant 自 AS 27

28 対応 : ン流入経路規制規制 Internet 2IX DDoS 流入 AS へ経路広報停止ン迂回ン経路規制対応そ他重要 Peer 維持日本国内通信メン海外や少い場合最悪一時的国内通信維持優先海外経路いう南米 AS AS ン DDoS 米国広報停止対処日本国内 RTBH 死欧州 AS 南米 Copyright(C) BBIX, inc. All rights reserved 欧州 Asia 系 AS 北米 AS 北米国内海外国内 Cloud 海外 Cloud 国内 AS 国内接続海外 Contents IX 経路広報停止流へ迂回流経路広報停止流 /6/2 国内 Contents Hyper Giant 通信量多い IX 経路維持自 AS 28

29 い流入し入経路いあ程度予測可能事前対策を可能海外ャ流入可能性多い現状い分以内短時間攻撃主体短期そや過あ把握しい長期わ攻撃連携し対処対応オ策事前準備重要優先防御ソを想し非常用対策手順検知発動環境整備重要 29

30 No Peering, No Internet!

1 LINE31.1 28.010.3 37.4 24.9 10 9 8 7 6 5 3 1 88.9 77.7 66.7 64.1 62.9 61.3 56.5 56.4 42.2 31.7 28.0 31.1 31.5 30.4 28.6 20.7 16.8 15.9 13.5 10.3 7.9

2014 SNSFacebook Twitter SNS 2014 4 52.8 20 ~ 1 ~ 1 LINE31.1 28.010.3 37.4 24.9 10 9 8 7 6 5 3 1 88.9 77.7 66.7 64.1 62.9 61.3 56.5 56.4 42.2 31.7 28.0 31.1 31.5 30.4 28.6 20.7 16.8 15.9 13.5 10.3 7.9