[論文レビュー] Towards Better Internet Citizenship: Reducing the Footprint of Internet-wide Scans by Topology Aware Prefix Selection

Johannes Klick, Stephan Lau+2 more|arXiv (Cornell University)|May 19, 2016

Internet Traffic Analysis and Secure E-voting参考文献 17被引用数 8

ひとこと要約

本稿では、歴史的データに基づいて関連性の高いIPプレフィックスのみを特定・スキャンすることで、インターネットスキャンのトラフィックを削減するためのTopology Aware Scanning Strategy (TASS) を提案する。全28億のアドレスではなく20.6–57.4%のIPv4アドレススペースをスキャンすることで、FTP や HTTP などのプロトコルで92.3–98%のホストカバレッジを達成し、スキャントラフィックを25–90%削減しながら、ホストの1–10%しか見逃さない。

ABSTRACT

Internet service discovery is an emerging topic to study the deployment of protocols. Towards this end, our community periodically scans the entire advertised IPv4 address space. In this paper, we question this principle. Being good Internet citizens means that we should limit scan traffic to what is necessary. We conducted a study of scan data, which shows that several prefixes do not accommodate any host of interest and the network topology is fairly stable. We argue that this allows us to collect representative data by scanning less. In our paper, we explore the idea to scan all prefixes once and then identify prefixes of interest for future scanning. Based on our analysis of the censys.io data set (4.1 TB data encompassing 28 full IPv4 scans within 6 months) we found that we can reduce scan traffic between 25-90% and miss only 1-10% of the hosts, depending on desired trade-offs and protocols.

研究の動機と目的

• 不要なスキャントラフィックを低減することで、インターネットスキャンの環境的・ネットワーク的負担を軽減すること。
• 全IPv4スキャンの非効率性に起因する、低効率な大量トラフィック（しばしば<2%のヒットレート）を是正すること。
• 高いホストカバレッジを維持しつつ、大幅にスキャンのオーバーヘッドを削減できる、体系的でトポロジーに配慮したスキャン戦略の開発。
• 安定的かつ高密度のプレフィックスに焦点を当てることで、ブルートフォーススキャンに代わる持続可能な長期的ネットワーク測定を可能にすること。

提案手法

• 本手法は、指定されたプロトコルに対して、広告されたIPv4アドレススペースの1回限りのフルスキャンを実施し、応答するプレフィックスを同定することから始まる。
• ネットワークトポロジーとプレフィックス密度（アドレススペースサイズあたりのホスト数）を用いて、将来的な定期的スキャンのためのプレフィックス優先順位を決定する。
• スキャンのオーバーヘッドとホストカバレッジのバランスを取るために、カバレッジしきい値（φ）を適用し、効率性と完全性のトレードオフを可能にする。
• 歴史的応答パターンと時間経過に伴う安定性に基づき、関心のあるホストを含む可能性の高いプレフィックスのみを選択する。
• TASSの戦略を訓練および検証するために、censys.ioを介して収集された28回のフルIPv4スキャン（4.1 TB）のデータを活用する。
• FTP、HTTP、HTTPS、CWMPなどのプロトコルにおいて、6か月間にわたりヒットレートの低下とカバレッジを測定することで、性能を評価する。

実験結果

リサーチクエスチョン

• RQ1 特定のIPプレフィックスのサブセットに集中することで、ホストカバレッジを著しく低下させることなくスキャントラフィックを削減できるか？
• RQ2 応答するプレフィックスのヒットレートは時間経過とともにどのように低下するのか？ そして、定期的スキャンにどのような影響を及えるか？
• RQ3 プレフィックス密度が、長期的なホストの可用性およびスキャン効率とどの程度相関しているか？
• RQ4 異なるカバレッジしきい値（φ）は、スキャンのオーバーヘッドとホスト検出精度のトレードオフにどのように影響するか？
• RQ5 見逃された1–10%のホストは、スキャン結果の代表性を損なうような方法で分布しているか？

主な発見

• 広告されたIPv4アドレススペースの57.4%をスキャンしただけで、6か月後にはすべてのFTPホストの98%のカバレッジを達成した。
• 応答アドレスの95%にカバレッジを制限することで、TASSはアドレススペースの20.6%しかスキャンしなかったが、92.3%のホスト検出率を達成した。
• より一般的な（l-）プレフィックスでは、応答性のヒットレートが月平均約0.3%低下し、応答性の徐々な低下を示した。
• より具体的な（m-）プレフィックスでは、ヒットレートの低下が顕著で、最大月平均0.7%に達し、6か月間で合計4.2%の低下を示した。
• ホストカバレッジを1%低下させること（φ=1からφ=0.99に）により、スキャンのオーバーヘッドが20–30%削減された。これは、わずかな妥協で高い効率性向上が得られることを示している。
• この戦略は複数のプロトコルにわたり堅牢であり、HTTP、HTTPS、CWMPに対しても同様の効率的向上が観察された。これは、広範な適用可能性を示唆している。