(Microsoft PowerPoint - JANOG21\(\210\260\223c\)\216\226\214\343\216\221\227\277v0.1.ppt)

(1)

ノンサンプリングフロー分析

で

でBogon

Bogon

Bogonフィルタ対策

Bogon

フィルタ対策

2008年 1月イッツ・コミュニケーションズ株式会社イッツ・コミュニケーションズ株式会社イッツ・コミュニケーションズ株式会社イッツ・コミュニケーションズ株式会社芦田芦田芦田芦田宏之宏之宏之宏之

(2)

Agenda

自己紹介

困ったこと

困ったこと(

(

(何が起こったのか

何が起こったのか

何が起こったのか)

何が起こったのか

)

Bogon

Bogonフィルタについて

Bogon

フィルタについて

フィルタについて(

(おさらい

(

おさらい

おさらい)

)

やったこと

まとめ

議論

到達性について考えてみよう到達性について考えてみよう到達性について考えてみよう到達性について考えてみよう

場外乱闘

25

25 25分

分

ぐらい

20

20 20分

分

ぐらい

無制限

無制限?

?

(3)

困ったこと

～闘いのはじまり～

(4)

What

What’s happen?

s happen?

IPv4

IPv4アドレス追加割り振り

IPv4

アドレス追加割り振り

アドレス追加割り振り(

(おかわり

(

おかわり

おかわり)

)

2007/01: IANA2007/01: IANA2007/01: IANA2007/01: IANA⇒⇒⇒⇒APNIC APNIC APNIC APNIC … 116/8116/8116/8116/8

2007/03: APNIC2007/03: APNIC2007/03: APNIC⇒2007/03: APNIC⇒⇒(JPNIC)⇒(JPNIC)⇒(JPNIC)(JPNIC)⇒⇒当社⇒当社当社当社

生後生後生後生後3333ヶ月ヶ月ヶ月ヶ月????

到達性ボロボロ

リナンバ

リナンバNG

リナンバ

NG

(5)

こ、これが噂の

こ、これが噂のBogon

Bogon

Bogonフィルタ

フィルタ

フィルタ!?

!?

通じない・使えない！通じない・使えない！通じない・使えない！通じない・使えない！

利用開始までの手続きは問題なし利用開始までの手続きは問題なし利用開始までの手続きは問題なし利用開始までの手続きは問題なし

割振り(割振り割振り割振り(((申請申請申請/申請///審議審議審議審議))～))～～～IRRIRRIRRIRR登録～登録～登録～登録～peerpeerpeerpeerフィルタ解除～経路広告フィルタ解除～経路広告フィルタ解除～経路広告フィルタ解除～経路広告

でも一部のサイトにアクセスできないでも一部のサイトにアクセスできないでも一部のサイトにアクセスできないでも一部のサイトにアクセスできない ⇒

⇒ ⇒

⇒ ネットワークにある条件のフィルタが散在ネットワークにある条件のフィルタが散在ネットワークにある条件のフィルタが散在ネットワークにある条件のフィルタが散在

BogonBogonBogonBogon prefix = IANA Reservedprefix = IANA Reservedprefix = IANA Reservedprefix = IANA Reserved、、本来、、本来本来未使用の本来未使用の未使用の空間未使用の空間空間空間

悪用される事例多々悪用される事例多々悪用される事例多々悪用される事例多々 …

DDoSDDoSDDoSDDoSのランダムアドレススプーフのランダムアドレススプーフのランダムアドレススプーフのランダムアドレススプーフ

一時的に広報して、一時的に広報して、一時的に広報して、SPAM/一時的に広報して、SPAM/SPAM/SPAM/フィッシングフィッシングにフィッシングフィッシングにに使用に使用使用使用 →

→ →

→ IANAIANAIANAIANAからからからRIRからRIRRIRに割振りが行われるまではフィルタRIRに割振りが行われるまではフィルタに割振りが行われるまではフィルタに割振りが行われるまではフィルタ ←

← ←

← 割振りのアナウンスを見落とす割振りのアナウンスを見落とす割振りのアナウンスを見落とす割振りのアナウンスを見落とす////無視してると無視してると無視してると無視してると …

JANOG18: New IANA IPv4 allocations JANOG18: New IANA IPv4 allocations JANOG18: New IANA IPv4 allocations

JANOG18: New IANA IPv4 allocationsなアドレス利用の手引きなアドレス利用の手引きなアドレス利用の手引きなアドレス利用の手引き

資料より引用資料より引用資料より引用資料より引用

(6)

Bogon

(7)

IANA Reserved (2007/11

IANA Reserved (2007/11現在

現在

現在)

現在

)

http://www.iana.org/assignments/ipv4 http://www.iana.org/assignments/ipv4 http://www.iana.org/assignments/ipv4

http://www.iana.org/assignments/ipv4---address-addressaddress-address--space-spacespacespace

Internet Protocol v4 Address Space Internet Protocol v4 Address SpaceInternet Protocol v4 Address Space Internet Protocol v4 Address Space (last updated 2007

(last updated 2007(last updated 2007

(last updated 2007---10-1010-10--28)-28)28)28)

110/8 Sep 81 IANA 110/8 Sep 81 IANA 110/8 Sep 81 IANA

110/8 Sep 81 IANA ---- ReservedReservedReservedReserved 111/8 Sep 81 IANA

111/8 Sep 81 IANA 111/8 Sep 81 IANA

113/8 Sep 81 IANA ---- ReservedReservedReservedReserved

114/8 Oct 07 APNIC ( 114/8 Oct 07 APNIC (114/8 Oct 07 APNIC (

114/8 Oct 07 APNIC (whois.apnic.netwhois.apnic.netwhois.apnic.net)whois.apnic.net))) 115/8 Oct 07 APNIC (

115/8 Oct 07 APNIC (115/8 Oct 07 APNIC (

115/8 Oct 07 APNIC (whois.apnic.netwhois.apnic.netwhois.apnic.net)whois.apnic.net)))

116/8 Jan 07 APNIC ( 116/8 Jan 07 APNIC (116/8 Jan 07 APNIC (

116/8 Jan 07 APNIC (whois.apnic.netwhois.apnic.netwhois.apnic.net)whois.apnic.net))) (

((

(中略中略中略)中略)))

127/8 Sep 81 IANA 127/8 Sep 81 IANA 127/8 Sep 81 IANA

127/8 Sep 81 IANA ---- Reserved See [RFC3330]Reserved See [RFC3330]Reserved See [RFC3330]Reserved See [RFC3330] 128/8 May 93 Various Registries

128/8 May 93 Various Registries128/8 May 93 Various Registries 128/8 May 93 Various Registries

未使用空間

※ ※ ※ ※110/8～～～～128/8を抜粋を抜粋を抜粋を抜粋 2007/10 2007/10 2007/10 2007/10 割振り開始割振り開始割振り開始割振り開始 … 2007/92007/9までは2007/92007/9まではまではまでは

未使用空間

(8)

“

IANA Reserved

IANA Reserved”

IANA Reserved

が更新される頻度

http://www.potaroo.net/tools/ipv4/ http://www.potaroo.net/tools/ipv4/http://www.potaroo.net/tools/ipv4/ http://www.potaroo.net/tools/ipv4/

年数回

割振り

割振り=

=

= 更新

更新

(9)

Bogon

Bogonフィルタ書いちゃ悪いの

フィルタ書いちゃ悪いの

フィルタ書いちゃ悪いの?

?

正しいフィルタは有効正しいフィルタは有効正しいフィルタは有効正しいフィルタは有効((((予防保全予防保全予防保全,etc)予防保全,etc),etc),etc)

http://www.cymru.com/Documents/bogon http://www.cymru.com/Documents/bogon http://www.cymru.com/Documents/bogon

http://www.cymru.com/Documents/bogon----list.htmllist.htmllist.htmllist.html http://www.janog.gr.jp/doc/janog

http://www.janog.gr.jp/doc/janog http://www.janog.gr.jp/doc/janog

http://www.janog.gr.jp/doc/janog----comment/jc1001.txtcomment/jc1001.txtcomment/jc1001.txtcomment/jc1001.txt

問題

問題:

:

: 更新された情報に追従していない

:

更新された情報に追従していない

安直安直or安直安直oror緊急に設定or緊急に設定緊急に設定緊急に設定 … 設定の背景や意図が後世へ残りにくい設定の背景や意図が後世へ残りにくい設定の背景や意図が後世へ残りにくい設定の背景や意図が後世へ残りにくい

テンプレートを更新しない、古い情報を参照テンプレートを更新しない、古い情報を参照テンプレートを更新しない、古い情報を参照テンプレートを更新しない、古い情報を参照

現場の実情現場の実情現場の実情現場の実情

サーバ屋サーバ屋サーバ屋サーバ屋 vsvsvsvs ネットワーク屋ネットワーク屋ネットワーク屋ネットワーク屋

RouterRouterRouterRouterで通してもで通してもで通してもで通してもFirewallFirewallFirewallFirewallで閉めてるで閉めてるで閉めてるで閉めてる

アンテナの指向性違うアンテナの指向性違うアンテナの指向性違うアンテナの指向性違う((((～～NOG～～NOGNOGNOGって何って何って何って何?)?)?)?)

ド忘れ、担当者焦げ付きド忘れ、担当者焦げ付きド忘れ、担当者焦げ付きド忘れ、担当者焦げ付き

(10)

でも

…

Bogon

Bogonフィルタ痛い

Bogon

フィルタ痛い

顧客間で接続性に差が生じる顧客間で接続性に差が生じる顧客間で接続性に差が生じる顧客間で接続性に差が生じる同一顧客でもある日突然接続性が悪くなる同一顧客でもある日突然接続性が悪くなる同一顧客でもある日突然接続性が悪くなる同一顧客でもある日突然接続性が悪くなる動的アドレス割り当て動的アドレス割り当て動的アドレス割り当て動的アドレス割り当て ⇒ ⇒ ⇒ ⇒ 顧客顧客顧客(顧客(((利用者利用者)利用者利用者)))にとっては一方的な品質低下、不利益にとっては一方的な品質低下、不利益にとっては一方的な品質低下、不利益にとっては一方的な品質低下、不利益

ISPISPISPが責任を持てない範囲で問題が発生ISPが責任を持てない範囲で問題が発生が責任を持てない範囲で問題が発生が責任を持てない範囲で問題が発生

フィルタ解除してもらわないと解消しないフィルタ解除してもらわないと解消しないフィルタ解除してもらわないと解消しないフィルタ解除してもらわないと解消しない長期化長期化長期化長期化: : : 解決までに長時間を要する: 解決までに長時間を要する解決までに長時間を要する解決までに長時間を要する連絡から対応まで数週間～数ヶ月連絡から対応まで数週間～数ヶ月かかるケースも連絡から対応まで数週間～数ヶ月連絡から対応まで数週間～数ヶ月かかるケースもかかるケースもかかるケースも国内外問わず発生国内外問わず発生国内外問わず発生国内外問わず発生能動的に発見することが困難能動的に発見することが困難能動的に発見することが困難能動的に発見することが困難どこで起こるか、障害があるまで分からないどこで起こるか、障害があるまで分からないどこで起こるか、障害があるまで分からないどこで起こるか、障害があるまで分からない

(11)

これまでの議論や動向

これまでの議論や動向(1/2)

(1/2)

JANOG18@JANOG18@JANOG18@JANOG18@有明有明有明有明 2006/072006/072006/072006/07

New IANA IPv4 allocation New IANA IPv4 allocation New IANA IPv4 allocation

New IANA IPv4 allocationなアドレス利用の手引きなアドレス利用の手引きなアドレス利用の手引きなアドレス利用の手引き

河野さん、松崎さん、水口さん、吉田さんによるセッション河野さん、松崎さん、水口さん、吉田さんによるセッション河野さん、松崎さん、水口さん、吉田さんによるセッション河野さん、松崎さん、水口さん、吉田さんによるセッション事例紹介事例紹介事例紹介事例紹介フィルタされる理由、問題点フィルタされる理由、問題点フィルタされる理由、問題点フィルタされる理由、問題点対応事例対応事例対応事例対応事例情報共有と注意喚起情報共有と注意喚起情報共有と注意喚起情報共有と注意喚起フィルタ自動化方法やその事例フィルタ自動化方法やその事例フィルタ自動化方法やその事例フィルタ自動化方法やその事例

BogonBogonBogonBogonフィルタフィルタフィルタフィルタへの対応への対応への対応への対応

アクセスできなかったらアクセスできなかったらアクセスできなかったらadminアクセスできなかったらadminadminadmin----c/techc/techc/techc/tech--c--cccへへへひへひひたすら連絡ひたすら連絡たすら連絡たすら連絡

(12)

これまでの議論や動向

これまでの議論や動向(2/2)

(2/2)

RIRRIRRIRRIRによる確認による確認による確認による確認、エージング、エージング、エージング、エージング

APNIC APNIC DebogonAPNIC APNIC DebogonDebogonDebogon ProjectProjectProjectProject

RIPE/NCC: RIPE/NCC: RIPE/NCC: RIPE/NCC: DeDeDeDe----BBBBogonisingogonisingogonisingogonising New Address New Address New Address New Address BBBBloclockloclockkkssss

http:// http:// http://

http://www.ris.ripe.net/debogonwww.ris.ripe.net/debogonwww.ris.ripe.net/debogonwww.ris.ripe.net/debogon////

Paper (SIGCOMM 2007)Paper (SIGCOMM 2007)Paper (SIGCOMM 2007)Paper (SIGCOMM 2007)

TTTTesting the esting the esting the reachabilitesting the reachabilitreachabilitreachabilityyyy oofoofff (new) address space (new) address space (new) address space (new) address space,,, , Rand

Rand Rand

(13)

このへんからようやく本題ですが

このへんからようやく本題ですが…

このプログラムではこのプログラムではこのプログラムではこのプログラムでは… フィルタ解除フィルタ解除(フィルタ解除フィルタ解除((発見(発見)発見発見))のために何をしたか)のために何をしたかのために何をしたかのために何をしたか到達到達性の到達到達性の性の確認性の確認と確認確認とと確保と確保確保確保フォーカスしないことフォーカスしないことフォーカスしないことフォーカスしないこと “通通通信通信信の信の秘密のの秘密秘密秘密” 問題問題問題問題 ☆ ☆ ☆ ☆正当業務行為として確認正当業務行為として確認正当業務行為として確認正当業務行為として確認 ((((総務省総務省,総務省総務省,,,会社会社会社会社)))) 帯広で紹介されたプロトコルに沿って霞ヶ関へ！帯広で紹介されたプロトコルに沿って霞ヶ関へ！帯広で紹介されたプロトコルに沿って霞ヶ関へ！帯広で紹介されたプロトコルに沿って霞ヶ関へ！ Ref. Ref. Ref.

Ref. つぶらな瞳つぶらな瞳つぶらな瞳つぶらな瞳????で総務省で総務省で総務省で総務省 (JANOG20)(JANOG20)(JANOG20)(JANOG20)

http://www.janog.gr.jp/meeting/janog20/pg http://www.janog.gr.jp/meeting/janog20/pg http://www.janog.gr.jp/meeting/janog20/pg

http://www.janog.gr.jp/meeting/janog20/pg----soumu.htmlsoumu.htmlsoumu.htmlsoumu.html

フィルタ自動化のフィルタ自動化の話フィルタ自動化のフィルタ自動化の話話題話題題題

JANOG18JANOG18JANOG18JANOG18で詳しく紹介されてますで詳しく紹介されてますで詳しく紹介されてますで詳しく紹介されてます

あくまで

“

時間の都合上

時間の都合上”

時間の都合上

です

ご理解ください

(14)

やったこと

～拳

～拳^H

^H

^H検討と格闘～

検討と格闘～

(15)

当時の状況

生後

生後3

生後

3 3ヶ月の

3 ヶ月のprefix

ヶ月の

prefix

prefixを早く一人前にしなきゃ

を早く一人前にしなきゃ

このままでは割当てられないこのままでは割当てられないこのままでは割当てられないこのままでは割当てられない

割当てするために割振り受けた割当てするために割振り受けた割当てするために割振り受けた割当てするために割振り受けた

到達性を自分で検査してひたすら解除

到達性を自分で検査してひたすら解除(

(

(依頼

(

依頼

依頼)

)

“人並みになりましたよ

人並みになりましたよ

” と説明しなきゃ

と説明しなきゃ

定性的に定性的に定性的に定性的に

可能な限り検査可能な限り検査&可能な限り検査可能な限り検査&&&解除解除解除解除

本来の意味本来の意味本来の意味

(16)

ようは

Senior Networ Senior Networ Senior Networ Senior Networkkkk Roo RooRoo

(17)

確認にあたっての課題

確認にあたっての課題(1/2)

(1/2)

ping

pingでいいんですか

でいいんですか

でいいんですか?

?

×

○

○ TCP/UDP

TCP/UDP

(

(アプリ

アプリ

アプリ)

)

×

○

○ ICMP(ping

ICMP(ping

ICMP(ping)

)

ホントは使えてる

のに

のにNG

NG

NG判定

判定

ホントは使えて

ホントは使えてない

ない

のに

のにOK

OK

OK判定

判定

(18)

確認にあたっての課題

確認にあたっての課題(2/2)

(2/2)

どこへ

どこへ?:

?:

?: サイトによってインパクト違う

サイトによってインパクト違う

ネット広すぎ

端から端までやっちゃただの

port scan

お客様がよく使っているところは

お客様がよく使っているところは?

?

重要性重要性≠重要性重要性≠≠トラフィック量≠トラフィック量トラフィック量トラフィック量

(19)

試行方針と接続性の数値化

試行方針と接続性の数値化(1/2)

(1/2)

“アクセス

アクセス

” が多いサイトを重く見る

が多いサイトを重く見る

沢山のユーザがアクセスするサイト沢山のユーザがアクセスするサイト沢山のユーザがアクセスするサイト沢山のユーザがアクセスするサイト特定のユーザが何回もアクセス特定のユーザが何回もアクセス特定のユーザが何回もアクセス特定のユーザが何回もアクセス

IP

IPアドレス

アドレス

アドレス+

+

+ポート番号に重み付け

+

ポート番号に重み付け

重み重み重み重み = = = = アクセス回数アクセス回数アクセス回数アクセス回数同じユーザが同じユーザが同じユーザが1同じユーザが111時間以内時間以内時間以内時間以内(NN:00(NN:00～(NN:00(NN:00～～NN:59)～NN:59)NN:59)にNN:59)ににに同一サイトへ何回アクセスしても同一サイトへ何回アクセスしても同一サイトへ何回アクセスしても同一サイトへ何回アクセスしても1111カウントカウントカウントカウント

(20)

試行方針と接続性の数値化

試行方針と接続性の数値化(2/2)

(2/2)

[ [ [

[重み重み重み重み][][IPaddr:Port][][IPaddr:PortIPaddr:PortIPaddr:Port]]]] 1000: A.A.A.A:NN 1000: A.A.A.A:NN 1000: A.A.A.A:NN 1000: A.A.A.A:NN 200: B.B.B.B:NN 200: B.B.B.B:NN200: B.B.B.B:NN 200: B.B.B.B:NN 50: C.C.C.C:NN 50: C.C.C.C:NN 50: C.C.C.C:NN 50: C.C.C.C:NN 10: D.D.D.D:NN 10: D.D.D.D:NN 10: D.D.D.D:NN 10: D.D.D.D:NN 満点満点満点満点=12=12=12=1255550000点点点点得点得点得点得点=1=105=1=10505050000点点点点 [Senior] [Senior] [Senior] [Senior] ⇒ ⇒ ⇒ ⇒ OKOKOKOK ⇒ ⇒ ⇒ ⇒ OKOKOKOK ⇒ ⇒ ⇒ ⇒ OKOKOKOK ⇒ ⇒ ⇒ ⇒ NGNGNGNG [ [[ [点数点数点数点数]]]] 1000 10001000 1000 0 00 0 50 50 50 50

接続性

接続性: 1050/1250 = 84%

: 1050/1250 = 84%

[Rookie] [Rookie] [Rookie] [Rookie] ⇒ ⇒⇒ ⇒ OKOKOKOK ⇒ ⇒⇒ ⇒ NGNGNGNG ⇒ ⇒⇒ ⇒ OKOKOKOK

(21)

どーやってカウントします

どーやってカウントします?

?

ユーザトラフィックのセッション情報記録

TCP: FIN+ACK

TCP: FIN+ACKがあったら

があったら

があったら1

があったら

1 1本

1 本

本

UDP:

UDP: ペイロード見る必要あり

ペイロード見る必要あり

ペイロード見る必要あり(

ペイロード見る必要あり

(

(断念

(

断念

断念)

)

NAT log

Sampling(NetFlow

Sampling(NetFlow)

)

) パケットモニタ

)

パケットモニタ

TCP_FLAGTCP_FLAG取ってるのでフィルタ書いて抽出TCP_FLAGTCP_FLAG取ってるのでフィルタ書いて抽出取ってるのでフィルタ書いて抽出取ってるのでフィルタ書いて抽出

Non

Non-

-

-sampling

sampling

sampling パケットモニタ

パケットモニタ

(22)

評価の流れ

NetFlow Collector NAT BOX GigaLogger (non-Sample monitor)

Bogon Filter List

Access Data Score Data

TCP establish?

(23)

数字で見る

数字で見るBogon

Bogon

Bogonフィルタ

Bogon

フィルタ

ホスト数

ホスト数: 333

: 333

(TCP

(TCP(TCP

(TCP通らないけど通らないけど通らないけど通らないけどpingOKpingOKpingOKpingOKだっただっただっただった=74/333)=74/333)=74/333)=74/333)

ORIGIN AS: 92

ルーキー

(24)

ポート数分布

ポート数分布(non

(non

(non-

-

-sample, 1

sample, 1

sample, 1～

～

～1024)

～

1024)

n o n - s a m p l e n o n - s a m p l e n o n - s a m p l e n o n - s a m p l e 1 1 1 1 1 0 1 0 1 0 1 0 1 0 0 1 0 0 1 0 0 1 0 0 1 0 0 0 1 0 0 0 1 0 0 0 1 0 0 0 1 0 0 0 0 1 0 0 0 01 0 0 0 0 1 0 0 0 0 1 0 0 0 0 0 1 0 0 0 0 0 1 0 0 0 0 0 1 0 0 0 0 0 0000 3 2 3 2 3 2 3 2 6 4 6 4 6 4 6 4 9 6 9 6 9 6 9 6 1 2 8 1 2 8 1 2 8 1 2 8 1 6 0 1 6 0 1 6 0 1 6 0 1 9 2 1 9 2 1 9 2 1 9 2 2 2 4 2 2 4 2 2 4 2 2 4 2 5 6 2 5 6 2 5 6 2 5 6 2 8 8 2 8 8 2 8 8 2 8 8 3 2 0 3 2 0 3 2 0 3 2 0 3 5 2 3 5 2 3 5 2 3 5 2 3 8 4 3 8 4 3 8 4 3 8 4 4 1 6 4 1 6 4 1 6 4 1 6 4 4 8 4 4 8 4 4 8 4 4 8 4 8 0 4 8 0 4 8 0 4 8 0 5 1 2 5 1 2 5 1 2 5 1 2 5 4 4 5 4 4 5 4 4 5 4 4 5 7 6 5 7 6 5 7 6 5 7 6 6 0 8 6 0 8 6 0 8 6 0 8 6 4 0 6 4 0 6 4 0 6 4 0 6 7 2 6 7 2 6 7 2 6 7 2 7 0 4 7 0 4 7 0 4 7 0 4 7 3 6 7 3 6 7 3 6 7 3 6 7 6 8 7 6 8 7 6 8 7 6 8 8 0 0 8 0 0 8 0 0 8 0 0 8 3 2 8 3 2 8 3 2 8 3 2 8 6 4 8 6 4 8 6 4 8 6 4 8 9 6 8 9 6 8 9 6 8 9 6 9 2 8 9 2 8 9 2 8 9 2 8 9 6 0 9 6 0 9 6 0 9 6 0 9 9 2 9 9 2 9 9 2 9 9 2 1 0 2 4 1 0 2 4 1 0 2 4 1 0 2 4 ポート番号ポート番号ポート番号ポート番号出現頻度出現頻度出現頻度出現頻度 80 80 80 80 110 110110 110 135 135 135 135 443 443 443 443 554 554554 554 25 2525 25

(25)

N A T l o g N A T l o gN A T l o g N A T l o g 1 11 1 1 0 1 0 1 0 1 0 1 0 0 1 0 0 1 0 0 1 0 0 1 0 0 0 1 0 0 01 0 0 0 1 0 0 0 1 0 0 0 0 1 0 0 0 0 1 0 0 0 0 1 0 0 0 0 1 0 0 0 0 0 1 0 0 0 0 0 1 0 0 0 0 0 1 0 0 0 0 0 1 0 0 0 0 0 0 1 0 0 0 0 0 01 0 0 0 0 0 0 1 0 0 0 0 0 0 1 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0000 3 2 3 2 3 2 3 2 6 4 6 4 6 4 6 4 9 6 9 6 9 6 9 6 1 2 8 1 2 8 1 2 8 1 2 8 1 6 0 1 6 0 1 6 0 1 6 0 1 9 2 1 9 2 1 9 2 1 9 2 2 2 4 2 2 4 2 2 4 2 2 4 2 5 6 2 5 6 2 5 6 2 5 6 2 8 8 2 8 8 2 8 8 2 8 8 3 2 0 3 2 0 3 2 0 3 2 0 3 5 2 3 5 2 3 5 2 3 5 2 3 8 4 3 8 4 3 8 4 3 8 4 4 1 6 4 1 6 4 1 6 4 1 6 4 4 8 4 4 8 4 4 8 4 4 8 4 8 0 4 8 0 4 8 0 4 8 0 5 1 2 5 1 2 5 1 2 5 1 2 5 4 4 5 4 4 5 4 4 5 4 4 5 7 6 5 7 6 5 7 6 5 7 6 6 0 8 6 0 8 6 0 8 6 0 8 6 4 0 6 4 0 6 4 0 6 4 0 6 7 2 6 7 2 6 7 2 6 7 2 7 0 4 7 0 4 7 0 4 7 0 4 7 3 6 7 3 6 7 3 6 7 3 6 7 6 8 7 6 8 7 6 8 7 6 8 8 0 0 8 0 0 8 0 0 8 0 0 8 3 2 8 3 2 8 3 2 8 3 2 8 6 4 8 6 4 8 6 4 8 6 4 8 9 6 8 9 6 8 9 6 8 9 6 9 2 8 9 2 8 9 2 8 9 2 8 9 6 0 9 6 0 9 6 0 9 6 0 9 9 2 9 9 2 9 9 2 9 9 2 1 0 2 4 1 0 2 4 1 0 2 4 1 0 2 4 ポート番号ポート番号ポート番号ポート番号出現頻度出現頻度出現頻度出現頻度

ポート数分布

ポート数分布(NAT, 1

(NAT, 1

(NAT, 1～

～

～1024)

～

1024)

80 80 80 80 110 110 110 110 135 135 135 135 443 443 443 443 554 554 554 554 25 2525 25 未成立コネクションもコミコミ未成立コネクションもコミコミ未成立コネクションもコミコミ未成立コネクションもコミコミポートスキャンによるノイズフロアポートスキャンによるノイズフロアポートスキャンによるノイズフロアポートスキャンによるノイズフロア

(26)

各方式の比較

NetFlow NetFlowNetFlow NetFlowの約の約の約5の約55倍5倍倍倍 -検知実績検知実績検知実績検知実績全数全数全数全数抜き取り抜き取り抜き取り抜き取り商品依存商品依存商品依存商品依存全数検査全数検査全数検査全数検査???? 任意フィルタ任意フィルタ任意フィルタ任意フィルタ可能可能可能可能 TCP_FLAG TCP_FLAG TCP_FLAG TCP_FLAG 見て除去見て除去見て除去見て除去多い多い多い多い除去大変除去大変除去大変除去大変雑音雑音雑音雑音 NetFlow NetFlow NetFlow NetFlowより少ないより少ないより少ないより少ない我慢できる我慢できる我慢できる我慢できるとても沢山とても沢山とても沢山とても沢山 HDD HDD HDD

HDD容量容量容量/day容量/day/day/day

あまり変わらずあまり変わらずあまり変わらずあまり変わらずランク傾向ランク傾向ランク傾向ランク傾向 Non Non Non

Non----samplesamplesamplesample NetFlow NetFlow NetFlow NetFlow NAT log NAT log NAT log NAT log 雑音少ないこと雑音少ないこと雑音少ないこと雑音少ないことノイズ除去に恣意的操作必要ノイズ除去に恣意的操作必要ノイズ除去に恣意的操作必要ノイズ除去に恣意的操作必要処理を定型化したい処理を定型化したい処理を定型化したい処理を定型化したいストレージに優しいことストレージに優しいことストレージに優しいことストレージに優しいこと検知精度検知精度検知精度検知精度 ((((漏れちゃダメ漏れちゃダメ漏れちゃダメ漏れちゃダメ))))

要件

(27)

ここまでのまとめ

若い

若いprefix&Bogon

prefix&Bogon

prefix&Bogonフィルタに悩まされる

フィルタに悩まされる

お客様より先にフィルタ発見したい！！

コスト

コスト(

コスト

(

(手間

(

手間

手間+

手間

+時間

+

時間

時間)

時間

)

)パフォーマンス最適化

)

パフォーマンス最適化

フロー分析して重み付けして接続試験

NAT log,

NAT log, NetFlow

NAT log,

NetFlow

NetFlow, non

, non-

, non

-

-sample

-

sample

⇒

成果あり

⇒

(28)

あんなこと、こんなこと

establish

establishしてもダメなケース

してもダメなケース

メールサーバとか

UDP

UDPに挑戦

に挑戦

に挑戦?

?

DNS

DNS引ける

引ける

引ける/

引ける

/

/引けないは大きい

/

引けないは大きい

TCP

TCPみたいに

みたいに

みたいに3way

みたいに

3wayハンド

3way

ハンド

ハンドシェ

シェ

シェイクで

イクで

判

判断できない

断できない

成

成立

成

立

立してるかどうかは

してるかどうかは応答

してるかどうかは

応答

応答見なきゃ

見なきゃ

(29)

フィルタと到達性

～議論編～

(30)

結局何をしたのか

結局何をしたのか?

?

到達性の確認、確保

通じ

通じる

通じ

る

る?

? 通じ

?

通じ

通じない

ない

ない?

?

通じ

通じなかったら

通じ

なかったら

なかったら通じ

通じるまで

通じ

るまで

るまで頑張

るまで

頑張

頑張る

頑張

る

… 先

先

先方

方

方が

が

が開通作業

開通作業するまで

開通作業

するまで

するまで通じ

通じ

通じない

ない

次から次へと

確認

確認しても問い合わ

確認

しても問い合わ

しても問い合わせゼ

せゼロになら

せゼ

ロになら

ロにならず

ず

生後

生後1

生後

1

1 1年

年

年経

年

経

経っても

っても通じ

っても

通じ

通じないところ

通じ

ないところ

ないところ有

有

有り

有

り

フィルタ自動化以外にも

…

ア

アプ

ア

プ

プリフィルタ

リフィルタ

リフィルタ⇒

⇒

⇒TCP

TCPの

TCP

の

の確認

確認

確認必

必須

必

須

須?

?

サーバ

サーバオ

サーバ

オ

オペレータへのリー

オ

ペレータへのリー

ペレータへのリーチ

チ

(31)

会場の皆さんに質問

会場の皆さんに質問(1)

(1)

Q

Q. .

.

. 到達性の

到達性の

到達性の確認

確認

確認って

って

必要だと

必要だと思

思

思いますか

いますか

いますか?

?

? やろうと

やろうと思

やろうと

思

思いますか

いますか

いますか?

?

IPv6 IPv6 IPv6 ホIPv6 ホホホワワワワイトイトリイトイトリリリストで書いてるストで書いてるストで書いてる? ストで書いてる? ? ?

IPv4IPv4IPv4枯渇IPv4枯渇枯渇枯渇⇒⇒再⇒⇒再再再割り振り割り振り割り振り(割り振り(前オ((前オ前オ前オーーーーナナーのナナーのーのーのお行儀お行儀お行儀お行儀))))

自分自分自分自分で書いたフィルタにで書いたフィルタにで書いたフィルタにで書いたフィルタにrejectrejectさrejectrejectさされるされるれる?れる???

クラスフルクラスフルクラスフル(/8,/16,/24)クラスフル(/8,/16,/24)(/8,/16,/24)(/8,/16,/24)でフィルタでフィルタでフィルタでフィルタささされてされて巻れてれて巻巻き巻きき添き添添添ええええ

4b4b4b4byyyyteASteASでteASteASでで広報で広報広報広報したときの到達性したときの到達性したときの到達性したときの到達性

ババババグをきっかけにフィルタグをきっかけにフィルタグをきっかけにフィルタグをきっかけにフィルタ広広広広まるまるまるまる

(32)

会場の皆さんに質問

会場の皆さんに質問(2)

(2)

Q

Q. .

. Bogon

.

Bogon

Bogonフィルタを

Bogon

フィルタを

フィルタをプ

フィルタを

プ

プリセットしてる

プ

リセットしてる

デ

ディストリ

ィストリ

ィストリビュ

ビュ

ビュー

ビュ

ー

ーショ

ショ

ション

ショ

ンor

ン

or

orツ

ツ

ツール知りま

ール知りません

ール知りま

せん

せん?

?

NGNGNGNGサイトでサイトでサイトでサイトでCentOSCentOSCentOSCentOSななapacheななapacheapacheapacheよよよよくくくく見かける見かける見かける見かける

単単単にシ単にシにシにシェェェェアア高アア高高高いからいからいからいから? ? ? ?

shorewallshorewallshorewallshorewall プロジプロジプロジプロジェェェェクトクトクトクト

そそそそのののの筋筋筋筋のサーのサーバ上げのサーのサーバ上げバ上げバ上げるるるるテテテテンプレンプレンプレンプレ追従追従追従追従してないしてないしてない?してない??、?、更新遅、、更新遅更新遅更新遅いいいい???? 個人個人個人個人サーサーサーバサーババでバででリでリリーリーチーーチチできチできできずできずに開通にずずに開通にに開通に苦労に開通に苦労苦労苦労

Q

Q. .

. サーバ

.

サーバ

サーバオ

サーバ

オ

オペレータさ

オ

ペレータさん

ペレータさ

ん

んへ情報

ん

へ情報

へ情報届

へ情報

届

届けるために

届

けるために

良

良い

い

い連絡

連絡

連絡先は

連絡

先は

先は?

?

今今今今はははは********NOGNOGにNOGNOGにに偏に偏偏偏ってるようなってるようなってるようなってるような …

(33)

LIR

LIRによる確認

による確認

JANOG18 JANOG18 JANOG18

JANOG18以降の成果以降の成果以降の成果以降の成果 … ((((NTT.comNTT.comNTT.comNTT.com吉田さん提案吉田さん提案吉田さん提案吉田さん提案)))) http://www.ris.ripe.net/cgi

http://www.ris.ripe.net/cgi http://www.ris.ripe.net/cgi

http://www.ris.ripe.net/cgi----bin/debogon.cgibin/debogon.cgibin/debogon.cgibin/debogon.cgi

テストネットワークテストネットワークテストネットワークテストネットワークから任意の宛先へから任意の宛先へから任意の宛先へから任意の宛先へ ping&traceroute ping&traceroute ping&traceroute ping&traceroute

(34)

LIR

LIRによる確認をもっと実用的に

による確認をもっと実用的に

による確認をもっと実用的に(

(

(案

案

案)

案

)

RIPE/NCC

RIPE/NCC debogon

debogon

debogonツールを拡張

debogon

ツールを拡張

接続先リスト

接続先リスト(

(

(IPaddr:port

(

IPaddr:port

IPaddr:port)

IPaddr:port

)を

)

を

をUP

UP

UPL

L

LOAD

OAD

確認

確認した

確認

した

した結

した

結果を

結

果を

果を返送

果を

返送

⇒

⇒おかわりする前に

おかわりする前に

おかわりする前にISP

おかわりする前に

ISP

ISP自身で

ISP

自身で

アプリレベルの到達性を確認

※

※悪用されると攻撃ツールになるので

悪用されると攻撃ツールになるので

LIR

LIR限定、要認証

限定、要認証

限定、要認証?

限定、要認証

?

確認したい先

… いっぱい

いっぱい

(35)

謝辞

道道道道を開いてを開いてを開いてを開いてくくくくれたれたれたれた Flow Inspection Project Flow Inspection Project Flow Inspection Project Flow Inspection Project ののの皆様の皆様皆様皆様

総務省総務省総務省総務省電気電気電気電気通通信事業部通通信事業部信事業部信事業部のののの皆様皆様皆様皆様

漢漢漢漢らしいらしいらしいらしい箱箱を箱箱をををあああありがとうりがとうりがとうりがとう uuu10Networu10Networ10Network10Networks kks s s 様様様様

V V V

VIIIVIVVVAAA!A!!! GigaLogger1000 GigaLogger1000 GigaLogger1000 GigaLogger1000

JANOG21JANOG21JANOG21ミーJANOG21ミーミーミーテティングスタッフのテティングスタッフのィングスタッフのィングスタッフの皆様皆様皆様皆様

今回の発表にあたり、ご助力・ご助言いた

だいた皆様に心より御礼申し上げます。

フィルタ解除に応じて下フィルタ解除に応じて下フィルタ解除に応じて下フィルタ解除に応じて下さささったさったオペったったオペオペレータのオペレータのレータの皆様レータの皆様皆様皆様

会