_IRS25_DDoS対策あれこれ.pptx

Transcription

1 IRS25 DDoS 対策あれこれ 西塚要 (NTT コミュニケーションズ kaname

2 自己紹介 2006 年 NTT コミュニケーションズ入社 OCN アクセス系ネットワークの設計 大規模 ISP 保守運用サービス担当 現在 研究開発部門にて DDoS 対策ソリューション関連技術およびデータ解析技術開発と IETF 提案活動に従事 IETF DOTS WG でドメイン間で協力した DDoS 対策手法の標準化頑張ってます

3 BGP を利用した DDoS 対策 BGP を利用した Inter-Domain の DDoS 対策手法 1. RTBH(Remotely Triggered Black-Hole RouGng) 2. BGPを利用したトラフィック引き込み 3. BGP Flowspec 今回は 1,2 の手法の実例について話します

4 1. RTBH(Remotely Triggered Black-Hole RouGng) 2. BGP を利用したトラフィック引き込み

5 ブラックホールルーティング 攻撃のターゲットとなった IP アドレス宛の通信を遮断 ターゲットに対する全てのトラフィックが遮断されるため 攻撃自体は成立 DDoS 攻撃 : 宛先 X 正常通信 : 宛先 X 攻撃対象システムの回線を埋める量的攻撃 ブラック ホール 上位 AS AS ブラックホール実施 NW よりも上位の回線の輻輳に対しては 効果がない 宛先 X への通信は 不能になる 宛先 X 対象システム 攻撃宛先へのトラフィックを遮断することにより 輻輳を避け 宛先以外への通信は守ることができる 宛先 X 以外

6 RTBH(Remotely Triggered Black-Hole RouGng) ISP Dst NH a.a.a.a null0 ISP ISP Dst NH a.a.a.a null0 x.x.x.x a.a.a.a Dst NH a.a.a.a null0 x.x.x.x a.a.a.a x.x.x.x a.a.a.a x.x.x.x/32 の NH=a.a.a.a となるように経路広告 宛先 IP アドレス向けトラヒックを廃棄 x.x.x.x/32 w/ BH community

7 隣接 NW における RTBH サービス 一部のトランジット AS や IX 事業者は 顧客からの RTBH 経路を受け入れている DDoS 攻撃 : 宛先 X ブラック ホール 隣接 NW ブラック ホール ブラック ホール 対外ルータ : 経路広告 : ebgp match community <AS>:666 then set community 65535:666 ebgp 対象 システム 対外ルータ AS 宛先 X:X.X.X.X ebgp 対外ルータ 7 経路 成 ルータ 経路 成ルータ : 経路 成 : ip route X.X.X.X/32 null0 static-to-bgp 経路広報 : ibgp community <AS>:666

8 隣接する NW(ISP/IXP) による RTBH メリット 自 AS に攻撃が入ってくる前に攻撃を止められるため 上流回線の輻輳を避けることができる 自 AS の RTBH と組み合わせて利用できる 自動化が容易である デメリット 攻撃が止まったかどうかの判断ができない 注意点 対応していない事業者もある RTBH 用の広告経路を受け入れてもらえるようフィルタを空けてもらうことを忘れないように

9 RTBH 用の BGP community IETF GROW WGにてCommunityの共通化の提案がされている (drav-iew-grow-blackholing) 65535:666 になる見込み

10 SelecGve RTBH 全網内でブラックホール化するのではなく 地域ごとや国ごとなどの特定エリアのルータでのみパケットを破棄する 自国内の折り返しについてはブラックホールさせたくない場合などの利用方法が考えられる 例 :AS2914 Selective Blackhole communities 2914:661 only blackhole inside the region the announcement originated 2914:663 only blackhole inside the country the announcement originated 2914:660 only blackhole outside the region the announcement originated 2914:664 only blackhole outside the country the announcement originated

11 RTBH 事例紹介 ( 公開情報から推定したもののため 実際の事象と異なる可能性があることはご承知ください )

12 事象 国内某大手動画サイトに海外からアクセス不能 AS2914 国内 ISP 他の国内 ISP 海外ユーザは アクセス不能 動画サービストップページ x.x.x.x/32 国内ユーザは アクセス可能

13 traceroute AS2914 ブラック ホール 海外からのトレース $ traceroute -a x.x.x.x 国内 ISP 他の国内 ISP traceroute to x.x.x.x (x.x.x.x), 64 hops max, 52 byte packets 1 [AS19230] ( ) ms ms ms 国内ユーザは 2 [AS56554] ( ) アクセス可能 ms ms ms 3 [AS27757] 動画サービス ( ) ms ms ms トップページ 海外ユーザは アクセス不能 4 [AS22566] po2-30g.ar2.mia2.gblx.net ( ) ms ms ms 5 * * * 6 *^C

14 looking 該当アドレスが /32 で広告され 経路に SelecGve RTBH Community 2914:664 が付与されていることを確認 2914:666 -> アナウンスされた国の外でのみブラックホール looking glass heps:// AS2914 ブラック ホール 国内 ISP 他の国内 ISP 海外ユーザは アクセス不能 動画サービストップページ x.x.x.x/32 国内ユーザは アクセス可能

15 DDoS 攻撃への対処 ( 推測 ) 海外からの攻撃 /32 経路を 2914:664 を付与して 広告 inside country AS2914 ブラック ホール 海外ユーザは アクセス不能 国内 ISP 他の国内 ISP 動画サービストップページ x.x.x.x/32 国内ユーザは アクセス可能

16 RTBH - Lessons Learned SelecGve RTBH でも 巻き込み被害の範囲 ( メリット デメリット ) を理解して利用することが重要 エンドユーザの立場だと 意図的なものかどうか気づきにくい Looking Glass など RTBH の状況を把握できる手法の提供が必要 JANOG38 BoF(*) より コンテンツプロバイダとしては RTBH は何も守っていないことになるので 緩和する対策が欲しい (*)heps://

17 1. RTBH(Remotely Triggered Black-Hole RouGng) 2. BGP を利用したトラフィック引き込み

18 Cloud 型 DDoS 防御サービス 引込 / 戻し手法 インフラ防御 scrubbing center Mitigation Box Mitigation Box Mitigation 装置 VPN を利用した戻しお客さまサイトと事業者間で VPN(GRE 等 ) 専用線を張る BGP を利用した引込お客さまセグメントの BGP 経路広告 ISP/ DDoS お客さまセグメント宛て通信 Internet DNS を利用した引込お客さまホスト名に紐づく IP アドレスを変更 ISP/ DDoS サーバ防御 scrubbing center Mitigation Box Mitigation Box Mitigation 装置 NAT/ PROXY NAT/PROXY を利用した戻し宛先アドレスをお客さまアドレスに変換して戻す お客さまネットワークセグメント (/24) お客さまホスト

19 引き込み経路 この広告経路に注目 DDoS 防御サービス提供事業者 Transit ISP A Transit ISP B 被害組織 Clean Pipe ( トンネルまたは専 線 )

20 AS-PROLE(Prolexic) 解析 の期間の 1 時間ごとのフルルート (dump) から AS-PATH に AS- PROLE(AS32787) を含むものを抽出 update を追っていないので 1 時間以内のイベントは対象から漏れています ( プレフィックス,AS-PATH) の組みでユニークな広告数 : 2706 うちユニークなプレフィックス数 :2376

21 比較対象 Team Cymru: IP to ASN Mapping プロジェクト hep:// 4 時間ごとの更新 対象の prefix に対して AS 番号などを引く での応答を利用 % dig TXT origin.asn.cymru.com ;; ANSWER SECTION: origin.asn.cymru.com IN TXT " /24 US arin

22 オリジン比較 diff: 広報された prefix のオリジンと cymru で引いたオリジンが異なる場合 same: 同じ場合 none: cymru サービスが引けなかった場合 prefix 長比較 longer: 広報された prefix の prefix 長が cymru で引いたものより長い場合 eq: 同じ場合 shorter: 短い場合

23 3: via_prole/diff origin:146 4: via_prole/same origin:2228 1: by_prole/diff origin:44 2: by_prole/same origin:276 AS-PROLE がオリジンか否か by_prole: AS-PROLE がオリジン AS の広報 via_prole: AS-PROLE がパスの途中の広報

24 1: by_prole/diff origin: 44 例 : ISP A のアドレスの一部を AS-PROLE オリジンで広報 DDoS 防御サービス提供事業者 ISP A /16 被害組織 Clean Pipe ( トンネルまたは専 線 ) /24 ( 自 AS を持たない )

25 1: by_prole/diff origin: 44

26 2: by_prole/same origin: 276 例 : AS-PROLE オリジンで ( 常時 ) 広報 DDoS 防御サービス提供事業者 ISP A 被害組織 Clean Pipe ( トンネルまたは専 線 ) ( 自 AS を持たない )

27 2: by_prole/same origin: 276

28 3: via_prole/diff origin: 146 例 : 被害組織の別 AS からの経路を広告 Y DDoS 防御サービス提供事業者 ISP A 別 AS から引き込み経路を広告? 被害組織 X Clean Pipe ( トンネルまたは専 線 ) 被害組織別 AS? Y longer or eq (+prepend)

29 3: via_prole/diff origin: 146

30 4: via_prole/same origin: 2228 例 : トランジットライクに経路を広告 X DDoS 防御サービス提供事業者 ISP A 引き込み経路を広告 被害組織 X /22 Clean Pipe ( トンネルまたは専 線 ) longer or eq

31 4: via_prole/same origin: 2228

32 AS-PROLE(Prolexic) 解析より トランジットのように経路を出すケースが 8 割 一部 hijack に見えなくもない経路の出し方がある 一時的なケースが多い

33 BGP 引き込み手法まとめ 新たなトランジットの一つという見方も? 懸念事項 引き込みによる遅延の延伸 longer 経路のwithdraw 時の経路の安定性 ( 当然ですが ) 引き込んだ後に 攻撃トラフィックをちゃんとフィルタできるか 正常トラフィックをちゃんと戻せるかをしっかり見極めを