Входящая фильтрация - Ingress filtering - Wikipedia

В компьютерная сеть, входная фильтрация это метод, используемый для обеспечения того, чтобы входящие пакеты фактически из сетей, из которых они утверждают, что происходят. Это можно использовать как контрмера против различных спуфинговые атаки где пакеты злоумышленника содержат поддельные IP-адреса чтобы затруднить поиск источника атаки. Этот метод часто используется в атака отказа в обслуживании, и это основная цель входящей фильтрации.[1]

Проблема

Сети получают пакеты из других сетей. Обычно пакет содержит айпи адрес компьютера, с которого оно было отправлено. Это позволяет устройствам в принимающей сети знать, откуда он пришел, что позволяет направлять ответ обратно (среди прочего), за исключением случаев, когда IP-адреса используются через прокси или поддельный IP-адрес, который не определяет конкретного пользователя в пределах этот пул пользователей.

IP-адрес отправителя может быть подделан ("подделанный "), характеризующий спуфинговая атака. Это маскирует происхождение отправленных пакетов, например, в атака отказа в обслуживании. То же самое справедливо и для прокси, хотя и другим способом, чем «подмена IP».

Возможные решения

Одно из возможных решений включает использование промежуточных интернет-шлюзов (то есть серверов, соединяющих разнородные сети по пути, по которому идет любой данный пакет), фильтрующих или запрещающих любой пакет, который считается незаконным. Шлюз, обрабатывающий пакет, может просто полностью игнорировать пакет или, где это возможно, он может отправить пакет обратно отправителю, ретранслируя сообщение о том, что незаконный пакет был отклонен. Системы предотвращения вторжений на хост (HIPS) являются одним из примеров технических инженерных приложений, которые помогают идентифицировать, предотвращать и / или сдерживать нежелательные, неожиданные и / или подозрительные события и вторжения.

Любой маршрутизатор, который реализует входящую фильтрацию, проверяет поле IP-адреса источника получаемых IP-пакетов и отбрасывает пакеты, если пакеты не имеют IP-адреса в блоке IP-адресов, к которому подключен интерфейс. Это может быть невозможно, если конечный хост многодомный а также отправляет транзитный сетевой трафик.

При входящей фильтрации пакеты, поступающие в сеть, фильтруются, если сеть, отправляющая их, не должна отправлять пакеты с исходных IP-адресов. Если конечный хост является тупиковой сетью или хостом, маршрутизатору необходимо фильтровать все IP-пакеты, которые в качестве исходного IP-адреса имеют частные адреса (RFC 1918 ), Богонские адреса или адреса, у которых нет того же сетевого адреса, что и у интерфейса.[2]

Сети

Фильтрация входящего сетевого трафика это фильтрация пакетов техника, используемая многими Интернет-провайдеры чтобы попытаться предотвратить подмена адреса источника интернет-трафика, и таким образом косвенно бороться с различными типами сетевое злоупотребление путем отслеживания Интернет-трафика до его источника.

Фильтрация входящего сетевого трафика - это политика «добрососедства», основанная на сотрудничестве между интернет-провайдерами для их взаимной выгоды.

В лучшие текущие практики для фильтрации входящего сетевого трафика задокументированы Инженерная группа Интернета в BCP 38 и BCP 84, которые определяются RFC 2827 и RFC 3704, соответственно.[3][4]

BCP 84 рекомендует вышестоящие провайдеры IP-соединений фильтрует пакеты, поступающие в их сети от нижестоящих клиентов, и отбрасывает любые пакеты, у которых есть исходный адрес, не назначенный этому клиенту.

Есть много возможных способов реализации этой политики; один общий механизм - включить переадресация обратного пути по ссылкам на клиентов, которые будут косвенно применять эту политику на основе фильтрация маршрута своих клиентов объявления маршрута.

Развертывание

По состоянию на 2012 год, в одном отчете говорится, что, вопреки общему мнению об отсутствии развертывания BCP 38, около 80% Интернета (по различным параметрам) уже применяли фильтрацию пакетов с защитой от спуфинга в своих сетях.[5]

Смотрите также

Рекомендации

  1. ^ Жауниарович Юрий; Додиа, Приянка (июнь 2019). «Сортировка мусора: фильтрация трафика DRDoS Amplification в сетях интернет-провайдеров». Конференция IEEE 2019 года по программному обеспечению сети (NetSoft). IEEE. Дои:10.1109 / netsoft.2019.8806653. ISBN  978-1-5386-9376-6.
  2. ^ Роберт Гезельтер (1995) Безопасность в Интернете Глава 23 в Hutt, Bosworth, and Hoytt (1995) «Справочник по компьютерной безопасности, третье издание», Wiley, раздел 23.6 (b), стр. 23–12 и след.
  3. ^ Фергюсон, П.; Сени, Д. (Май 2000 г.). Фильтрация входящего сетевого трафика: защита от атак типа «отказ в обслуживании», использующих подмену IP-адреса источника. IETF. Дои:10.17487 / RFC2827. BCP 38. RFC 2827. Получено 18 февраля 2014.
  4. ^ Бейкер, Ф.; Савола, П. (Март 2004 г.). Входящая фильтрация для многосетевых сетей. IETF. Дои:10.17487 / RFC3704. БКП 84. RFC 3704. Получено 18 февраля 2014.
  5. ^ Барри Грин (11 июня 2012 г.). «Все должны развернуть BCP 38! Подождите, они…». senki.org.

внешняя ссылка

  • RFC 2827 - Фильтрация входящего сетевого трафика: защита от атак типа «отказ в обслуживании» с использованием спуфинга IP-адреса источника (BCP 38)
  • RFC 3704 Входящая фильтрация для многосетевых сетей (BCP 84)
  • Джей Р. Эшворт. "BCP38.info".
  • Индекс BCP IETF