[論文レビュー] The Closed Resolver Project: Measuring the Deployment of Source Address Validation of Inbound Traffic
本論文は、スプーフィングされた送信元クエリに対するDNSリソルバの応答をプローブすることで、送信元アドレス検証（SAV）を受けていないネットワークを特定する、インターネット規模のアクティブな測定調査であるClosed Resolver Projectを提示する。その結果、IPv4の49%およびIPv6の26%の自律システム（AS）が一貫したインバウンドSAVを実施していないことが判明し、これにより250万件のIPv4および10万件のIPv6クローズドリソルバがスプーフィング攻撃（例：NXNSAttack）の標的となっている。
Source Address Validation (SAV) is a standard aimed at discarding packets with spoofed source IP addresses. The absence of SAV for outgoing traffic has been known as a root cause of Distributed Denial-of-Service (DDoS) attacks and received widespread attention. While less obvious, the absence of inbound filtering enables an attacker to appear as an internal host of a network and may reveal valuable information about the network infrastructure. Inbound IP spoofing may amplify other attack vectors such as DNS cache poisoning or the recently discovered NXNSAttack. In this paper, we present the preliminary results of the Closed Resolver Project that aims at mitigating the problem of inbound IP spoofing. We perform the first Internet-wide active measurement study to enumerate networks that filter or do not filter incoming packets by their source address, for both the IPv4 and IPv6 address spaces. To achieve this, we identify closed and open DNS resolvers that accept spoofed requests coming from the outside of their network. The proposed method provides the most complete picture of inbound SAV deployment by network providers. Our measurements cover over 55 % IPv4 and 27 % IPv6 Autonomous Systems (AS) and reveal that the great majority of them are fully or partially vulnerable to inbound spoofing. By identifying dual-stacked DNS resolvers, we additionally show that inbound filtering is less often deployed for IPv6 than it is for IPv4. Overall, we discover 13.9 K IPv6 open resolvers that can be exploited for amplification DDoS attacks - 13 times more than previous work. Furthermore, we enumerate uncover 4.25 M IPv4 and 103 K IPv6 vulnerable closed resolvers that could only be detected thanks to our spoofing technique, and that pose a significant threat when combined with the NXNSAttack.
研究の動機と目的
- グローバルなインターネット全体にわたり、スプーフィングされたインバウンドトラフィックをフィルタリングしないネットワークのインバウンド送信元アドレス検証（SAV）の導入状況を測定すること。
- 特にスプーフィング攻撃に対して脆弱なクローズドDNSリソルバを保有するネットワークで、一貫性のないまたは欠落しているインバウンドSAVを特定・定量すること。
- ネットワークオペレータに対して、インバウンドSAVが欠落しているリスクを啓発し、MANRSの推奨事項を含むベストプラクティスの採用を促進すること。
- 双方向IPv4およびIPv6ネットワークにおけるSAV導入の整合性を評価し、両プロトコル間の差異を特定すること。
提案手法
- 送信元IPが偽装されたパケットがフィルタリングされているかどうかを検出するために、インターネット上のオープンおよびクローズドDNSリソルバに対して非スプーフィングおよびスプーフィング送信元クエリをプローブする。
- スプーフィングおよび非スプーフィングDNSクエリをリソルバに送信するスキャナを用い、応答行動を観察することでネットワークエッジにおけるSAVポリシーを推定する。
- 特定のネットワークに過度な負荷をかけないようスキャン順序をランダム化し、15日間にわたりスキャンを分散して運用への影響を最小限に抑える。
- オペレータからのフィードバックに基づき、スキャンから除外を要請したネットワークを除外し、そのIP範囲を分析およびレポートから削除する。
- 双方向リソルバおよびASのファINGERプリントを取得し、IPv4とIPv6におけるSAV導入の整合性を比較する。
- ユーザーが自ネットワークのインバウンドスプーフィング攻撃に対する脆弱性を確認できる公開ウェブサイト（https://closedresolver.korlabs.io）を運営する。
実験結果
リサーチクエスチョン
- RQ1IPv4およびIPv6の自律システム（AS）の何パーセントが、ネットワークエッジでインバウンド送信元アドレス検証（SAV）を実施しているか、または欠落しているか？
- RQ2インバウンドSAVが欠落していることにより、スプーフィング攻撃の標的となるクローズドDNSリソルバはどれくらい存在し、その攻撃の増幅効果はどの程度か？
- RQ3双方向ネットワークにおいてインバウンドSAVの導入は一貫しており、IPv4とIPv6のフィルタリングポリシーは整合しているか？
- RQ4インバウンドSAVの導入が不完全または欠落している要因は何であり、その直接的なセキュリティ利点にもかかわらず、アウトバウンドSAVに比べて優先度が低いのはなぜか？
- RQ5特にMANRS参加オペレータを含むネットワークにおいて、インバウンドSAVとアウトバウンドSAVの導入状況はどのように比較されるか？
主な発見
- IPv4の49%およびIPv6の26%の自律システム（AS）が、一貫したまたは部分的なインバウンドSAVの欠落を示しており、広範な脆弱性が確認された。
- 本調査では、IPv4で530万件、IPv6で1万6千件のオープンDNSリソルバを特定した。さらに、IPv4で250万件、IPv6で10万件のクローズドリソルバがスプーフィング攻撃の標的となる可能性がある。
- 双方向ホストおよびASにおいてインバウンドSAVの導入は一般的に一貫しており、少数の事例を除き、IPv4のフィルタリングがIPv6のフィルタリングよりも強固である傾向が見られた。
- リフレクションDDoS攻撃のリスクが広く知られているにもかかわらず、インバウンドSAVは依然として世界的に導入が不十分であり、内部ネットワークおよびサービスの直接的保護に貢献しているにもかかわらずである。
- ASレベルにおいては、アウトバウンドSAVがインバウンドSAVよりも広く導入されており、特にMANRS参加オペレータにおいて顕著で、セキュリティインcentiveの不整合が浮き彫りになった。
- 本プロジェクトは、大手ネットワークから9件の除外要請を受け、これにより2900万件のIPv4アドレスおよび2つのIPv6プレフィックスが、さらなるスキャンおよび分析対象から除外された。
より良い研究を、今すぐ始めましょう
論文の読解から最終レビューまで、研究時間を劇的に削減しましょう。
クレジットカード登録不要
このレビューはAIが作成し、人間の編集者が確認しました。