2015-ShowNetステージ-DDoS

Transcript

1. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team ShowNetが提示する これからのDDoS対策モデル ShowNet NOC member 遠峰 隆史
2. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 2 DoSとは DDoSについて • Denial of Service attack • サービス停止攻撃 • ネットワーク上の通信量を増大させ、回線や サーバのリソースを占有することにより、シス テムを過負荷・利用困難にする攻撃 多量の通信
3. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 3 DDoSとは DDoSについて • Distributed Denial of Service attack • 分散型DoS • 複数の機器から同時に通信を発生させることで、 少しずつの通信を組み合わせて、対象に負荷を かける攻撃
4. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 4 DDoS対策の難しさ DDoSについて DoS対策 • 送信元が一つ • フィルタを一つ書けばよい • フィルタによる影響も少ない • 送信元にも負荷がかかる DDoS対策 • 送信元がたくさん • フィルタ対応が困難 • 正常な通信を遮断してしまう 可能性 • 送信元には大きな影響がない 単純な対策では限界
5. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 5 400Gbpsに達するDDoS攻撃 現状の課題 ボリュームが急激に増加
6. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 6 DDoS攻撃事例 DDoSについて • 誰でも簡単にDDoS攻撃が できる時代に • 大規模なDDoS攻撃が増え 回線を完全に埋めてしまう ことも困難ではない 状況に応じたDDoS対策を 適材適所で行う必要性
7. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 7 DDoS対策機能の最適分散配置 ShowNetでのDDoS対策 課題：インターネット基盤を揺るがす大規模DDoS攻撃 対策：IX, トランジット, 自AS内での対策機能を分散配置 2. SDN IX IX攻撃流入口での攻撃トラフィック破棄 1. 緩和サービス BGP経路操作による攻撃緩和装置への 誘導・破棄 3. BGP Flowspec 網内緩和装置への誘導攻撃トラフィック の制限・破棄 自組織 IX トランジット
8. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 8 ShowNetに入ってくる前の対策 ShowNet外でのDDoS対策 • ISP Free Mitigation • トランジット提供プロバイダでDDoS緩和 • IXでのMitigation • SDN-IXでフローを制御
9. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 9 自組織 トランジット回線からのDDoS ISP Free Mitigation • インターネットからの帯域逼迫により他の通 信に多大な影響を及ぼすと共に、回線課金も 増大 トランジット
10. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team トランジットと連携したDDoS防御 トランジット連携防御 サーバA life/来場者端末等 出展社 Transit xFlowサンプル ShowNet External コレクタ 攻撃者 Dest IP:サーバA Source IP: B Dest port : 80 Source port :1900 1.攻撃判定 3.攻撃防御 正常者 Dest IP:サーバA Source IP: B Dest port : 80 Source port :2345 連携装置 防御指示 2.防御連携 防御指示
11. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 11 IXにおけるセキュリティ課題 SDN IX • 課題：DDoS攻撃によるIXと接続事業者間の帯域逼迫 • 現在：被害事業者内でのフィルタ →IXと事業者間の帯域逼迫を解消できない IXとの帯域を圧迫 被害事業者
12. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 12 SDN IXでのDDoS防御 SDN IX • 被害事業者の運用者がコント ローラを介してフィルタ設定 • 攻撃トラフィックを流入口 で破棄 • IXと被害事業者間の帯域逼迫 を回避 被害事業者
13. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 13 ShowNet内での対策 ShowNet内でのDDoS対策 • BGP Flowspec + 緩和装置 • BGP FlowspecでDDoSトラフィックを曲げて 緩和装置へ誘導 • NFVでのMitigation • On-demandでの緩和装置の追加
14. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 14 ネットワーク内でのDDoS対策 網内での緩和装置 • 従来のDDoS対策は 対象となるサーバの前に インラインで導入 • 構成に制約が生じ、後 から追加するのも対象 を増やすのも難しい 緩和装置 サーバ
15. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team BGP FlowspecによるDDoS防御 BGP Flowspec + 緩和装置 サーバA life/来場者端末等 出展社 Transit Transit xFlowサンプル 2.フィルタルール生成 RR vMX By Juniper ShowNet External ShowNet Backbone コレクタ Samurai By NTTCOM Peer BGP Flowspec 対応ルータ 攻撃者 1.攻撃判定 4.攻撃防御 正常者 3.経路配布 Cisco ASR9900 Huawei NE5000E Juniper MX480
16. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 16 Traffic analysis Firewall DDoSミチゲータ vCPE (NAT/ToS) NFVでのDDoS対策 NFVでのMitigation • ユーザごとにサービスチェインを選択 • vCPEでパケットにマーキング • 各サービスをToSの各bitに埋め込む • OpenFlowでサービスを適用するか判断 • ToSの特定bitをチェック • 1ならVNFへ、0なら迂回 • ユーザの要求に応じて機能を追加 OpenFlow Switch OpenFlow Switch OpenFlow Switch OpenFlow Switch
17. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 17 ISP Free Mitigation SDN-IX BGP Flowspec + 緩和装置 NFV
18. Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 18 トラフィックに応じたDDoS対策 ShowNetでのDDoS対策 適材適所の対策で効果的なDDoS対策を！ 2. SDN IX IX攻撃流入口での攻撃トラフィック破棄 1. 緩和サービス BGP経路操作による攻撃緩和装置への 誘導・破棄 3. BGP Flowspec 網内緩和装置への誘導攻撃トラフィック の制限・破棄 自組織 IX トランジット