Microsoft PowerPoint OARCRIPEreport.pptx

Size: px

Start display at page:

Download "Microsoft PowerPoint OARCRIPEreport.pptx"

かんじおうじ
5 years ago
Views:

1 DNS-OARC/RIPE66 report Kazunori Fujiwara, JPRS 2014/6/27

2 概要 DNS-OARCとRIPEの紹介 2014 年 5 月に開催されたDNS-OARC 2014 Spring workshopとripe 68 meetingでの DNS 関連の話題を報告 2

3 DNS-OARC DNS Operations Analysis and Research Center DNS の運用解析研究を行う組織 Root DNS サーバのオペレータや TLD 大規模なユーザ組織が参加毎年 50 時間 Root DNS サーバのパケットキャプチャ実施 A Day in the Life of the Internet (DITL) 日本の組織だと NTT WIDE JPRS がメンバー年に 2 度 Public Workshop を開催今回は RIPE 68 本会議の前の土日 2014 年 5 月 10 日 ~11 日土曜の午前中にメンバー限定ミーティング実施 3

4 DNS OARC 2014 Spring Workshop 休憩を除いて9 時間 30 分 18 件の発表と4 件のライトニングトークのOARC Spring 2014 Warsaw Workshop リンクに資料あり内容 IETFでのDNSプライバシに関する話題 DNSデータ収集と分析サービスの話 Windows Server 2012 R2 での DNSSEC について Hadoop を使って.nz のクエリ情報を分析.com,.net,.tvのクエリ情報からBotnetドメイン名を調査ルートのクエリ情報の分析とフルリゾルバとの比較 4

5 RIPE community と RIPE NCC RIPE community = RIPE (Réseaux IP Européens) is a collaborative forum open to all parties interested in wide area IP networks in Europe and beyond. RIPE NCC = ヨーロッパロシア中東地域のIPアドレスレジストリ RIPE communityが年に2 度一週間ミーティングを開催 AP 地域だと APRICOT の二週目に近い 5

6 RIPE 68 meeting 年 5 月 12 日 ~16 日ワルシャワで開催主な話題 RIPE community 25 周年の祝い 25 年間チェアを勤められたRob Blokzijl 氏の退任 RIPE 68 での WG BoF Address Policy, Open Source, Database, IPv6, DNS, Cooperation, Routing, MAT, Antiabuse 6

7 RIPE 68 Open Source WG 90 分 6 件の発表内容 Knot DNS The Rise and Fall of BIND 10 getdns API Library DANEs Don t Lie Transportencryption Reloaded Kea Update A Modern DHCP Engine BIND 10 の DHCP が独立 Update on the ONIE Project: pxe の後継の話 7

8 RIPE 68 DNS WG 3 時間 8 件の発表と 1 件のパネル内容 RIPE NCC Update Using DDoS to Trace the Source of a DDoS Attack Measuring DNSSEC Validation Deployment Measuring DNSSEC from the End User Perspective Report from Ad-hoc cctld Group Registry Infrastructure Transformation:.UK の紹介 Google DNS Hijacking in Turkey DNSMON Developments DNS Monitoring Common Practices/APIs Panel Session 8

9 Zeroing in on Zero Days (OARC) Nominum は世界中の ISP からフルリゾルバのデータを集めているとのこと China を含む世界中毎日数テラバイト全世界の ISP の 5% このデータを用いて攻撃に使われるドメイン名を判定しているとのこと liebiao.800fy.com DDoS service の service menu とか Cache poisoning 対策として DNS response を記録して解析することが重要である 9

10 Windows Server 2012 R2 での DNSSEC (OARC) Windows Server 2012 R2へのDNSSEC 実装についてMicrosoftの方が紹介された Active Directory(AD) と統合して Dynamic Updateやmulti master 機能あり Wizardで簡単に設定可能 ADにTrust Anchorの管理と配布機構 Microsoft.comをsignするのかという質問に yesと回答されていた 10

11 Big Data Journey (OARC).nz で Apache Hadoop を使ってクエリデータの解析個々のマシンの設定からクラスタの構築運用ハードウェア 240 個の 2TB disk 240 枚の 4GB memory namenodes, 20 datanodes, 1KVM.nz の 7 つの DNS サーバ名のうち 4 つで収集毎月約 500Gb で 18 ヶ月分 DNSSEC validator の評価をされた Hadoop cluster をモニタ管理するマシンが必要だった 11

12 Knot DNS の新機能 (RIPE) NIC.CZ 製の権威 DNS サーバソフトウェア新機能を実装したという発表 Synthetized Resource Records IPv6 アドレスの逆引きと対応する正引きを動的に自動生成する機能 8.b.d ip6.arpa { query_module { synth_record "reverse gen- example.org :db8::/32"; }} で f.e.d.c.b.a f.e.d.c.b.a b.d ip6.arpa 400 IN PTR gen db8-89ab-cdef ab-cdef. を生成 12

13 The Decline and Fall of BIND 10 (RIPE) タイトルが The Rise and Fall of BIND 10 から変更発表者は Shane, Kerr 元 BIND 10 プログラムマネージャ ISC から Dyn に転職 BIND 10 プロジェクトの運営についての暴露 ISC の経営者の変化 (fired by board って?) BIND 9 からの変化を嫌うユーザ ISC は BIND 10 を野に放ったので興味を持つ人に fork してもらったとのこと Bundy DNS server に名前を変更し github に移動 13

14 RIPE NCC DNS Update (RIPE) 5170 ゾーン ( 逆引き, ripe.net, ENUM, 77 cctld) 120,000 q/s average, 180,000 q/s peak 運用多様性のため BIND 9 以外を評価中 CentOS で動いて無停止でゾーンを追加できること評価結果メモリ起動停止 BIND 9 11GB 45 秒 30 秒 Knot 17GB 90 秒 40 秒 NSD 4 25GB 3 分以上すぐ BIND 9 は View が便利 (Knot NSD にはない ) 14

15 Google DNS Hijacking in Turkey (RIPE) 3 月 21 日にトルコ政府が twitter.com へのアクセスを遮断 ISP にフルリゾルバ DNS サーバの設定を変えさせて twitter.com の名前解決をエラーにさせた Google Public DNS ( / ) を使えば到達できた 3/29 にトルコの ISP は /32 を注入して Google Public DNS を使えなくした 4/4 にフルリゾルバの嘘つきを停止 4/7 に経路ハイジャック停止 hostname.bind, Looking glass, RIPE Atlas, traceorute などで状況が確認された 15

16 詳細は各会議のページ参照プレゼンテーションとビデオが公開されている

DNS の統計調査結果の紹介 ( 仮 ) DNS-OARC2014,ICANN51,IETF91 の話題藤原和典株式会社日本レジストリサービス (JPRS) dnsops.jp BoF, Nov.,2014

DNS の統計調査結果の紹介 ( 仮 ) DNS-OARC2014,ICANN51,IETF91 の話題藤原和典株式会社日本レジストリサービス (JPRS) dnsops.jp BoF, Nov.,2014 DNS の統計調査結果の紹介 ( 仮 ) 2014 Root DITL Data analysis and TLD popularity analysis