[論文レビュー] Lost in Space: Improving Inference of IPv4 Address Space Utilization

Alberto Dainotti, Karyn Benson+7 more|arXiv (Cornell University)|Oct 25, 2014

Network Security and Intrusion Detection参考文献 8被引用数 8

ひとこと要約

本稿は、ダークネット、学術ネットワーク、IXP、ISP顧客ログなど多様な観測ポイントからの受動的トラフィック測定と、能動的プローブおよびBGPデータを統合することで、IPv4アドレス空間利用状況の推定を改善する。71万8千の以前に発見されていなかった使用済み /24 ブロックを同定し、利用可能なIPv4空間のうちわずか37％しか実際に使用されていないことが判明。BGPルーティングに表示されない340万のアサイン済みブロックが存在する。

ABSTRACT

One challenge in understanding the evolution of Internet infrastructure is the lack of systematic mechanisms for monitoring the extent to which allocated IP addresses are actually used. In this paper we try to advance the science of inferring IPv4 address space utilization by analyzing and correlating results obtained through different types of measurements. We have previously studied an approach based on passive measurements that can reveal used portions of the address space unseen by active approaches. In this paper, we study such passive approaches in detail, extending our methodology to four different types of vantage points, identifying traffic components that most significantly contribute to discovering used IPv4 network blocks. We then combine the results we obtained through passive measurements together with data from active measurement studies, as well as measurements from BGP and additional datasets available to researchers. Through the analysis of this large collection of heterogeneous datasets, we substantially improve the state of the art in terms of: (i) understanding the challenges and opportunities in using passive and active techniques to study address utilization; and (ii) knowledge of the utilization of the IPv4 space.

研究の動機と目的

• ICMPベースの能動的プローブに依存する既存手法を超えて、IPv4アドレス空間利用状況推定の正確性を向上させること。
• 多様なネットワーク観測ポイントにおける受動的測定技術の信頼性とスケーラビリティを評価すること。
• RIR、国、ASごとの未使用およびBGPに見えないIPv4アドレス空間の規模を定量化すること。
• BGPルートアドレス空間を実際のネットワーク活動の代理として使用する際の限界を評価すること。
• 包括的かつ拡張されたIPv4インベントリを提供することで、インターネット研究のためのより正確な指標を可能にすること。

提案手法

• 大規模なダークネット、国立学術ネットワークのNetFlowログ、IXPのサンプリングパケットトレース、ISPの住宅用顧客トラフィックログから得られる4つの異なる観測ポイントにおける受動的トラフィックデータの収集と相関分析。
• 不正なトラフィックの検出と除去技術を適用し、正当なアドレス利用状況の正確な推定を確保する。
• 受動的測定結果をICMPベースのスキャンなどの能動的プローブデータおよびBGP/レジストリデータと統合し、検証とカバレッジの拡張を図る。
• IETFが予約した、利用可能、アサイン済み、BGPアドバタイズ済み、実際に使用中のIPv4アドレス空間の分類体系を用いて、ブロックを体系的に分類する。
• 2013年7月から2013年10月にかけて、7つの異種のデータセットを用いて大規模なインベントリ作成を実施し、実際に使用中の /24 ブロックを推定する。
• トラフィック構成、アドレス空間サイズ、測定期間に応じた耐性を評価するために、異なる観測ポイントでメソドロジーを検証する。

実験結果

リサーチクエスチョン

• RQ1 異なる受動的測定観測ポイントは、使用済みIPv4アドレスブロックを検出する上でどのように比較されるか？
• RQ2 スプーフィングトラフィックは受動的推定におけるアドレス利用状況にどの程度歪みをもたらし、どのように是正できるか？
• RQ3 アサイン済みIPv4アドレス空間のどの程度が実際に使用されており、どの程度がBGPルーティングに見えないまま残っているか？
• RQ4 BGPルートアドレス空間を実際の使用状況の代理として使用することは、ASや国の実際の活動範囲をどの程度歪めて表現してしまうか？
• RQ5 ハイブリッドな能動的・受動的アプローチは、IPv4および将来のIPv6インベントリにおいて、カバレッジを著しく向上させるとともに、測定のオーバーヘッドを低減できるか？

主な発見

• 利用可能なIPv4空間のうち、実際に可視化されるのは530万の /24 ブロック（37％）にとどまり、340万のアサイン済みブロックがグローバルBGPルーティングシステムに表示されていない。
• 本研究では、以前に発見されていなかった使用済み /24 ブロックが71万8千個同定され、これは前回の最先端のISIインベントリに比べ15.6％多い。
• BGPにアドバタイズしている98.9％のASが少なくとも1つの使用済み /24 ブロックを有しているのに対し、ISIインベントリでは94.9％であったことから、AS内カバレッジが向上していることが示された。
• 米国は未ルーティングの /24 ブロックの49.8％と、ルーティングされていないアサイン済みブロックの67.5％を占めており、レガシ /8 ブロックのうち9.5％が使用中である。
• 大手企業ASでは、BGPルートアドレス空間を実際のアドレス利用状況の代理として使用した場合、中央値で96％の過大推定誤差が生じた。
• 国ごとの人口やGDPと /24 ブロック使用量との間に強い相関は認められないが、GDPは特に米国において使用済みブロック数と強い相関を示している。