Loading article…
コンピュータネットワークにおいて、イングレスフィルタリングは、受信パケットが実際にその送信元ネットワークからのものであることを確認するために使用される技術です。これは、攻撃者のパケットに偽のIPアドレスが含まれているさまざまなスプーフィング攻撃に対する対策として使用できます。スプーフィングはサービス拒否攻撃でよく使用され、これを緩和することがイングレスフィルタリングの主な用途です。[1]
問題
ネットワークは他のネットワークからパケットを受信します。通常、パケットには、最初に送信したコンピュータのIP アドレスが含まれます。これにより、受信ネットワーク内のデバイスはパケットの送信元を認識し、応答をルーティングすることができます (他の機能も含む)。ただし、IP アドレスがプロキシまたは偽装された IP アドレスを介して使用される場合は、そのユーザー プール内の特定のユーザーを特定できません。
送信者の IP アドレスは偽装 (スプーフィング) される可能性があり、これはスプーフィング攻撃の特徴です。これにより、たとえばサービス拒否攻撃で、送信されたパケットの送信元が偽装されます。プロキシの場合も同様ですが、IP スプーフィングとは異なる方法で行われます。
潜在的な解決策
考えられる解決策の 1 つは、中間インターネット ゲートウェイ (つまり、特定のパケットがたどるパスに沿って異なるネットワークを接続するサーバー) を使用して、不正とみなされるパケットをフィルタリングまたは拒否することです。パケットを処理するゲートウェイは、パケットを完全に無視するか、可能であれば、不正なパケットが拒否されたというメッセージを中継して送信者にパケットを返信します。 ホスト侵入防止システム (HIPS)は、望ましくない、予期しない、または疑わしいイベントや侵入を識別、防止、または阻止するのに役立つ技術エンジニアリング アプリケーションの一例です。
入力フィルタリングを実装するルータは、受信した IP パケットの送信元 IP フィールドをチェックし、パケットにインターフェイスが接続されている IP アドレス ブロック内の IP アドレスがない場合にはパケットをドロップします。エンド ホストがマルチホームであり、トランジット ネットワーク トラフィックも送信する場合は、これが不可能な場合があります。
入力フィルタリングでは、ネットワークに入ってくるパケットは、送信元ネットワークが送信元 IP アドレスからパケットを送信してはならない場合にフィルタリングされます。エンド ホストがスタブ ネットワークまたはホストである場合、ルータは、送信元 IP としてプライベート アドレス(RFC 1918)、ボゴン アドレス、またはインターフェイスと同じネットワーク アドレスを持たないアドレスを持つすべての IP パケットをフィルタリングする必要があります。[2]
ネットワーク
ネットワーク イングレス フィルタリングは、多くのインターネット サービス プロバイダーがインターネット トラフィックのIP アドレスのスプーフィングを防止するために使用するパケット フィルタリング技術であり、インターネット トラフィックをそのソースまで追跡可能にすることで、さまざまな種類のネットの不正使用に間接的に対抗します。
ネットワークイングレスフィルタリングにより、サービス拒否攻撃の発生源を追跡し、修正することがはるかに容易になります。 [3]
ネットワーク イングレス フィルタリングは、相互利益のために ISP 間の協力に依存する 良き隣人ポリシーです。
ネットワークイングレスフィルタリングの現在のベストプラクティスは、インターネットエンジニアリングタスクフォースによってBCP 38と84に文書化されており、それぞれRFC 2827とRFC 3704で定義されています。[4] [5]
BCP 84 では、IP 接続の上流プロバイダーが下流の顧客からネットワークに入ってくるパケットをフィルタリングし、その顧客に割り当てられていない送信元アドレスを持つパケットを破棄することを推奨しています。
このポリシーを実装する方法は多数ありますが、一般的なメカニズムの 1 つは、顧客へのリンクでリバース パス転送を有効にすることです。これにより、プロバイダーによる顧客のルート通知のルート フィルタリングに基づいて、このポリシーが間接的に適用されます。
展開
2012年時点で、ある報告書によると、BCP 38の導入が不十分であるという一般的な意見とは反対に、インターネットの約80％（さまざまな基準による）がすでにネットワークにスプーフィング防止パケットフィルタリングを適用していたとのことです。[6]
少なくとも1人のコンピュータセキュリティ専門家は、IETF BCP 38で定義されているネットワークイングレスフィルタリングをすべてのISPの100％に実装することを要求する法律を可決することに賛成している。米国では、おそらくFCCがこの法律を施行するだろう。[3]
参照
参考文献
- ^ Zhauniarovich, Yury; Dodia, Priyanka (2019 年 6 月)。「ゴミの選別: ISP ネットワークにおける DRDoS 増幅トラフィックのフィルタリング」。2019 IEEE ネットワーク ソフト化会議 (NetSoft) 。IEEE。pp . 142–150。doi :10.1109/ netsoft.2019.8806653。ISBN 978-1-5386-9376-6. S2CID 201621791。
- ^ Robert Gezelter (1995)インターネット上のセキュリティ、 Hutt、Bosworth、および Hoytt (1995) 『コンピュータ セキュリティ ハンドブック、第 3 版』、Wiley、セクション 23.6(b)、pp 23-12 以降。
- ^ ab デビッド・A・ウィーラー博士。「コンピューターセキュリティを向上させるためにどのような法律を制定すべきか？」 。 2023年6月10日閲覧。
- ^ Ferguson, P.; Senie , D. (2000 年 5 月)。ネットワーク イングレス フィルタリング: IP 送信元アドレス スプーフィングを使用するサービス拒否攻撃の阻止。IETF。doi : 10.17487 / RFC2827。BCP 38。RFC 2827。
- ^ Baker, F.; Savola, P. (2004 年 3 月). マルチホーム ネットワークのイングレス フィルタリング。IETF . doi : 10.17487 /RFC3704 . BCP 84. RFC 3704.
- ^ バリー・グリーン (2012 年 6 月 11 日)。「誰もが BCP 38 を導入すべきです! 待ってください、彼らは…」。senki.org。
外部リンク
- RFC 2827 - ネットワーク イングレス フィルタリング: IP 送信元アドレス スプーフィングを使用するサービス拒否攻撃の阻止 (BCP 38)
- RFC 3704 マルチホーム ネットワークの入力フィルタリング (BCP 84)
- ジェイ・R・アシュワース。「BCP38.info」。
- BCP 38 に関する情報 » RFC エディター
- BCP 84 に関する情報 » RFC エディター
- ルーティング MANRS