[논문 리뷰] Lost in Space: Improving Inference of IPv4 Address Space Utilization

Alberto Dainotti, Karyn Benson외 7명|arXiv (Cornell University)|2014. 10. 25.

Network Security and Intrusion Detection참고 문헌 8인용 수 8

한 줄 요약

이 논문은 어둠의 네트워크(darknets), 대학 네트워크, 인터넷 교환점(IXPs), 그리고 ISP 고객 로그 등 다양한 관측점에서의 수동 트래픽 측정 데이터를 수동 프로빙 및 BGP 데이터와 융합하여 IPv4 주소 공간 활용도의 추론을 향상시킨다. 이로써 기존에 발견되지 않은 718,000개의 사용 중인 /24 블록을 식별하였으며, 가용 가능한 IPv4 공간의 37%만이 실제로 사용되고 있음을 드러내었고, 340만 개의 할당된 블록은 BGP 라우팅에서 가시성이 없음을 확인하였다.

ABSTRACT

One challenge in understanding the evolution of Internet infrastructure is the lack of systematic mechanisms for monitoring the extent to which allocated IP addresses are actually used. In this paper we try to advance the science of inferring IPv4 address space utilization by analyzing and correlating results obtained through different types of measurements. We have previously studied an approach based on passive measurements that can reveal used portions of the address space unseen by active approaches. In this paper, we study such passive approaches in detail, extending our methodology to four different types of vantage points, identifying traffic components that most significantly contribute to discovering used IPv4 network blocks. We then combine the results we obtained through passive measurements together with data from active measurement studies, as well as measurements from BGP and additional datasets available to researchers. Through the analysis of this large collection of heterogeneous datasets, we substantially improve the state of the art in terms of: (i) understanding the challenges and opportunities in using passive and active techniques to study address utilization; and (ii) knowledge of the utilization of the IPv4 space.

연구 동기 및 목표

• ICMP 기반 수동 프로빙을 초월하여 IPv4 주소 공간 활용도 추론의 정확도를 향상시키기 위해.
• 다양한 네트워크 관측점에서 수동 측정 기법의 신뢰성과 확장성 평가를 위해.
• RIR, 국가, AS 단위로 분류된 미사용 및 BGP에서 가시성이 없는 IPv4 주소 공간의 범위를 정량화하기 위해.
• BGP 라우팅된 주소 공간을 실제 네트워크 활동의 대체 지표로 사용할 경우의 한계 평가를 위해.
• 포괄적이고 확장된 IPv4 인벤토리 제공을 통해 인터넷 연구에 더 정확한 지표를 제공하기 위해.

제안 방법

• 어둠의 네트워크, 국가 차원의 대학 네트워크의 넷플로우 로그, IXP의 샘플링된 패킷 트레이스, ISP의 주거용 고객 트래픽 로그에서 온 수동 트래픽 데이터 수집 및 상관 분석.
• 합법적인 주소 사용 추론의 정확성을 확보하기 위해 위조된 트래픽 탐지 및 제거 기법 적용.
• 수동 결과를 ICMP 기반 스캔과 같은 수동 프로빙 데이터 및 BGP/레지스트리 데이터와 융합하여 검증 및 커버리지 확장.
• IETF 예약, 사용 가능한, 할당된, BGP 광고된, 활성적으로 사용된 주소 공간의 분류 체계를 활용해 블록을 체계적으로 분류.
• 2013년 7월부터 2013년 10월까지의 대규모 인벤토리 수행을 위해 이질적인 7개의 데이터셋을 활용하여 활성 /24 블록 추론.
• 트래픽 구성, 주소 공간 크기, 측정 기간 등에 대한 저항성을 평가하기 위해 다양한 관측점에서 방법론 검증.

실험 결과

연구 질문

• RQ1 다양한 수동 측정 관측점 간에 사용 중인 IPv4 주소 블록 탐지 능력은 어떻게 비교되는가?
• RQ2 위조된 트래픽이 수동 주소 활용도 추론에 얼마나 큰 영향을 미치며, 이를 어떻게 완화할 수 있는가?
• RQ3 할당된 IPv4 주소 공간 중 실제로 사용되는 비율은 얼마이며, 얼마나 많은 부분이 BGP 라우팅에서 가시성이 없는가?
• RQ4 BGP 라우팅된 주소 공간을 실제 사용량의 대체 지표로 사용할 경우, AS 및 국가의 실제 활동 범위를 얼마나 잘못 반영하는가?
• RQ5 하이브리드 수동-수동 방법론이 IPv4 및 향후 IPv6 인벤토리에서 커버리지 향상과 측정 오버헤드 감소에 기여할 수 있는가?

주요 결과

• 사용 가능한 IPv4 공간의 37%에 해당하는 530만 개의 /24 블록(530만 개)만이 실제로 가시적으로 사용되고 있으며, 340만 개의 할당된 블록은 글로벌 BGP 라우팅 시스템에서 가시성이 없음.
• 이 연구는 기존의 최고 수준의 ISI 인벤토리보다 15.6% 더 많은 718,000개의 이전에 알려지지 않은 사용 중인 /24 블록을 발견함.
• BGP에 광고하는 AS의 98.9%가 최소 한 개 이상의 사용 중인 /24 블록을 보유하고 있음. 이는 ISI 인벤토리의 94.9%보다 높은 내부 AS 커버리지를 의미함.
• 미사용 라우팅된 /24 블록의 49.8%와 라우팅되지 않은 할당된 블록의 67.5%가 미국에서 발생하며, 레거시 /8 블록의 9.5%가 실제로 사용 중임.
• 대규모 기업 AS는 실제 주소 사용량을 대체 지표로 BGP 라우팅된 공간을 사용할 경우 중앙값 기준 96%의 과대평가 오류를 보임.
• 국가 인구 또는 GDP와 /24 블록 사용량 간에 강한 상관관계는 없지만, GDP는 특히 미국에서 사용 중인 블록 수와 강한 상관관계를 보임.