BGPの経路変動とRPKI検証結果の突合による、判断根拠を追跡できる異常検知の設計
研究計画。BGPの変動とRPKIの検証結果を突き合わせ、なぜ怪しいと判断したのかを人が追える形にできるかを問う
インターネットのAS間の経路は、計画的な変更、障害からの復旧、流量の調整、設定の誤りなど、さまざまな理由で動く。RPKI による経路の出所の検証は重要な材料だが、経路全体の正常さを一つの正誤で説明するものではない。そこでこの研究では、観測された経路の変更に複数の根拠を付けて示す仕組みを設計し、その根拠が人に追える形になるかを問う。侵入の検知ではなく、経路情報の信頼性と変化の解釈が中心である。実際のインターネットへ研究目的の経路広告は行わない。本ページは計画であり、実験はまだ行っていない。以下に実測値は無い。
| 方法 | 公開されている経路収集点由来の観測データを使う場合は利用条件を確認したうえで用い、別に FRRouting 等で隔離した AS の構成を作り、正常な経路変更、回線の故障、出所の変更、取り消しの集中を安全に再現する。実験は三つに分ける。第一に、一定期間の公開観測から日常的な変動の分布を測る。第二に、隔離した構成で原因が分かっている経路の出来事を作り、正解付きで特徴量の反応を見る。第三に、観測点を一つ、二つ、複数へ増やし、判断がどれだけ安定するかを比べる。保存するのは時刻、収集点、prefix、出所の AS 番号、AS 経路の長さとその要約、広告か取り消しか、RPKI の状態、複数の出所が現れたかの印、単位時間あたりの更新回数、収束にかかった時間である。 |
|---|---|
| 結果 | 実験前である。本ページに実測値は無い。「予想」として書いたものは検証前の仮説であって、測定の結果ではない。 |
| 知見 | 中心の問いは、経路の異常を早く見つけることではなく、なぜ怪しいと判断したのかを人が追えるかにある。運用の現場で経路に手を入れるかどうかを決めるのは人であり、根拠を追えない警告は、正しくても使えない。だから評価の指標に、気づくまでの時間だけでなく、判断のうち根拠を示せたものの割合を入れる。 |
| 限界 | 公開された観測データの偏りと、収集点の置かれ方に依存すること。隔離した構成の規模と実際のインターネットの差。RPKI の普及の度合いが時期によって変わること。正常な経路変動そのものが時間とともに変わること。研究用に作った出来事が、未知の経路異常を代表しているとは限らないこと。研究チームが2名であるため、初めに扱う対象を絞る必要があること。 |
状態：実験前。この記事は研究の目的と方法を先に公開するための記録である。数値はまだ一つも出ていない。以下に「予想」と書いたものはすべて検証前の仮説であり、実測値として扱わない。
「更新が多いから異常」をやめる
インターネットの AS 間の経路は BGP で交換される。経路の監視では、更新の数が増えたことを異常の合図として扱うことがある。しかしこれは弱い。同じだけ経路が動いていても、理由はいくつもあるからである。計画された経路の変更、障害からの復旧、流量の調整、設定の入れ替え。どれも更新の数を増やす。
RPKI による出所の検証は、これとは別の角度から材料をくれる。ある prefix をその AS が広告してよいのか、という問いに答える。ただし、これも一つの答えしか返さない。有効か無効かという一語は、経路全体が正常かどうかを説明するものではない。有効と出ていても怪しい変動はあるし、無効と出ていても計画された変更であることはある。
そこでこの研究は、単一の正誤判定を作るのをやめる。代わりに、観測された経路の変更に対して複数の根拠を付けて並べる仕組みを設計する。
四つの問い
- RPKI の状態だけでは説明できない経路の変動は、どれくらいあるのか。
- 更新の集中、AS 経路の変化、複数の出所が同時に現れること、取り消しなどを組み合わせると、経路の出来事を種類ごとに分けられるようになるか。
- 複数の収集点から見ると、一つの収集点だけで判断した場合とどれだけ差が出るか。
- なぜ危険度が上がったのかを、人が追える形にできるか。
三番目は見落とされやすい。経路の観測は、どこから見ているかで違って見える。一つの収集点から異常に見えたものが、別の収集点からは何事もなく映ることがある。その食い違いの大きさ自体を測る。
四番目が、この研究の主題である。
三つの実験
| 実験 | 使うもの | 分かること |
|---|---|---|
| A | 一定期間の公開観測 | 日常的な変動の分布。何が「普通」なのか |
| B | 隔離した AS の構成 | 原因が分かっている出来事に、特徴量がどう反応するか |
| C | 観測点を1・2・複数へ | 見る場所によって判断がどれだけ揺れるか |
A だけでは正解が無く、B だけでは現実の分布が分からない。両方が要る。実際のインターネットへ研究目的の経路広告は一切行わない。公開された観測データか、隔離したシミュレータの中だけで行う。
比べる四条件
- 更新の回数だけ
- RPKI の状態だけ
- 時系列の特徴
- 時系列と RPKI の状態を突き合わせる
検証したい見立ては、時系列と検証状態を合わせるとどちらか一方だけより成績が上がること、異常の種類ごとに効く手がかりが違うこと、そして説明できる規則と統計的な検知器を組み合わせたほうが運用の判断には向くこと、の三つである。
気づくまでの時間だけでは測らない
経路の研究では、異常を何秒で見つけたかが主な指標になりやすい。この研究ではそれを主指標にしない。並べて測るのは次のものである。
- 複数の収集点の間で、経路の状態についての見解がどれだけ一致するか
- 出来事を種類ごとに分けたときの正しさ
- 観測している期間あたり、誤って警告した回数
- 収束にかかる時間の見積もりの誤差
- 収集点どうしの食い違いの大きさ
- 判断のうち、根拠を示せたものの割合
最後の一つが、この研究に固有の物差しである。速く見つけても、なぜそう判断したのかを示せなければ、人は動けない。
RPKIは何を言い、何を言わないか
「一つの正誤で決めない」と言うためには、その正誤が何を述べているのかを先に確かめておく必要がある。RPKIの一連の標準は、役割が分かれている。
| 標準 | 述べていること |
|---|---|
| RFC 6480 | 経路の出所を検証するための基盤そのものの構成 |
| RFC 9582 | どのASがどのprefixを広告してよいかを署名した記録の形式 |
| RFC 6811 | その記録を実際の経路に当てて、有効・無効・不明のいずれかを返す手順 |
| RFC 8205 | 出所だけでなくAS経路そのものに署名を与える仕組み |
つまり有効・無効という一語が述べているのは出所の妥当性までであり、経路の途中で何が起きたかではない。経路全体を扱う仕組みは定義されているが、広く使われているとは言いがたい。この研究が根拠を束にするのは、標準が不足しているからではなく、一つの標準が答える問いと、運用者が抱えている問いが違うからである。
予想（まだ測っていない）
RPKI だけでは説明できない経路の異常と、時系列だけでは誤って騒いでしまう正当な変更の、両方が存在すると考えている。そうであれば、突き合わせる方式に利点が出る。ただし、その利点が根拠の分かりにくさと引き換えになるなら、運用では採れない。だから根拠を示せた割合を同時に見る。
この節は仮説である。実験の後に、実測値、図表、区間推定、誤りの分析へ置き換える。
思った通りにならなくても価値がある結果
込み入った危険度の計算が、RPKI と単純な規則の組み合わせを上回らなかった場合、それ自体が重要な結果である。とくにどの情報を足しても判断が良くならないかを示せれば、経路の安全のために過剰な仕組みを組むことを避ける根拠になる。この研究では、そちらに転んだ場合もそのまま公開する。
作るもの
- 経路の信頼を分析する仕組み
- BGP の出来事を共通の形にそろえる部品
- RPKI の検証結果を取り込む部品
- 時系列を並べて見せる画面
- 再現できる小規模な AS のシミュレーション
限界
- 公開された観測データの偏りと、収集点の置かれ方への依存
- 隔離した構成の規模と、実際のインターネットとの差
- RPKI の普及の度合いが時期によって変わること
- 正常な経路変動そのものが時間とともに変わること
- 研究用に作った出来事が、未知の経路異常を代表しているとは限らないこと
- 研究チームが2名であるため、初めに扱う対象を絞る必要があること
参考文献
- Lepinski, M., Kent, S. An Infrastructure to Support Secure Internet Routing. RFC 6480, 2012. DOI: 10.17487/RFC6480.
- Mohapatra, P., Scudder, J., Ward, D., Bush, R., Austein, R. BGP Prefix Origin Validation. RFC 6811, 2013. DOI: 10.17487/RFC6811.
- Snijders, J., Maddison, B., Lepinski, M., Kong, D., Kent, S. A Profile for Route Origin Authorizations (ROAs). RFC 9582, 2024. DOI: 10.17487/RFC9582.
- Lepinski, M., Sriram, K. BGPsec Protocol Specification. RFC 8205, 2017. DOI: 10.17487/RFC8205.
- NIST, Trustworthy Intelligent Networks（AI/ML による BGP 経路異常の検知を研究対象に含む）。
上の四件は実物の書誌を確認した。実験の開始時に、利用する経路収集点の技術文書を追加する。