Microsoft PowerPoint - s07-nakano tatsuya-iw2011-s7-nakano( ) [互換モード]

Size: px

Start display at page:

Download "Microsoft PowerPoint - s07-nakano tatsuya-iw2011-s7-nakano( ) [互換モード]"

みそらねごろ
5 years ago
Views:

1 備える! インターネットルーティングセキュリティ実践その時のために KDDI 株式会社中野達也

2 今起きている事 AS-PATH を捻じ曲げている AS がいるらしい /23 i AS /23 i AS 1 AS 2 AS 4 AS 2 AS 4 AS 3 AS 2515 AS 3 AS 2515 ここで何かされてるかも BGP Man-In-The-Middle Attack /24 i AS4 AS /24 i AS4 AS1 2

3 経路ハイジャックという言葉について権威のない経路広告が行われることにより経路情報誤りが発生しそれにより引き起こされる通信障害悪意の有無故意過失にかかわらずこの言葉が使われているほとんどが過失によるもの見直すべき時期に来ているのではないか 3

4 もくじ 1. 権威のない経路広告が身近で起こったら 2. 誤広報を自分がやってしまったら 3. 身近で起きたらその時のために 4

5 1. 権威のない経路広告が身近で起こったらやられちゃったらどうなる? 解決するには?

6 解決までの流れ問題発生! 何が起きる? どうやって気づく? 原因の調査どうやって調べる? 何を調べる? 問題の解消どうやって解消する? 解決! 6

7 何が起こる? 外部からの接続 NG Mail 送受信 NG その他通信 NG トラフィックの急落 web サイト閲覧 NG etc しかも気づけないことも多いだから気づけるようにしよう 7

edu/ https://www.ripe.net/is/alarms/ http://www.

8 どうやって気づけるようにするか BGPMON Cyclops ISAlarm Renesys 経路奉行

9 各システムの比較 BGPmon.net IS Alarms Cyclops Renesys 経路奉行経路の情報源 RIPE-RIS Route views RIPE-RIS RIPE-RIS RouteViews etc More than 350 prividers 国内 ISP の経路情報経路情報との比較方法ユーザ入力情報 JPIRR 通知確認方法 Web メール Web メール Syslog Web メール RSS Web メール備考事前登録要 ASNでPrefix も登録可事前登録要 Prefix 手入力事前登録要 ASNでPrefixも登録可有料 Object に登録すれば監視対象になる ( 通知には条件あり ) 9

10 BGPmon / Cyclops いずれも GUI の Web-IF がある BGPMON Cyclops 10

11 IS Alarms / renesys いずれも GUI の Web-IF がある IS Alarms renesys Routing Alarms 11

12 経路奉行経路ハイジャック通知実験メール JPIRRにRouteオブジェクトを登録していること descrにx-keiroを設定していることご担当者様以下の通り経路ハイジャックが疑われる状態を検知しました検知日時 : Fri 28 Mar :50: Route オブジェクト : /24 Route オブジェクトの Origin : AS2515 検知した Prefix : /

13 X-keiro の登録メンテナーオブジェクトやRouteオブジェクトにメールアドレスを登録する例 whois h jpirr.nic.ad.jp MAINT-AS2515 mntner: MAINT-AS2515 descr: Japan Network Information Center People authorized to make changes for AS2515 X-Keiro: okadams@nic.ad.jp 参考サイト

14 広報元がどこかを調べる show ip bgp <prefix> traceroute 自 AS ルータで Looking Glass で RouteViews の mrtdump archive を参照 DTI Looking Glass traceroute.org RouteViews

15 Looking Glass Looking Glass で調べる show ip bgp の結果に自 AS 以外の Origin が存在するかを確認する経路ハイジャックが疑われる例 ( 正しい OriginAS を 2515 とした場合 ) BGP routing table entry for / from ( ) Origin IGP, localpref 100, valid, external Last update: Mon Oct 14 12:53: ??? from ( ) Origin IGP, localpref 100, valid, external Last update: Sun Oct 20 09:40:

16 mrtdump の参照 Route Views Archive bgpdump $ bgpdump (mrtfile) TIME: 11/15/11 06:00:17 TYPE: BGP4MP/MESSAGE/Update FROM: AS3356 TO: AS6447 ORIGIN: IGP ASPATH: NEXT_HOP: MULTI_EXIT_DISC: 0 AGGREGATOR: AS COMMUNITY: 3356:3 3356: : : : :2011 ANNOUNCE /24 TIME: 11/15/11 06:00:17 TYPE: BGP4MP/MESSAGE/Update 例 bgpdump (mrtfile) grep prefix' bgpdump (mrtfile) grep '^ASPATH:' more sort uniq bgpdump (mrtfile) grep '^TIME: ^ASPATH: ^WITHDRAW ^ANNOUNCE' 16

17 広報元の連絡先を調べる Whois で調べてみる JPNIC Whois RADB etc PeeringDB を参照する HurricaneElectric の BGP Toolkit を参照する Whois PeeringDB HE BGP toolkit (JPNIC/RADB/ARIN etc )

18 Whois(JPNIC/RADB etc ) whois -h whois.nic.ad.jp <AS 番号 > JPNIC ハンドル ( グループハンドル ) を確認する whois -h whois.radb.net <AS 番号 > notify や mnt-by を確認する検索例 (AS2516) aut-num: AS2516 as-name: KDDI descr: KDDI CORPORATION admin-c: *** **** tech-c: *** **** notify: maint@example.jp mnt-by: MAINT-AS2516 changed: maint@example.jp 検索例 (MAINT-AS2516) mntner: MAINT-AS2516 descr: KDDI Corporation admin-c: *** **** tech-c: *** **** upd-to: update@example.jp notify: admin@example.jp mnt-nfy: maint@example.jp 18

19 PeeringDB 調べるだけなら Username : guest / Password : guest で OK 19

20 HE BGP toolkit ここに AS 番号を入力 20

21 どう解決する? 不正な OriginAS に問い合わせてみる Looking Glassの結果等を張り付けておくとよい等のアドレスにも送ってみる返事がない知らないと言われた場合上位 AS に掛け合ってみる不正な OriginAS のさらに上位にある AS にコンタクトを取ってみる 21

22 奪い返す? 不正な OriginAS が広報している Prefix よりもさらに longer な Prefix を広報して奪い返すでも address maskフィルタに引っかかるかも奪い返すときに設定をミスしたら?? 根本的な解決方法は不正な OriginAS からの広報を停止させること 22

23 最後の手段 janog や nanog の ML に現状を説明してみる同じような AS が他にもいるかもその情報が解決の糸口になるかも? 情報共有しましょう 23

24 2. 誤広報を自分がやってしまったらやってしまったら

25 なぜ起きるかタイプミスだって立派な誤設定キーの打ち間違い? と思われる事例あり外から見れば皆同じ 25

26 誤設定による誤広報 AS 内のみに伝播させるべき経路を誤って世界中に広報した IPv6になったらタイプミスが絶対増える桁も多いし数字も多いやってしまった側はなかなか気づけないミスに気づいたら / 指摘を受けたらすぐに解消させましょう!! 26

27 3. 身近で起きたらその時のために今からでもできること

28 起きたことを気づけるように JPIRR に経路情報を登録しましょう X-Keiro の登録内容にも留意する経路奉行以外の手段も併用する ISAlarm BGPMON Cyclops, etc 28

29 起きた時にどうするかを考えておく対応手順の整備調査方法の詳細手順化取り返す手順等の整備 etc JPNIC から対応についての文書が出ています 29

30 まとめ権威のない経路広告が身近で起きた時に何が起こるか理解しておく何をするべきか決めておくなによりも気づくことができるように検知する手段を構築する自分が加害者にならないよう十分注意する 30

31 これらの説明を踏まえて次は IIJ 松崎さんの事例紹介 31

Microsoft PowerPoint - s2-TatsuyaNakano-iw2012nakano_1105 [互換モード]

Microsoft PowerPoint - s2-TatsuyaNakano-iw2012nakano_1105 [互換モード] 実践! ルーティングセキュリティルーティングセキュリティ事例紹介と解説 KDDI 株式会社中野達也もくじ 1. 利用中の経路をハイジャックされた 2. 他者の経路を広報 ( 広告 ) してしまった 3. 広報しようとしたらなぜか使われていた 4. まとめ 2 1. 利用中の経路をハイジャックされた何が起きる? 気づくには? どうやって対応しよう? 何が起こる? トラフィックの急落名前解決