成果介紹：一種AS-IP宣告關(guān)系真實性評估方法研究
相關(guān)鏈接： 中國安全網(wǎng) 中國質(zhì)量網(wǎng) 中國論文網(wǎng) 中國資訊網(wǎng)
作者：鄭曉敏
互聯(lián)網(wǎng)是由很多計算機網(wǎng)絡(luò)組成的一個全球網(wǎng)絡(luò)。它起源于1969年美國國防部高級研究計劃署( DARPA)創(chuàng)建的ARPANET，創(chuàng)建初期僅含4個節(jié)點。經(jīng)過四十多年的發(fā)展，互聯(lián)網(wǎng)已經(jīng)成為對人類社會影響深遠的復雜網(wǎng)絡(luò)�，F(xiàn)在的互聯(lián)網(wǎng)是一個融合計算機技術(shù)和通信技術(shù)的產(chǎn)物，充當各類現(xiàn)代商業(yè)活動的基礎(chǔ)平臺以及各類學術(shù)與交流活動的通信媒介。它改變了人類通信、工作、購物等活動方式，已經(jīng)與人們的生活緊密地結(jié)合在一起�；ヂ�(lián)網(wǎng)是現(xiàn)代信息社會的重要基礎(chǔ)設(shè)施。然而，作為互聯(lián)網(wǎng)的基礎(chǔ)設(shè)施，域間路由系統(tǒng)卻面臨著許多潛在的安全威脅。近年來，互聯(lián)網(wǎng)的域間路由系統(tǒng)發(fā)生了多起路由安全事件，對整個互聯(lián)網(wǎng)造成了很大的影響。例如，2008年2月，巴基斯坦電信錯誤地宣告了本屬于Youtube的IP地址前綴208.65.15.0/24，導致全球一半以上的用戶無法訪問Youtube近兩小時；2012年11月6日凌晨，Google的公用DNS( 8.8.8.8)被Moratel公司劫持，導致Google所有的服務(wù)在半個小時內(nèi)無法使用；2014年11月，由于中國電信的配置失誤，導致俄羅斯國內(nèi)流量不停地被轉(zhuǎn)發(fā)至中國。這些事件引起工業(yè)界和學術(shù)界的極大關(guān)注，已成為互聯(lián)網(wǎng)領(lǐng)域的研究熱點之一。
邊界網(wǎng)關(guān)協(xié)議(BGP)是互聯(lián)網(wǎng)中廣泛使用的域間路由協(xié)議，其主要作用是將互聯(lián)網(wǎng)中的獨立自治系統(tǒng)(AS)相互連接。作為互聯(lián)網(wǎng)的核心協(xié)議，BGP本身卻存在許多安全問題。BGP沒有有效機制能夠證明宣告某個IP地址前綴的AS是此IP地址前綴的擁有者，如果一個AS宣告了并不屬于它的IP地址前綴，則發(fā)生了IP地址前綴劫持。對近幾年國內(nèi)及國外公開路由數(shù)據(jù)進行分析發(fā)現(xiàn)，BGP網(wǎng)絡(luò)中存在大量的IP地址前綴劫持異常，這些IP地址前綴劫持異常對于互聯(lián)網(wǎng)安全來說是一種很大的威脅。劫持者可以通過對IP地址前綴的劫持進行多種方式的攻擊：如果把通往正確地點的流量導向非法網(wǎng)絡(luò)，可以實現(xiàn)流量吸附攻擊；如果將合法流量吸引過來丟掉，就實現(xiàn)了路由黑洞攻擊。以上兩種攻擊可以對特定網(wǎng)站的可達性實施干擾、抑制和阻斷。如果劫持者偽造合法網(wǎng)站的IP地址，在偽造路由的輔助下（否則數(shù)據(jù)不能雙向交互）則可以實現(xiàn)比假冒域名更高級的、更隱蔽的Web網(wǎng)站釣魚，造成用戶私密信息的泄露。
找到一種方法有效發(fā)現(xiàn)和判定lP地址前綴劫持顯得尤為重要。為此，本文提出一種AS-IP宣告關(guān)系真實性評估方法．并通過真實的路由數(shù)據(jù)驗證了方法的有效性。1 lP地址前綴安全研究現(xiàn)狀
前綴劫持在互聯(lián)網(wǎng)中造成了很大的安全危害，但長久以來并未有好的解決辦法。造成IP地址前綴劫持很難發(fā)現(xiàn)的原因主要有以下兩個方面：1）對于受到前綴劫持影響的AS，當且僅當被劫持的IP地址前綴傳遞到它所在的AS域才能發(fā)現(xiàn)前綴劫持，但提供商出于自身利益會優(yōu)先選擇客戶路由，所以受到前綴劫持影響的AS很難發(fā)現(xiàn)前綴劫持；2）對于網(wǎng)絡(luò)中的其他AS，由于邊界網(wǎng)關(guān)協(xié)議BGP）缺乏安全機制驗證IP地址前綴的宣告者是否確實擁有此地址，從而導致這些AS即使接收到劫持路由，也無法判斷是否確實發(fā)生了前綴劫持。針對以上原因，前綴劫持防范也采取了不同的手段，一種是對協(xié)議本身增加有效的安全機制，利用協(xié)議對AS-IP宣告關(guān)系進行認證；另一種是實施路由安全監(jiān)測，通過監(jiān)測整個網(wǎng)絡(luò)實現(xiàn)對IP地址前綴的保護。
1.1 BGP安全框架
目前BGP安全框架主要包括兩種，一種是通過密碼學原理對BGP協(xié)議進行拓展加密，用來驗證BGP路由的正確性。這類框架主要有S-BGP、soBGP和ps-BGP。另一種則是以pg BGP和IRv為代表的輕量級路由安全協(xié)議拓展機制。
S-BGP是BBN公司于2000年提出的一種BGP協(xié)議安全拓展機制，它主要使用公鑰證書與數(shù)字簽名技術(shù)來驗證BGP路由的正確性。S-BGP采用集中式的層次信任模型，并設(shè)計了兩套樹狀PKI( public key infrastructure)結(jié)構(gòu)：一套用于發(fā)放地址前綴所有權(quán)證書，另一套則用于發(fā)放BGP路由器實體證書和自治系統(tǒng)號（AS號）聽有權(quán)證書。soBGP由White等人提出，與S-BGP類似．-oBGP也基于PKI認證，但它只定義了一套PKI一與S-BCP的分層PKI結(jié)構(gòu)不同，soBGP采用Web-of-Trust模型，這使得PKI更容易部署。ps-BGP由Wan等人于2005年提出，它定義了一個前綴聲明列表用來存儲自己及其鄰居AS宣告的IP地址前綴，通過對鄰居的前綴聲明列表進行查詢來判讀AS宣告路由信息的真實性。
以上基于加密的BGP安全框架由于實現(xiàn)復雜以及路由器開銷大等原因并沒有得到大量部署，因此相對簡單的多協(xié)議安全機制被相繼提出，如pg BGP、IRV等。pg BGP由Ka rlin等人于2005年提出。pg BGP認為在一段時間內(nèi)穩(wěn)定的路由為正常路由，并且信任此路由；若路由在短時間內(nèi)不穩(wěn)定，則此路由是可疑路由。只有當它穩(wěn)定出現(xiàn)一段時間后，才能將它置為正常。IRV由Goodell等人于2003年提出。IRV的主要思路是構(gòu)建一個增量查詢服務(wù)器來實現(xiàn)對其他AS的策略查詢。對于每個AS，IRV都需要設(shè)立一個增量查詢服務(wù)器，用來確保其他AS可以查詢到其配置策略，而這些查詢服務(wù)器同時也形成了一個分布式查詢系統(tǒng)。這些輕量級路由安全協(xié)議拓展機制雖然減少了路由器的開銷，但安全性也隨之降低。
綜上所述，無論是基于加密的安全框架還是非加密的安全框架都沒有得到廣泛部署。造成這些問題的主要原因是這些機制都需要對原有的BGP協(xié)議進行更改，在BGP協(xié)議廣泛使用的今天，這些方式代價過于高昂，并且很難被廣大ISP所接受。為此，更多研究人員開始關(guān)注BGP安全監(jiān)測技術(shù)的研究。相比于BGP安全框架，BGP安全監(jiān)測不需要修改原有路由協(xié)議，只需要布置相應(yīng)的監(jiān)測節(jié)點，因而得到廣泛應(yīng)用。
1.2 BGP路由監(jiān)測
相比于路由安全協(xié)議拓展機制的難以部署，路由監(jiān)測系統(tǒng)以其不用修改BCP協(xié)議的優(yōu)點得到了廣泛的使用。路由監(jiān)測系統(tǒng)通過建立一個分析服務(wù)器對采集到的整個網(wǎng)絡(luò)的路由表進行分析，可以有效檢測出整個網(wǎng)絡(luò)的多種路由異常，通過對網(wǎng)絡(luò)管理員及時反饋路由異常可以極大減小路由異常對整個網(wǎng)絡(luò)的危害。
國內(nèi)外學者針對BGP路由監(jiān)測已經(jīng)做了一些研究工作，如Oregon大學的RouteViews項目㈣、RIPE RIS項目、Telstra公司的CIDR報告、Cymru公司的Bogon路由服務(wù)器項目、Renesys公司的路由智能服務(wù)、LixiaZhang等開發(fā)的PHAS系統(tǒng)以及OpenDNS公司提供的BGP Mon服務(wù)。RouteViews項目提供了全球的路由信息數(shù)據(jù)，并通過一個可視化工具BGPlay來動態(tài)顯示在給定的時間段內(nèi)到某一前綴的路由變化情況；RIS項目從不同的采集節(jié)點采集了世界范圍內(nèi)的路由信息，以供學術(shù)研究或其他用途；Bogon路由服務(wù)器項目可以發(fā)現(xiàn)出現(xiàn)在公共
路由表中的私有或未分配前綴；PHAS系統(tǒng)可以監(jiān)測IP地址前綴所有權(quán)宣告的變化，并通過電子郵件通知注冊用戶，然而PHAS系統(tǒng)只提供對較少類型異常的監(jiān)測，并且依賴已注冊的信息，對于注冊信息沒有涉及的內(nèi)容則不進行監(jiān)測；BGP Mon從RouteViews和RIS獲得BGP update和RIB Table數(shù)據(jù)，使用PHAS系統(tǒng)進行分析，實時提供被劫持的前綴以及不應(yīng)該出現(xiàn)在路由表中的AS，并且將檢測結(jié)果在世界各地的分布情況進行可視化。
國內(nèi)對域間路由監(jiān)測的研究比國外稍晚一些，主要的監(jiān)測系統(tǒng)有清華大學唐敏等設(shè)計的Argus路由監(jiān)控分析系統(tǒng)和國防科學技術(shù)大學的RouSSeau系統(tǒng)。Argus采用被動監(jiān)聽方式獲取實時的BGP和OSPF路由信息作為底層分析數(shù)據(jù)，實現(xiàn)了域間、域內(nèi)拓撲的實時發(fā)現(xiàn)和自動生成，并能夠利用分析技術(shù)生成相應(yīng)的網(wǎng)絡(luò)性能基本指標，如路由消息流量分布圖、BGP收斂時間等。但該系統(tǒng)僅能粗略反映指定時間區(qū)間內(nèi)的路由變化分布，并不能精確反映網(wǎng)絡(luò)運行狀況，并且其工作重心在于網(wǎng)絡(luò)的運行維護與前綴劫持的監(jiān)測，并沒有對路由中出現(xiàn)的路徑異常進行監(jiān)測。ReaSSeau系統(tǒng)分析從國內(nèi)采集的路由表和路由報文，從中發(fā)現(xiàn)可能存在的路由異常，并將異常統(tǒng)計結(jié)果和詳細信息可視化。目前，RouSSeau系統(tǒng)能夠提供對IPv4的支持，在具體的異常定義方面還有待改善。
1.3 AS-IP匹配關(guān)系
路由監(jiān)測系統(tǒng)雖然得到廣泛部署及應(yīng)用，但其運行需要一個準確的知識庫作為異常監(jiān)測的標準，知識庫的正確性直接決定了監(jiān)測結(jié)果的正確性。由于沒有一個權(quán)威機構(gòu)能夠提供AS-IP的準確的匹配關(guān)系，導致路由監(jiān)測系統(tǒng)的發(fā)展受到了阻礙。
互聯(lián)網(wǎng)上AS號及IP地址由IANA統(tǒng)一進行管理，并由AfriNIC、APNIC、ARIN、LACNIC、RIPE NCC進行分配。由于商業(yè)關(guān)系的復雜性，IP地址及AS號的所有者的變換并不能及時反饋到地址管理部門，使得通過管理機構(gòu)構(gòu)建AS-IP的準確匹配關(guān)系非常困難。AS-IP匹配關(guān)系的獲取國內(nèi)外均有研究。Fixedorbitr211提供AS-IP匹配關(guān)系的查詢，但其準確性有待驗證。CAIDA提供了AS-IP宣告關(guān)系的下載，利用RouteViews項目中的單個路由表實時更新宣告關(guān)系，但不能提供準確的匹配關(guān)系。燕強提出了一種基于穩(wěn)定度的可信關(guān)系獲取方法，根據(jù)歷史路由的宣告信息生成時間序列，并計算穩(wěn)定度，但此方法的效果受到監(jiān)測節(jié)點選取的影響，生成的可信關(guān)系可能存在誤判。
本文針對以上研究的不足，基于Rousseau路由監(jiān)測系統(tǒng)的知識庫構(gòu)建需求，提出了一種基于空間一致性和時間穩(wěn)定性的AS-IP宣告關(guān)系真實性評估方法，對域間路由網(wǎng)絡(luò)中的AS-IP宣告關(guān)系進行真實性驗證，通過時空多維度的穩(wěn)定度計算避免部分監(jiān)測節(jié)點因受到前綴劫持的影響而造成的數(shù)據(jù)不準確。
2 AS-IP匹配關(guān)系知識庫構(gòu)建
本文構(gòu)建AS-IP匹配關(guān)系知識庫主要通過運營商提供及宣告關(guān)系提取兩種方式進行。
1)運營商提供AS-IP匹配信息
域間路由監(jiān)測系統(tǒng)主要為互聯(lián)網(wǎng)中的眾多運營商提供服務(wù)，域間路由監(jiān)測系統(tǒng)對運營商的特定網(wǎng)絡(luò)的前綴劫持監(jiān)測需要運營商提供AS-IP匹配信息。運營商也很關(guān)心自己所擁有的IP地址前綴以及途經(jīng)自己AS的網(wǎng)絡(luò)路徑是否安全，因此運營商提供的AS-IP匹配信息可以認為是準確的AS-IP匹配關(guān)系，可直接添加至可信數(shù)據(jù)庫，供監(jiān)測分析使用。
2) AS-IP宣告關(guān)系提取
通過運營商并不能獲取所有IP地址前綴的歸屬AS信息，事實上運營商僅提供極少量的AS-IP匹配關(guān)系，對于其他無法獲得準確歸屬信息的IP地址前綴，需要通過路由數(shù)據(jù)中的宣告關(guān)系進行判斷。在BGP網(wǎng)絡(luò)中，AS將屬于自己的IP地址前綴宣告給其鄰居AS，同時將自己學習的宣告信息存入路由表，通過對路由表的實時分析，可以提取網(wǎng)絡(luò)中某個IP地址前綴的歸屬AS。
由于BGP沒有有效的機制證明宣告某個IP地址前綴的AS是此前綴的擁有者，即無法確認AS-IP的宣告關(guān)系是可信的，因此需要對宣告關(guān)系進行真實性評估。本文提出了一種基于空間一致性和時間穩(wěn)定性的宣告關(guān)系真實性評估方法，可以有效地從宣告關(guān)系中提取出準確的AS-IP匹配關(guān)系。
3宣告關(guān)系真實性評估
由于網(wǎng)絡(luò)中各種錯誤配置及主動攻擊行為的存在，導致從路由表中提取的宣告關(guān)系并不一定是準確的AS-IP匹配關(guān)系。本文通過對不同時間的多個路由表中的宣告關(guān)系進行分析，構(gòu)建宣告關(guān)系矩陣，對宣告關(guān)系矩陣依次進行空間一致性以及時間穩(wěn)定性計算，從而得到宣告關(guān)系的穩(wěn)定度，最后根據(jù)宣告關(guān)系穩(wěn)定度對宣告關(guān)系真實性進行評估。
3.1宣告關(guān)系矩陣
本文采用從RouteViews獲取的公開路由表作為數(shù)據(jù)來源，每個路由表中都包含了世界范圍內(nèi)40多個監(jiān)測節(jié)點的路由信息，路由表每兩小時更新一次，可以保證數(shù)據(jù)的可靠性。
路由數(shù)據(jù)的AS-IP宣告關(guān)系矩陣的生成主要分為兩步：首先對某一時刻的路由表進行分析，對其中的每個IP地址前綴生成一個空間宣告序列；然后，將同- IP地址前綴在不同時間的空間宣告序列按時間排序，就生成了該IP地址前綴的宣告關(guān)系矩陣。其中，某一時刻的路由表中某個IP地址前綴的空間宣告序列的生成方法如下：
1)對路由表中的監(jiān)測節(jié)點進行提�。ㄔ诓杉降穆酚杀碇�，AS路徑最左側(cè)的AS為監(jiān)測節(jié)點），根據(jù)監(jiān)測節(jié)點的個數(shù)生成一個全為0的序列。例如，路由表中若存在40個監(jiān)測節(jié)點，則生成40位全為0的宣告序列。
2)分析AS對路由表中某個IP地址前綴的宣告關(guān)系并對宣告序列進行更新。具體方法為：若在某個監(jiān)測節(jié)點的路由數(shù)據(jù)中出現(xiàn)了該IP地址前綴的宣告，且宣告者為AS1，則將宣告序列中該監(jiān)測節(jié)點位置的0置為1；若另一監(jiān)測節(jié)點的路由數(shù)據(jù)中也出現(xiàn)了該IP地址前綴的宣告，但宣告者為AS2，則將宣告序列中此監(jiān)測節(jié)點位置的0置為-l；如果監(jiān)測節(jié)點的路由數(shù)據(jù)中并未出現(xiàn)該IP地址前綴的宣告，則宣告序列中該監(jiān)測節(jié)點位置仍為0。例如，表l給出了某一時刻路由表中的部分路由數(shù)據(jù)，由表l中的部分路由數(shù)據(jù)可以判斷監(jiān)測節(jié)點集合為293、11537. 3549、5056，我們首先生成一個長度為4的宣告序列0000在表1的第一條路由數(shù)據(jù)中，監(jiān)測節(jié)點293監(jiān)測到IP地址前綴1.2.4.0/24的宣告者為24151，所以將宣告序列中監(jiān)測節(jié)點293的位置（第1位）置為1。同理，第二條路由數(shù)據(jù)中，監(jiān)測節(jié)點1 1537也監(jiān)測到IP地址前綴1.2.4.0/24的宣告者為24151，所以宣告序列第2位也為l。第三條路由數(shù)據(jù)中，監(jiān)測節(jié)點3549監(jiān)測到IP地址前綴1.2.4.0/24的宣告者為24409，其監(jiān)測結(jié)果與其他監(jiān)測節(jié)點不同，所以將宣告序列第3位改為一1。監(jiān)測節(jié)點5056并未監(jiān)測到IP地址前綴1.2.4.0/24，所以宣告序列的最后1位仍為0。這樣就生成了IP地址前綴1.2.4.0/24在該時刻的宣告序列11-1 0，此宣告序列的宣告者為24151。
對不同時刻的路由表使用相同的方法進行處理，并按時間順序?qū)⑨槍δ?IP地址前綴生成的宣告序列排序，由最早時刻路由表生成的宣告序列排在第一行，由最新時刻路由表生成的宣告序列排在最后一行，這樣就生成了針對該IP地址前綴的宣告關(guān)系矩陣。表2為針對lP地址前綴1.2.4.0/24生成的宣告關(guān)系矩陣。
表2中IP地址前綴1.2.4.0/24的宣告關(guān)系矩陣表示，在時刻1（矩陣第1行）前兩個監(jiān)測節(jié)點監(jiān)測到了24151對此IP地址前綴的宣告，第三個監(jiān)測節(jié)點監(jiān)測到的宣告者不是24151最后一個監(jiān)測節(jié)點沒有監(jiān)測到宣告者對此IP地址前綴的宣告。在時刻2、3、4（矩陣第2～4行），前三個監(jiān)測節(jié)點監(jiān)測到了2415I對IP地址前綴1.2.4.0/24的宣告，最后一個監(jiān)測節(jié)點仍然沒有監(jiān)測到宣告者對此IP地址前綴的宣告。
AS-IP的宣告關(guān)系矩陣可以表示出不同時間和空間的AS-IP宣告關(guān)系，但構(gòu)建可信的AS-IP匹配關(guān)系還需要對宣告關(guān)系矩陣進行一系列的運算，生成一個可以代表宣告關(guān)系穩(wěn)定度的值。本文通過對宣告關(guān)系的空間一致性和時間穩(wěn)定性進行分析，獲得穩(wěn)定度，以此來對AS-IP宣告關(guān)系的真實性進行評估。
3.2空間一致性
當IP地址前綴劫持發(fā)生時，提供商出于自身利益會優(yōu)先選擇客戶路由，導致攻擊路由不會在網(wǎng)絡(luò)中廣泛傳播。對大量宣告關(guān)系矩陣進行分析發(fā)現(xiàn)，有很多監(jiān)測節(jié)點在很長一段時間內(nèi)并沒有特定IP地址前綴的宣告（宣告關(guān)系矩陣一列都為0），或者IP地址前綴的宣告者不一定是該IP地址前綴的真正擁有者（宣告關(guān)系矩陣一列都為一1）。這些現(xiàn)象都表明，僅通過時間穩(wěn)定性來判斷AS-IP宣告關(guān)系是不準確的。
本文提出空間一致性檢驗方法來彌補時間穩(wěn)定性檢驗方法的不足，通過空間一致性檢驗可以有效避免單個監(jiān)測節(jié)點的片面性，并且可以有效提高AS-IP宣告關(guān)系真實性評估的準確性�？臻g一致性檢驗方法通過對宣告關(guān)系矩陣進行了空間一致性運算，最終生成一個空間穩(wěn)定度向量，以此來體現(xiàn)不同時刻宣告關(guān)系的穩(wěn)定度�？臻g穩(wěn)定度向量的具體生成方法如公式(1)所示。
公式(1)中，a為宣告關(guān)系矩陣，i,j分別代表行和列，β代表最終生成的空間穩(wěn)定度向量。使用公式(1)對表2中的宣告關(guān)系矩陣進行運算，最終生成的空間穩(wěn)定度向量為
，β中的每一位均小于l。
3.3時間穩(wěn)定性
前綴劫持現(xiàn)象是短暫的，僅通過對某一時刻的路由數(shù)據(jù)進行分析進而確定AS-IP宣告關(guān)系是不準確的。在宣告關(guān)系上，不同時間點的宣告關(guān)系的可信度并不相同，越新出現(xiàn)的宣告關(guān)系其可信度越高，且賦予其越高的權(quán)重。如果在最新的路由表中沒有出現(xiàn)某個AS對某個IP地址前綴的宣告，很有可能是該宣告關(guān)系已被取消或者改變，在此之前的多次宣告并不能證明該宣告關(guān)系可信，所以只有在一段時間內(nèi)保持穩(wěn)定的宣告關(guān)系才是可信的宣告關(guān)系。這里對3.2節(jié)中計算生成的空間穩(wěn)定度向量進行時間穩(wěn)定性計算，將計算生成的宣告關(guān)系穩(wěn)定度作為評估宣告關(guān)系真實性的標準。
時間穩(wěn)定性計算主要通過對空間穩(wěn)定度向量進行加權(quán)平均來實現(xiàn)，即對于空間穩(wěn)定度向量中的第n位，將其乘以n的平方，這樣可以有效提高最新宣告關(guān)系的權(quán)重。加權(quán)平均的具體實現(xiàn)方法如公式(2)、公式(3)所示。
式中，D代表權(quán)重向量，p為由公式(1)計算出的空間穩(wěn)定度向量，w為最終生成的穩(wěn)定度。對表2中宣告者24151與IP地址前綴1.2.4.0/24的宣告關(guān)系進行計算，該宣告關(guān)系的最終穩(wěn)定度為0.977。
4實驗結(jié)果及分析
將本文方法與燕強的使用單個監(jiān)測節(jié)點的基于時間穩(wěn)定性的方法進行對比來驗證本文方法的有效性，并通過分析穩(wěn)定度來反映IP地址前綴劫持情況。
4.1宣告關(guān)系真實性評估
本文選擇RouteViews項目中2015年5月17日-18日每天0、6、12、18時的路由表數(shù)據(jù)作為實驗數(shù)據(jù)。對實驗數(shù)據(jù)分別使用本文方法和基于時間穩(wěn)定性的方法進行穩(wěn)定度計算，本文方法選取了路由表中全部的42個監(jiān)測節(jié)點，基于時間穩(wěn)定性的方法選取了8個不同的監(jiān)測節(jié)點。兩種方法的穩(wěn)定度閾值均設(shè)置為0.9。
圖1展示了通過這兩種方法所獲取的宣告關(guān)系總數(shù)及評估后認為可信的宣告關(guān)系數(shù)量。圖1中最左邊的條柱展示的是用本文方法對42個監(jiān)測節(jié)點的路由數(shù)據(jù)進行計算所獲取的宣告關(guān)系總數(shù)及評估后認為可信的宣告關(guān)系數(shù)量，其他條柱為8個監(jiān)測節(jié)點使用基于時間穩(wěn)定性的方法所獲取的宣告關(guān)系總數(shù)及評估后認為可信的宣告關(guān)系數(shù)量。從圖1中可以看出，監(jiān)測節(jié)點的選取對基于時間穩(wěn)定性的方法影響很大，錯誤的監(jiān)測節(jié)點選取有可能導致最終無法得到有效數(shù)據(jù)。例如，監(jiān)測節(jié)點5056僅能獲取285條宣告關(guān)系，條柱高度很低，因此在圖1中無法有效表示出來。由圖1也可以看出，通過本文方法所獲取的IP地址前綴數(shù)量要遠多于基于時間穩(wěn)定性的方法所獲取的IP地址前綴數(shù)量。
實驗結(jié)果表明在路由表中絕大多數(shù)(99.14%)的IP地址前綴宣告是真實可信的。但由于單個監(jiān)測節(jié)點的片面性，存在一個監(jiān)測節(jié)點監(jiān)測到某個IP地址前綴在一段時間內(nèi)始終被劫持的可能，這會導致結(jié)果的不準確。例如，對監(jiān)測節(jié)點11686的數(shù)據(jù)用基于時間穩(wěn)定性的方法進行分析計算，得到IP地址前綴2.16.0.0/23的擁有者為4436，其他監(jiān)測節(jié)點用同樣方法的數(shù)據(jù)分析結(jié)果表明該IP地址前綴的擁有者為3257。這說明網(wǎng)絡(luò)中確實存在部分監(jiān)測節(jié)點長時間受到前綴劫持影響的現(xiàn)象，用基于時間穩(wěn)定性的方法對網(wǎng)絡(luò)中的宣告關(guān)系進行評估并不準確。表3對比了使用本文方法和使用基于時間穩(wěn)定性的方法評估出的可信宣告關(guān)系。
通過對比分析發(fā)現(xiàn)，監(jiān)測節(jié)點11686在使用基于時間穩(wěn)定性的方法進行宣告關(guān)系真實性評估時出現(xiàn)了407條錯誤的可信關(guān)系，而通過本文方法所獲取的IP地址前綴的宣告者與IP地址前綴的真實擁有者一致。綜合不同監(jiān)測節(jié)點的結(jié)果可以得出，本文方法能夠排除個別監(jiān)測節(jié)點受到的劫持影響，能夠?qū)P地址前綴宣告關(guān)系進行準確評估，并生成真實的AS-IP匹配關(guān)系數(shù)據(jù)庫。
4.2前綴劫持的發(fā)現(xiàn)
如果網(wǎng)絡(luò)中出現(xiàn)大規(guī)模IP地址前綴劫持現(xiàn)象，AS-IP宣告關(guān)系的穩(wěn)定度就會大幅下降。由于本文方法在宣告關(guān)系矩陣構(gòu)建過程中考慮到了不同宣告關(guān)系的影響，所以本文方法可以檢測出前綴劫持現(xiàn)象的發(fā)生。實驗通過分析已知發(fā)生了大規(guī)模前綴劫持事件的路由數(shù)據(jù)，對本文的前綴劫持監(jiān)測方法進行了驗證。
實驗采用國內(nèi)某運營商2010年4月8日2時至16時的路由數(shù)據(jù)，監(jiān)測節(jié)點為4134、4837、9394，穩(wěn)定度閾值設(shè)置為0.9。監(jiān)測結(jié)果如圖2所示。
由圖2可以看出，系統(tǒng)正常運行時，系統(tǒng)的穩(wěn)定度保持在0.95以上。當大規(guī)模前綴劫持發(fā)生時，3個監(jiān)測節(jié)點均受到前綴劫持影響，導致系統(tǒng)的穩(wěn)定度迅速下降至0.4以下o當前綴劫持結(jié)束后，系統(tǒng)穩(wěn)定度緩慢回升。由此可見，本文方法可有效實現(xiàn)對前綴劫持的監(jiān)測。
5結(jié)束語
本文通過對歷史路由數(shù)據(jù)進行分析，提出了一種基于空間一致性和時間穩(wěn)定性的AS-IP宣告關(guān)系真實性評估方法，并對RouteViews及國內(nèi)某運營商的路由數(shù)據(jù)進行了分析檢測，結(jié)果表明本文方法比使用單個監(jiān)測節(jié)點的基于時間穩(wěn)定性的方法更優(yōu)越。本文方法能夠有效排除單個監(jiān)測節(jié)點受到的前綴劫持影響，并準確評估出宣告關(guān)系真實性。
本文全部工作都集中在IPv4上，并沒有涉及IPv6，但IPv6作為互聯(lián)網(wǎng)發(fā)展的趨勢，應(yīng)該得到重視。接下來需要根據(jù)本文提出的宣告關(guān)系評估方法對IPv6的宣告關(guān)系進行評估，并生成知識庫，為域間路由監(jiān)測系統(tǒng)提供知識基礎(chǔ)。
6摘要：
在BGP網(wǎng)絡(luò)中，如果一個自治系統(tǒng)(AS)宣告了并不屬于它的IP地址前綴，則發(fā)生了IP地址前綴劫持。造成IP地址前綴劫持很難發(fā)現(xiàn)的原因主要有以下兩個方面：1）對于受到前綴劫持影響的AS，當且僅當被劫持的IP地址前綴傳遞到它所在的AS域才能發(fā)現(xiàn)前綴劫持；2）對于網(wǎng)絡(luò)中的其他AS，由于邊界網(wǎng)關(guān)協(xié)議(BGP)缺乏安全機制驗證lP地址前綴的宣告者是否確實擁有此地址，從而導致這些AS即使接收到劫持路由，也無法判斷是否確實發(fā)生了前綴劫持。針對以上問題，文章提出了一種AS-IP宣告關(guān)系真實性評估方法，通過生成歷史路由表的宣告關(guān)系矩陣，基于空間一致性和時間穩(wěn)定性來計算AS-IP宣告關(guān)系的穩(wěn)定度，以判斷宣告關(guān)系的真實性，并生成AS-IP匹配關(guān)系知識庫。文章對RouteViews及國內(nèi)運營商的路由數(shù)據(jù)進行了分析檢測，實驗結(jié)果表明，文章方法不但能夠有效判斷宣告關(guān)系真實性，生成AS -IP匹配關(guān)系知識庫，而且可以有效發(fā)現(xiàn)前綴劫持
