Microsoft PowerPoint - s2-TatsuyaNakano-iw2012nakano_1105 [互換モード]

Size: px

Start display at page:

Download "Microsoft PowerPoint - s2-TatsuyaNakano-iw2012nakano_1105 [互換モード]"

まれあひでやま
4 years ago
Views:

1 実践! ルーティングセキュリティルーティングセキュリティ事例紹介と解説 KDDI 株式会社中野達也

2 もくじ 1. 利用中の経路をハイジャックされた 2. 他者の経路を広報 ( 広告 ) してしまった 3. 広報しようとしたらなぜか使われていた 4. まとめ 2

3 1. 利用中の経路をハイジャックされた何が起きる? 気づくには? どうやって対応しよう?

4 何が起こる? トラフィックの急落名前解決 Web 閲覧メール送受信 NG お客様からの不通問い合わせただしこれらに気づけないことも 4

5 気づくには? 検知システムを使ってみる BGPMON Cyclops ISAlarm(RIPE) Renesys 経路奉行

6 検知システムの比較経路奉行 BGPmon Cyclops IS Alarms Renesys 経路の情報源国内 ISP の経路情報 RIPE-RIS Route views RIPE-RIS More than 360 sites 情報源との比較方法 JPIRR ユーザ入力情報通知確認方法メール Web メール SMS Web メール RSS Web メール Syslog Web 備考 JPIRRに Object 登録で監視対象 X-keiro 登録で通知対象有料 (5prefix までは無料 ) ROA 対応らしい事前登録要 ASNでPrefix も登録可 MITM 検知事前登録要 Prefix 手入力 MITM 検知有料 6

7 検知システム -BGPMON 2012 年 10 月から有料になった監視対象数月額年額 5Prefixまで無料無料 10Prefix 以上 $39 $429 20Prefix 以上 $59 $649 50Prefix 以上 $89 $ Prefix 以上 $129 $ Prefix 以上 $249 $ Prefix 以上 $449 $ Prefix 以上 $849 $9339 (BGPMONのサイトより引用) 7

8 検知システム - 経路奉行経路ハイジャック通知実験メール JPIRR に Route オブジェクトを登録していることかつ Route/maint オブジェクトの descr に X-Keiro を設定していること ( メール例 ) ご担当者様以下の通り経路ハイジャックが疑われる状態を検知しました検知日時 : Fri 28 Mar :50: Route オブジェクト : /24 Route オブジェクトの Origin : AS2515 検知した Prefix : /

9 X-keiro JPIRR の route or maint object の descr に書く (whois 記入例 ) > whois -h jpirr.nic.ad.jp MAINT-AS2515 mntner: MAINT-AS2515 descr: Japan Network Information Center People authorized to make changes for AS2515 X-Keiro: okadams@nic.ad.jp X-Keiro: kawabata@nic.ad.jp ( 以下省略 ) 参考サイト 9

10 どうやって対応しよう? (1) 広報元を突き止め止めてもらう show ip bgp <prefix> 広報元の確認 traceroute 結果の確認自 AS ルータで Looking Glass / traceroute.org で RouteViews の mrtdump archive を参照 10

11 どうやって対応しよう?(2) 広報元の連絡先を調べて連絡を試みる Whois で調べてみる JPNIC Whois,RADB etc mnt-by やグループハンドル等も参照する PeeringDB を参照する HurricaneElectric の BGP Toolkit を参照する 11

12 広報元への問い合わせ方 noc peering admin 等のアドレスにも送ってみる事実を淡々と書くにとどめるテンプレートを作っておくと早いかも Looking Glass / IRRで得た結果等を張り付けるとよい返事がない知らないと言われた場合上位 AS に相談してみる広報元のさらに上位にある AS にコンタクトを取ってみる 12

13 取り返す? 権威のない広報を行っている AS の Prefix よりもさらに細かい Prefix を広報して取り返すでも address maskフィルタに引っかかるかも取り返すときに設定をミスしたら加害者になりうる根本的な解決方法は誤った広報を停止させること 13

14 最後の手段 janog や nanog の ML に現状を説明してみる同じような AS が他にもいるかもその情報が解決の糸口になるかも? 解決できた事例も 14

15 2. 他者の経路を広報 ( 広告 ) してしまったやってしまったら

16 何が起こる? トラフィックの急増不正アクセスの急増被害側からの問い合わせ等しかもやった側は気づけない場合が多い 16

17 なぜ起きるか (1) タイプミス? と思われる事例あり外から見れば故意 / 過失は関係ない IPv6 化が進むと増えるかも? 17

18 なぜ起きるか (2) 狙われやすい pfefix だったり同じ数字の羅列例 : / /24 数字として連続している例 : / /24 練習検証等で生成した経路を誤広報? 18

19 やった側は気づけないどうする? やってしまった側はなかなか気づけない ( さっきも書いたけど ) 教えてもらえる環境作りが必要そのために whois,jpirr/radbの定期的な更新 peeringdbの確認更新 ( できれば ) 19

20 3. 使おうとしたら何故か使われていた

21 何が起きた? IP アドレスを割り振られたので使おうとした何故か他の AS から広報されているどうやって対処したか STNet 高橋さんにお話しいただきます 21

22 4. まとめ今からでもできること

23 まとめ身近で起きた時に何が起こるか理解しておく何をするべきか決めておくなによりも気づくことができるように検知する手段を構築するやってしまった時に教えてもらえるように各種問い合わせ先はしっかり更新する 23

24 参考 :mrtdump の取得 Route Views Archive 24

25 参考 :mrtdump の参照例 bgpdump (mrtfile) grep prefix' bgpdump (mrtfile) grep '^ASPATH:' more sort uniq bgpdump -M (mrtfile) grep (prefix) grep " A " awk -F " " '{print $2,$6,$7}' $ bgpdump (mrtfile) TIME: 11/15/11 06:00:17 TYPE: BGP4MP/MESSAGE/Update FROM: AS3356 TO: AS6447 ORIGIN: IGP ASPATH: NEXT_HOP: MULTI_EXIT_DISC: 0 AGGREGATOR: AS COMMUNITY: 3356:3 3356: : : : :2011 ANNOUNCE /24 $ bgpdump M (mrtfile) BGP4MP 11/15/11 06:00:17 A / IGP bgpdump のソース 25

Microsoft PowerPoint - s07-nakano tatsuya-iw2011-s7-nakano( ) [互換モード]

Microsoft PowerPoint - s07-nakano tatsuya-iw2011-s7-nakano( ) [互換モード] 備える! インターネットルーティングセキュリティ実践その時のために KDDI 株式会社中野達也今起きている事 AS-PATH を捻じ曲げている AS がいるらしい 192.168.0.0/23 i AS 1 192.168.0.0/23 i AS 1 AS 2 AS 4 AS 2 AS 4 AS 3 AS 2515 AS 3 AS 2515 ここで何かされてるかも BGP Man-In-The-Middle