[論文レビュー] Pinpointing Delay and Forwarding Anomalies Using Large-Scale Traceroute Measurements

Romain Fontugne, Emile Aben+2 more|arXiv (Cornell University)|May 16, 2016

Network Traffic and Congestion Control参考文献 51被引用数 46

ひとこと要約

本論文は、大規模なRIPE Atlasトレースルートデータを用いた統計枠組みを提案し、新たな測定を生成することなく、遅延の変化や転送障害といったネットワーク障害を検出・局所化する。RTTとパケット転送パターンの両方を、数10万ものリンクにわたってロバスト統計を適用することで、DDoS攻撃、混雑、ピアリング障害などの障害を、高い精度と低コストの誤報で近接リアルタイムに同定可能にする。

ABSTRACT

Understanding network health is essential to improve Internet reliability. For instance, detecting disruptions in peer and provider networks facilitates the identification of connectivity problems. Currently this task is time consuming for network operators. It involves a fair amount of manual observation because operators have little visibility into other networks. In this paper we leverage the RIPE Atlas measurement platform to monitor and analyze network conditions. We propose a set of complementary methods to detect network disruptions from traceroute measurements. A novel method of detecting changes in delays is used to identify congested links, and a packet forwarding model is employed to predict traffic paths and to identify faulty routers in case of packet loss. In addition, aggregating results from each method allows us to easily monitor a network and identify coordinated reports manifesting significant network disruptions, reducing uninteresting alarms. Our contributions consist of a statistical approach providing robust estimation for Internet delays and the study of hundreds of thousands link delays. We present three cases demonstrating that the proposed methods detect real disruptions and provide valuable insights, as well as surprising findings, on the location and impact of identified events.

研究の動機と目的

• 単一ネットワークの境界を越えたマルチプロバイダインターネット健全性の監視という課題に取り組む。手動での観察は時間的にかかる上、限界がある。
• トレースルートデータにおけるRTTなどのネットワーク性能指標の可視性が低く、変動が大きいことによる、信頼性の高い障害検出の困難さを克服する。
• 既存の公開測定データのみを用いて、自動的かつスケーラブルな方法でネットワーク障害（特に遅延異常およびパケットロス）を検出し、特定する手法を開発する。
• ネットワークオペレータが自ネットワーク外の問題をトラブルシューティングできるようにし、高い空間的・時間的精度で障害発生リンクやルーターを特定する。
• 複数の検出手法からの信号を集約し、ネットワーク間で関連するイベントを相関させることで、誤報を低減する。

提案手法

• 2015年5月から12月にかけて、11,538台のIPv4および4,307台のIPv6プローブから、28億件以上のIPv4および12億件以上のIPv6トレースルートを、RIPE Atlasのグローバルプローブインfrastrutureを活用して収集。
• パリのトレースルート測定から得られるRTT値に対してロバスト統計推定を適用し、顕著な遅延変化を検出。ノイズや外れ値を除外する。
• パケット転送モデルを構築し、リンク上の通常の転送動作を学習・予測。これにより、応答なしのホップや欠落したピアリングLANなどの急激な異常を特定。
• 責任スコア（式9）を用いて、ルーターまたはリンクが転送障害の原因である可能性を定量化。故障の正確な局所化を可能にする。
• 各ネットワークの複数のプローブおよび観測ポイントからの異常信号を集約し、イベントを相関させ、誤検出を低減する。
• RIPE AtlasストリーミングAPIと統合し、近接リアルタイムでの検出を可能に。公開WebインターフェースおよびAPIを通じて結果を公開し、再利用を可能にする。

実験結果

リサーチクエスチョン

• RQ1 大規模トレースルートデータのロバスト統計的分析は、混雑や性能劣化を示すリンク遅延の変化を、信頼性高く検出できるか？
• RQ2 トレースルートデータで学習したパケット転送モデルは、急激なパケットロスや応答なしを示す障害ルーターまたはリンクを、どの程度正確に特定できるか？
• RQ3 遅延変化と転送異常という複数の異常検出信号をどのように集約すれば、誤報を低減し、イベント相関を向上できるか？
• RQ4 提案手法は、DDoS攻撃、誤設定、ピアリング障害といった実世界のネットワーク障害を、高い空間的・時間的精度で検出できるか？
• RQ5 既存の公開測定データのみを用いて、トランジットリンクを多数の自律システム（AS）にわたって監視する手法のスケーラビリティとカバレッジはどの程度か？

主な発見

• 統計的遅延推定器は、ノイズの多いRTT測定値の中でも、数10万ものリンクにわたって安定的かつ正確に遅延変化を検出できた。
• パケット転送モデルは、2015年5月13日にAMS-IXピアリングLANの障害を検出し、770件の応答なしIPペアを特定し、11:00 UTCに顕著な負の責任スコアピークを報告した。
• 異常なRTT上昇と転送異常を検出し、既知のイベントタイムラインと整合する結果を得たことから、DDoSインfraストラクチャ攻撃を同定した。
• ティア1ISPでの混雑は、持続的なRTT上昇と転送異常によって検出され、誤ってトラフィックが再ルーティングされたことと関連づけられた。結果はネットワークオペレータの報告で裏付けられた。
• 2017年4月までに5,436のASを監視しており、インターネットに存在する7,800のトランジットASの顕著な割合をカバーしており、スケーラビリティと広範なカバレッジを示した。
• 本手法は新たな測定を必要とせず、公開RIPE Atlasデータのみに依存しており、ストリーミングAPIとの統合により近接リアルタイムのアラートを可能にした。