DOTS WG + Hackathon

Size: px

Start display at page:

Download "DOTS WG + Hackathon"

こうごくまじ
4 years ago
Views:

IETF100 報告会 DOTS WG + Hackathon 2017.12.

1 IETF100 報告会 DOTS WG + Hackathon Kaname Nishizuka@NTT kaname

2 紹介 n 2006 年 NTT コミュニケーションズ社 n OCN アクセス系ネットワークの設計に従事した後規模 ISP 向けのトータル保守運サービスを担当 n メインフィールドトラフィック分析 DDoS 対策ソリューション IPv4 枯渇対策関連技術 n IETF 提案活動 DOTS WG n JPNIC IPv6 教育専家チーム 2

3 シンガポール DOTS 関連報告 3 3

dots WG n DDoS Open Threat Signaling (dots) n 設 :2015-06 n

新しい WG(BoF:IETF92 / Meeting:IETF93 ) n DDoS 対策を効率的に実現するために

4 dots WG n DDoS Open Threat Signaling (dots) n 設 : n Chairs: Roman Danyliw(CERT) Tobias Gondrom (OWASP, Huawei) n 新しい WG(BoF:IETF92 / Meeting:IETF93 ) n DDoS 対策を効率的に実現するために DDoS に関連した情報のリアルタイムでのシグナリングを規格化する動化より規模な防御システムベンダ独なソリューションからの開放 4

5 IETF100 における DOTS 関連進捗まとめ J よかった点 n IETF ハッカソンにおいて OSS 実装 (go-dots) とベンダ実装 (NCC) の間で最初の相互接続試験が実施されたシグナルチャンネルについて実際に実装間で通信ができる (=DDoS 攻撃を防御するアクションができる ) ことが確認できた試験時に問題となった部分は仕様への要求事項として WG のミーティングにてフィードバックされ反映された n プロトコルへの要求事項 (requirement) をまとめたドラフトが WGLC となった (12/8) これは dots WG として WGLC となった最初のドラフトである n プロトコル仕様に関する詰めの議論が IETF100 以降も ML 上で積極的に交わされている L 悪かった点 n DOTS WG の参加者が前回より少なかった 5

6 DOTS WG ミーティング 11/14 リモート発表が多かった ( デザインチームミーティングも開催されなかった ) 6

7 ユースケースドラフト n draft-ietf-dots-use-cases-08 ユースケースの筆者同で編集の主導権の綱引きが継続 ü はつのユースケースを詳細に記述したい ü 他は網羅的にユースケースを列挙したい上記の理由により内容に整合性が失われてしまっている状況で WGLC にはまだっていない 7

8 ( 少し報告から離れますが ) DOTS の利シーンについて n 防御依頼と相互信頼 X 宛のパケットを落として Customer Customer 攻撃元 AS 攻撃先 AS Customer Customer 果たして相手の防御依頼は信頼できるだろうか? n パケットフィルタアウトローシングとセキュリティオートメーションを相互信頼のもとで実現する技術として DOTS プロトコルが注されている 8

9 DOTS プロトコルの動作とメリット n DOTS プロトコルの動き利者側の DOTS クライアントから提供者側の DOTS サーバに対して攻撃を受けている IP アドレスなどの情報とともに防御を依頼依頼を受けた DOTS サーバ側は認証および防御依頼のバリデーションを実施した上で DDoS 対策を実施 n DOTS プロトコルのメリット 1. 間を介さない防御受付のインタフェースが規定されることで DDoS 対策の動化が可能になる 2. 複数の対策事業者に対して共通のプロトコルで防御依頼をすることができるようになる 3. 別の対策事業者に防御依頼をするような事業者間連携を実現できる 9

10 DOTS 利シーンその 1 n 間を介さない防御受付インタフェースによる DDoS 対策動化防御装置 (DOTS 対応 ) 防御指 NF V F W 防御装置 Internet 攻撃 DOTS サーバ防御 Transit NW DOTS プロトコルによる防御依頼 DOTS クライアント VictimNW 10

11 DOTS 利シーンその 2 n 防御装置 (DOTS 対応 ) への防御依頼の共通化 DOTS 対応防御装置 NF V F W 防御装置 Internet 攻撃 DOTS サーバ防御 Transit NW DOTS プロトコルによる防御依頼 DOTS クライアント DOTS 対応防御装置 NF V F W 防御指防御装置防御 VictimNW 11

12 DOTS 利シーンその 3 n キャパシティオーバの際に別の対策事業者に防御依頼をするような事業者間連携が実現できる他組織への防御依頼 DOTS 対応防御装置 NF V F W 防御装置サードベンダ DOTS 対応サービス Internet 防御攻撃 DOTS サーバ防御 Transit NW DOTS プロトコルによる防御依頼 DOTS クライアント DOTS 対応防御装置 NF V F W 防御指防御装置防御 VictimNW 12

13 ユースケースドラフト ( に戻って ) n ユースケースドラフトでは上記で紹介した利シーンに加えて以下の点が考慮されている n 様々な DOTS クライアントのパターン DDoS 対策アプライアンス装置, DDoS 検知システム (flow collector など ), CPE, サーバアプリケーション, 運者のモバイル端末 n 様々な組織間の関係性組織内で完結するケース (Intra-organization/ domain) 組織間のケース (Inter-organization/domain) ü 複数の上流組織が存在する場合 ü 防御依頼がカスケードされる場合 13

14 リクワイヤメントドラフト n DOTS プロトコルに対する要求事項を列挙 n issue はだいぶ付けられた残りの issue ü NAT 越えに関する記述 ü ACL が競合したときに順番に関する記述 n 記述を整理した形で 12/8 に WGLC に 14

15 アーキテクチャドラフト n DOTS のアーキテクチャの概要を記述内容も充実しており順調更新の頻度が低いせいか今回の会場では読んでいるが少数であったため WGLC は送られた ü 分 WGLC の完成度はあると思うので残念 15

16 シンガポールハッカソン関連報告 16 16

17 IETF100 ハッカソン n IETF100 ハッカソン本会議の前のに開催 200 以上の参加者 (IETF100 参加者の約 22%) IETF 技術領域における 20 のプロジェクトが参加 IETF92 IETF100 17

18 ハッカソンイベントの発展 n ハッカソンイベントの発展今回からついに公式イベントに (IETF の開催期間が曜からになった ) 今後スポンサーである Cisco Devnet の個別イベントではなく IETF としてサポートしていく曜には Cisco D.Ward による Topic: 3 years on: Open Standards, Open Source, Open Loop というタイトルの講演があり IETF のプロセスを構成する重要な要素として IETF ハッカソンへの期待が語られた n ハッカソンへの参加の仕やハッカソン中の流れは前回 IETF99 報告会資料をぜひご参照ください 18

19 ハッカソンへの参加経緯 n IETF99 において DOTS プロトコル実装 (go-dots) の公開 (OSS 化 ) と合わせて実装の改善をテーマに初参加ドラフト版の仕様を実際に実装しプロトコルとして有効に動くことを証明 ü 実際に動くことをして標準化のスピードアップを狙う ü 問題点は仕様にフィードバック Best Name 賞をいただく n NCC グループが前の実装をすでに持っていることを表明 n IETF100 においては NCC グループとの相互接続試験をテーマに参加異なる実装間でも通信ができ動作することを証明 ü 実際に相互接続ができたことを確認 ü 問題点は仕様にフィードバック Best Open Source Project 賞をいただく 19

20 IETF ハッカソン IETF100 受賞プロジェクト n Best Overall : DNS n Best Input for the Scotch BoF : IPv4-IPv6 Transition Technology Interop and NAT64 testing n Best Student Project : I2NSF n Best Long-Term Work: YANG/NETCONF/RESTCONF n Best Remote Participation : TLS n Best Open Source Project : DOTS Interop n Best Cross Area Work: SACM n Best Interoperability Testing: QUIC 20

21 DOTS First Interoperability Test IETF 100 Hackathon Report Kaname Nishizuka/NTT CommunicaEons Jon Shallow/NCC Group Liang Xia/Huawei

22 DOTS is now working! DOTS WG is aiming to make it standardized in this year Now we have several individual implementaeons go-dots (open-sourced project) from NTT NCC Group s proprietary implementaeon This first interoperability test at the hackathon is a giant step for proving it works.

23 What happened in the Hackathon 3 aceve projects with 7 parecipants include 3 remotely from Tokyo, London, Nanjing 3 Projects are: 1. First Interoperability test of 2 individual implementaeons 2. Adding new features and extensions to the open-sourced implementaeon 3. (IntegraEon with a deteceon system of Mirai botnet)

24 We won an award! Best Open Source Project

25 1. First Interoperability test of 2 individual implementaeons go-dots (open-sourced project) from NTT Kaname Nishizuka, Takahiko Nagata(Remote) NCC Group s proprietary implementaeon Jon Shallow(Remote)

26 Result of the Interop Test

What we proved in the Interop go-dots DOTS client MiEgaEon

AcEon DOTS server/dots client MiEgaEon AcEon (RTBH) go-dots DOTS

over DOTS signal-channel (CoAP over DTLS) Plus, NCC Group s

that relayed miegaeon requests can work over muleple

27 What we proved in the Interop go-dots DOTS client MiEgaEon Request(PUT,GET,DELETE) MiEgaEon Request OK NCC Group MiEgaEon AcEon DOTS server/dots client MiEgaEon AcEon (RTBH) go-dots DOTS server OK We can start and handle a miegaeon from each client over DOTS signal-channel (CoAP over DTLS) Plus, NCC Group s implementaeon can act as a DOTS relay (gateway), so we proved that relayed miegaeon requests can work over muleple organizaeons. MiEgaEon Request Model TLS TCP DOTS CoAP IP DTLS UDP DOTS Signal Channel Layers

28 General Feedback to DOTS WG ImplementaEon Experiences For example most of the code modificaeon was related to encode/decode of CoAP mapping there were many implicit specificaeons we need to figure out and agree on Need more descripeon of the content and code approx. 60% of the signal-channel spec has been proved to work The rest will be done at/by the next IETF

29 go-dots Feedback to DOTS WG PreparaEon for the interop test Agree on port number(-06) and URI path(-07) Fixed CBOR mapping Updated data models Code Updates during Hackathon Omit empty(null) entries in requests Fixed response body Test scenarios should be listed and shared to get every paderns of request/response type and see normal/error behavior unintended behavior can be found only by interop

30 NCC Group Feedback to DOTS WG (Pt 1) Code Updates during Hackathon CBOR <-> JSON mapping fixes for NULL entries Remove NULL entries confusion and deleted NULL entries in any response Added support for muleple miegaeon requests within a single PUT NCC DOTS Client crashing go-dots DOTS server Disabled Signal ConfiguraEon requests Disabled Heartbeats SEll go-dots server issues handling NCC client requests - to be worked on

31 NCC Group Feedback to DOTS WG (Pt 2) Outstanding NCC Group to be fixed DOTS Client handling bad CoAP Ping responses Support of GET empty requests that are not CBOR encoded QuesEons Should NULL entries be allowed? Should a NULL entry of type Object be allowed when definieon is Array? What should happen when lifeeme = 0 is requested? Should there be support for muleple miegaeon requests within a single PUT?

32 2. Adding new features and extensions to the open-sourced implementaeon

Using DOTS Vendor-Specific Adributes for Global IP ReputaEon Sharing DOTS Client DOTS Server Signal Channel Global IP Reputation Database IP Reputation CoAP PUT Mitigation Request mitigation-scopes

33 Using DOTS Vendor-Specific Adributes for Global IP ReputaEon Sharing DOTS Client DOTS Server Signal Channel Global IP Reputation Database IP Reputation CoAP PUT Mitigation Request mitigation-scopes Vendor-Specific: attack-event * [target-ip] { target-ip top-attack *[botnet-ip] { botnet-ip attack-type peak-traffic {bps pps} start-time period } } CoAP Response response botnet-ip1 attack-type peak-traffic start-time period botnet-ipn attack-type peak-traffic start-time period botnet-ip2 attack-type peak-traffic start-time period

34 Using DOTS Vendor-Specific Adributes for Outbound Adack MiEgaEon Attack Source Information DOTS Client CoAP PUT mitigation-scopes Mitigation Request Vendor-Specific: attack-event * [target-ip] { target-ip top-attack *[botnet-ip] { botnet-ip attack-type peak-traffic {bps pps} start-time period } } Signal Channel CoAP Response response DOTS Server Outbound Attack Repository botnet-ip1 target-ip attack-type peak-traffic start-time period botnet-ipn target-ip attack-type peak-traffic start-time period Send MiEgaEon Request to Adack Source to Enable the Outbound Adack MiEgaEon DOTS Signal Channel or Others Attack Source at Botnet-IP

35 次回 IETF101 に向けて n 発表は好評問題点はつつがなく仕様に反映された n チェアが会場に早く他にも Interop に出す実装を持ってきてほしい早く市場に展開させたいと発以下の 2 点を気にしていたので IETF101 では改善し標準化が気に進むことに期待 ü 今回はドラフトの著者がほとんどリモートだったこと ü 他の主要な WG とのコンフリクトで参加数が少なかったこと 35

36 まとめ n ハッカソン出場の意義標準化プロセスを早めることができる WG での発表や懇親会でのデモなど数多くのアクティビティの機会をゲットできる WG での発を強化できる n DOTS の進展 ML にて議論が活性化中我々の戦略として ü 引き続き NCC グループとは Interop を実施 ü さらに Interop に参加する実装を集めたい 36

_JANOG41.pptx

_JANOG41.pptx 本でのオープンループ 2018/1/24 JANOG41 NTT コミュニケーションズ塚要 kaname@nttv6.jp 紹介 : l 塚要 ( にしづかかなめ ) l 2006 年 NTT コミュニケーションズ社 l OCN アクセス系ネットワークの設計に従事した後規模 ISP の運サービスを担当現在は研究開発組織にてトラフィック分析など ISP の課題に関する研究開発に従事 l メインフィールド