[論文レビュー] Carrier-Grade Anomaly Detection Using Time-to-Live Header Information

Quirin Scheitle, Oliver Gasser+2 more|arXiv (Cornell University)|Jun 24, 2016

Network Security and Intrusion Detection参考文献 16被引用数 6

ひとこと要約

本論文では、IPパケットのTime-to-Live (TTL) ヘッダ値を用いてIPスプーフィングを検出するとともにパケット送信元を検証する、キャリアグレードの異常検出システムを提示する。40 Gbit/sのトラフィックを14日間受信して受動的キャプチャを行い、アクティブな測定を実施した結果、IPv4の69%およびIPv6の81%のホストが安定したTTL値を示しており、アクティブなプローブと組み合わせることで、誤検出が最小限に抑えられる信頼性の高い送信元検証およびスプーフィング検出が可能であることが判明した。

ABSTRACT

Time-to-Live data in the IP header offers two interesting characteristics: First, different IP stacks pick different start TTL values. Second, each traversed router should decrement the TTL value. The combination of both offers host and route fingerprinting options. We present the first work to investigate Internet-wide TTL behavior at carrier scale and evaluate its fit to detect anomalies, predominantly spoofed source IP addresses. Using purpose-built software, we capture 2 weeks of raw TTL data at a 40 Gbit/s Internet uplink. For further insight, we actively measure observed hosts and conduct large-scale hitlist-based measurements, which yields three complementary data sets for IPv4 and IPv6. A majority (69% IPv4; 81% IPv6) of passively observed multi-packet hosts exhibit one stable TTL value. Active measurements on unstable hosts yield a stable anchor TTL value for more than 85% of responsive hosts. We develop a structure to further classify unstable hosts taking, for example, temporal stability into account. Correlation of TTL values with BGP data is clear, yet unpredictive. The results indicate that carrier-grade TTL anomaly detection can yield significant insights in the following categories: First, the method can flag anomalies based on TTL observations (yet likely at a difficult false positive/false negative trade-off). Second, the method can establish trust that a packet originates from its acclaimed source.

研究の動機と目的

• スプーフィングされたIPアドレスを同定するため、TTLヘッダ値に基づくキャリアグレードの異常検出システムを開発すること。
• 受動的およびアクティブな測定を用いて、IPv4およびIPv6のインターネット全体におけるTTL動作を大規模に分析すること。
• ホストのアンカーチェックTTL値を特定することで、パケット送信元を信頼性高く検証する方法を確立すること。
• TTLおよびホップカウントを用いた大規模ネットワークセキュリティフィルタリングの実現可能性を評価すること。
• 再現可能性および今後の研究を促進するため、オープンデータおよびソースコードを提供すること。

提案手法

• 14日間、40 Gbit/sのインターネット回線で受動的に生のTTLデータをキャプチャし、現実のTTL動作を観察すること。
• 受動的観測の数分後にアクティブなピングバック測定を実施し、応答するホストの安定したアンカーチェックTTL値を特定すること。
• インターネット全体にわたるTTLおよびホップカウントの安定性を評価するため、ヒットリストベースのアクティブスキャンを大規模に実施すること。
• 時間的安定性およびTTLアラームの安定性に基づいて、不安定なホストを扱いやすいサブグループに分類すること。
• 受動的TTLデータとBGPルーティングデータを相関させ、経路長の整合性を評価すること。
• 異常検出における誤検出率・誤検出率の低減を図るため、動的サブネット集約および分割戦略を評価すること。

実験結果

リサーチクエスチョン

• RQ1 TTL値を用いて、許容可能な誤検出率および誤検出率でキャリア規模のIPスプーフィングを検出できるか？
• RQ2 現実のトラフィックにおいて、IPv4およびIPv6ホストのTTL値の安定性はいかほどか？
• RQ3 TTLおよびホップカウントの特性は、異なるネットワークトポロジーおよびサブネットでどのように変化するか？
• RQ4 アクティブな測定によって、複数のTTL値を持つホストのアンカーチェックTTL値を信頼性高く特定できるか？
• RQ5 BGP経路長は、IPサブネットの期待されるホップカウントをどの程度まで予測できるか？

主な発見

• 受動的観測において、IPv4およびIPv6のマルチパケットホストの69%および81%が、単一で安定したTTL値を示している。
• アクティブなピングバック測定によって特定された応答するホストの85%以上が、安定したアンカーチェックTTL値を示している。
• 時間的安定性およびTTLアラームの安定性に基づいて、不安定なホストを扱いやすいサブグループに分類でき、標的フィルタリングが可能である。
• BGP ASパス長と観測されたホップカウントの間に明確なが予測不能な相関関係が存在し、予測的用途には制限がある。
• ヒットリストスキャンにより、初期TTL値が異なっても、アクティブな測定が安定したTTLおよびホップカウント特性をもたらすことが確認された。
• 許容範囲を広くとった動的サブネット集約は、誤検出のリスクを増大させ、/24サブネットの60%で中央値±1を使用するフィルタの場合に、18.6%の確率でランダムマッチが発生する可能性がある。