1. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team
これからのネットワーク
セキュリティの武器としての
BGP Flowspec
ShowNetがみせる

2. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 2
ネットワークセキュリティ多層防御の重要性
• SPAM, ウィルスメール
• SSHブルートフォースアタック
• OSやミドルウェア等脆弱性を
ついた攻撃
• インターネットから受ける/
発信されるDoSアタック
• DNS/NTP等のampアタック
トラフィックボリューム：比較的大
第三者通信への影響：比較的大
トラフィックボリューム：比較的少
第三者通信への影響：比較的少
バックボーンネットワークでの防御 エッジでのFW, IPS,
セキュリティソフト等での防御

3. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 3
ShowNet2015セキュリティ実装の全体像
Internet
Exchange
Transit
出展社
端末
サーバ
アクセスバックボーンExternal
ISP Free Mitigation
SDN IX
BGP Flowspec
NFV Mitigation
←ココ！

4. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 44
ISP Free Mitigation
SDN-IX
BGP Flowspec +
緩和装置
NFV

5. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 5
BGP Flowspec(RFC5575)とは？
• BGPでACL設定を網内のルータ群に配布可能
従来のACL設定は BGP Flowspecを使用
1台1台設定が大変・・ セキュリティアプライアンスとの連携も容易
RR
BGP

6. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 6
従来のDDoS防御手法
Internet
Exchange
Transit
攻撃者
Route Reflector
xFlowコレクタ
RTBH(Remotely Triggered Black Hole Filtering)による方法
被害者正常者

7. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 7
従来のDDoS防御手法
Internet
Exchange
Transit
Route Reflector
xFlowコレクタ被害者
攻撃者
正常者
宛先IPアドレス単位での制御 → 正常な通信もストップしてしまう

8. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 8
BGP Flowspec(RFC5575)
• BGPのNLRIにきめ細やかな情報を追加しルータにイ
ンストール。これによりルーティングとACLの融合
が可能に。
Type 1 - Destination Prefix
Type 2 - Source Prefix
Type 3 - IP Protocol
Type 4 - Source or Destination Port
Type 5 - Destination Port
Type 6 - Source Port
Type 7 - ICMP Type
Type 8 - ICMP Code
Type 9 - TCP flags
Type 10 - Packet length
Type 11 - DSCP
Type 12 - Fragment

9. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 9
BGP Flowspec(RFC5575)
• マッチしたパケットに対するアクションは、以下を
指定可能。
・ Rate-limit
・ Drop (Rate-limit=0を指定)
・ VRFへのリダイレクト
・ DSCPマーキング
・ サンプリング/ロギング

10. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 10
BGP Flowspecによる防御
Internet
Exchange
Transit
Route Reflector
xFlowコレクタ被害者
攻撃者
正常者
攻撃者の情報と正常者の情報を分けてフォワーディング
Dest IP: a.a.a.a
Source IP: b.b.b.b
Dest port: 80
Source port :1900
Dest IP: a.a.a.a
Source IP: c.c.c.c
Dest port: 80
Source port :2345
BGP Flowspec対応

11. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 11
ShowNetでの取り組み#1
• 各ルータの基本実装を検証
Cisco ASR9900
Huawei NE5000E
Juniper MX480TestCenter
By 東陽テクニカ様
TestCenter
処理済パケット
※ TestCenterは実際は1台です。
BGP

12. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 12
テスト結果イメージ

13. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 13
テスト結果イメージ
経路広告から転送処理反映までの時間
細かい挙動の違いはあるものの、総じて問題ないことを確認

14. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 14
ShowNetでの取り組み#2
• xFlowによりDDoSの発生を瞬時に検出
• BGP Flowspecにより、自動でフィルタルールを生成
• セキュリティアプライアンスにトラフィックをリダ
イレクト
• 悪意のあるトラフィックを遮断

15. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 15
デモンストレーション
〜デモ設定〜
疑似攻撃者
Webサーバ
(victim)
DDoS緩和装置
Cisco ASR9900
Huawei NE5000E
Juniper MX480
トラフィック情報
(xFlow)
攻撃検知
BOTへの指示
GEIKO:C&C
BOTへの指示
①
Route-Reflector
DDoS攻撃
DDoS攻撃
Juniper vMX
!?
正常通信

16. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 16
疑似攻撃者
Webサーバ
(victim)
DDoS緩和装置
Cisco ASR9900
Juniper MX480
攻撃検知
BOTへの指示
GEIKO:C&C
BOTへの指示
①
Route-Reflector
DDoS攻撃
DDoS攻撃
Juniper vMX
Huawei NE5000E
flowspec
経路広告
②
デモンストレーション
〜対処シナリオ〜
③
♪
正常通信
攻撃のみを除去し、
正常通信は戻す④
VRF
リダイレクト

17. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 17
デモンストレーションをごらんください

18. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 18
Thank you