ネットワーク望遠鏡

ネットワークテレスコープ(パケットテレスコープ^[1] 、ダークネット、インターネットモーションセンサー、ブラックホールとも呼ばれる) ^[2]^[3]^{[4]は、インターネット上で発生するさまざまな大規模なイベントを観察できる}インターネットシステムです。基本的な考え方は、ネットワークのダーク (未使用) アドレス空間をターゲットにしたトラフィックを観察することです。これらのアドレスへのトラフィックはすべて疑わしいため、それを観察することで、可能性のあるネットワーク攻撃 (ランダムスキャンワーム、DDoS バックスキャッター) やその他の構成ミスに関する情報を得ることができます。

インターネットテレスコープの解像度は、監視するIP アドレスの数に依存します。たとえば、16,777,216 個のアドレスへのトラフィックを監視する大規模なインターネットテレスコープ ( IPv4の/ 8インターネットテレスコープ) は、65,536 個のアドレスを監視する小規模なテレスコープ ( / 16インターネットテレスコープ)よりも、比較的小さなイベントを観測する可能性が高くなります。

この名前は光学望遠鏡との類似性から来ており、光学望遠鏡では物理的なサイズが大きいほど、より多くの光子を観測することができる。^[5]

ネットワークテレスコープの変種として、スパースダークネットまたはグレーネットがあります。これは、アクティブな (または「点灯」) IP アドレスが点在する「ダークネット」アドレスがまばらに存在するIP アドレス空間の領域で構成されています。 ^[2]これには、主に日本にある 210,000 個の未使用 IP アドレスから構成されたグレーネットが含まれます。^[6]

大規模ネットワーク望遠鏡インスタンス

^ サンディエゴスーパーコンピュータセンターでホストされ、カリフォルニア大学サンディエゴ校の応用インターネットデータ分析センターによってアマチュア無線AMPRNet IPアドレスを使用して運営されています。
^ Merit Network Telescopeは、約550万（2014年）^[8] 、または約1100万の未使用IPアドレスで構成されています。

参照

参考文献

^ Cheswick, Bill (2013 年 8 月)。「Bill Cheswick のファイアウォールに関する見解」(PDF)。セキュリティ。;login: The USENIX Magazine (インタビュー)。第 38 巻、第 4 号。Rik Farrow によるインタビュー。21 ページ。この頃 (1980 年代後半)、Mark Horton は、ただ尋ねるだけで、AT&Tの権力者からクラス A アドレスを取得しました。... 私たちのCrayコンピューターはクラス A ネットワークを必要としているようでした... 12.0.0.0 / 8を取得してネットにアナウンスし、存在しない Ethernet アドレスにパケットを送り、トラフィックに対してtcpdump を実行しました。トラフィックは 1 日あたり約 12 ～ 25 MB でした。Steveはそのトラフィックを分析し、優れた論文を書きました。基本的に、私たちは IP アドレスベースの認証を使用した攻撃を受けたホストの断末魔の叫び声を見ていたのです。 ... これは私が記憶している最初のパケットテレスコープです。「パケットテレスコープ」という用語も私が作ったと思いますが、その点については記憶が曖昧です。
^ ab Harrop, W.; Armitage, G. (2005). 「Greynets (Sparse Darknets) の定義と評価」. IEEE ローカルコンピュータネットワークカンファレンス 30 周年 (LCN'05)l. サインインまたは購入してアクセス: IEEE . pp. 344–350. doi :10.1109/LCN.2005.46. hdl :1959.3/2449. ISBN 0-7695-2421-4.S2CID 18789864 。
^ abcdefg Wustrow, Eric; Karir, Manish; Bailey, Michael; Jahanian, Farnam; Houston, Geoff (2010-06-09). Internet Background Radiation Revisited (PDF) . Internet Measurement Conference.未使用のアドレス空間を監視するシステムには、ダークネット、ネットワークテレスコープ、ブラックホールモニター、ネットワークシンク、ネットワークモーションセンサーなど、さまざまな名前があります。... 1/8 ... 50/8 ... 107/8 ... 35/8
^ abc Benson, Karyn; Dainotti, Alberto; Claffy, KC ; Snoeren, Alex C .; Kallitsis, Michael (2015-09-10). 機会主義的ネットワーク分析のためのインターネット背景放射の活用(PDF) . Internet Measurement Conference '15. 東京、日本。doi : 10.1145/2815675.2815702. ISBN 978-1-4503-3848-6. S2CID 6184617。ダークネットまたはネットワークテレスコープは、ルーティングされているが使用されていない IP アドレスのコレクションです。... UC サンディエゴとMerit Network は、それぞれ UCSD-NT と MERIT-NT と呼ばれる大規模なダークネットを運営しています。UCSD-NT は、連続した/ 8ブロック内の IP アドレスの 99% 以上宛てのトラフィックを監視します。MERIT-NT は、異なる/ 8ブロックの約 67% をカバーします。
^ Moore, David; Shannon, Colleen; Voelker, Geoffrey M.; Savage, Stefan (2004 年 4 月)。「ネットワークテレスコープ: テクニカルレポート」(PDF)。テクニカルレポート。ネットワークテレスコープは、天体望遠鏡になぞらえて名付けられました。...アドレス空間の一部に到着するパケットと、光望遠鏡の開口部に到着する光子との比較によって決まります。...開口部が大きいほど、位置の詳細が提供されるため、オブジェクトの解像度が高くなります。ネットワークテレスコープでは、アドレス空間が大きいほど、時間の詳細が提供されるため、イベントの解像度が高くなります。... / 8上のCode-Redのようなホストからの 1 つ以上のパケットを99.999% の確率で観測するには、4.9 分かかります。... 攻撃が 5 分間続いたとしても、 / 16 のテレスコープが少なくとも 1 つのパケットを観測する確率は 89.9% しかありません。 ... Network Telescope プロジェクトの技術サポートをいただいたUCSDのBrian Kantor、Jim Madden、Pat Wilsonに感謝します。... この作業は、 NSF Trusted Computing Grant CCR -0311690、Cisco Systems University Research Program、DARPA FTN Contract N66001-01-1-8933、NSF Grant ANI -0221172、National Institute of Standards Grant 60NANB1D0118、およびAT&Tからの寛大な寄付によってサポートされています。
^ ル・マレコ、エルワン、井上大介 (2014 年 3 月 20 日)。ジャン・リュック・デンジャー、ムラド・デバビ、ジャン・イヴ・マリオン、ホアキン・ガルシア・アルファロ、ヌール・ジンシル・ヘイウッド (編著)。ネットワーク望遠鏡を通して見る Carna ボットネット。セキュリティの基礎と実践: 第 6 回国際シンポジウム。フランス、ラ・ロシェル。p. 427。ISBN 9783319053028。「現在、私たちが運用しているネットワークテレスコープは、日本国内および海外の多数のパートナー組織のネットワークに分散している約 21 万の未使用 IPv4 アドレスに相当します。これらの未使用アドレスは、数個のアドレスから16 個のサブネット全体までの範囲のダークネットを形成します。これは「グレーネット」という概念で、使用済みと未使用の IP アドレスの混合で構成されています。
^ Claffy, K. ; Fomenkov, Marina;カリフォルニア大学サンディエゴ校;応用インターネットデータ分析センター(CAIDA) (2018-06-22). Rose, Fraces A.; Matyjas, John D. (編). 最終技術レポート.ネットワークおよびセキュリティデータ収集によるセキュリティ技術の研究開発の支援(レポート).空軍研究所情報局. pp. iii, 2, 3, 7. 2012 年9 月– 2017 年12 月... 助成金番号: FA8750-12-2-0326 ... UCSD ネットワークテレスコープ( / 8 IPv4ダークネットを監視)からパケットレベルのデータを収集することに取り組んでいます... 収集されたファイル数とデータの総量... ([2012-10-01] から [2017-12-31] まで) および累積サイズ...テレスコープ: ファイル数: 129552;サイズ: 2.85 PB ; ディスク上のサイズ (圧縮済み)、[2017-12-31 時点]: 1.30 PB ; 非圧縮サイズ、[2017-12-31 時点]: 3.25 PB
^ Durumeric, Zakir; Bailey, Michael; Halderman, J. Alex;ミシガン大学(2014-08-08). インターネット全体のスキャンに関するインターネット全体の見解(PDF)。USENIX セキュリティシンポジウム。 [2013-01-01] から [2014-05-01] までの期間、 Merit Networkで運用された darknet 。... 550 万のアドレス、... 1 日あたり 14 億パケット、または 55 GB のトラフィック。
^ Merit Network . 「Longitudinal Darknet 35/8」。ブラックホールアドレス空間データ、flowtuple。IMPACT Cybertrust。偽装されたソース IP によるTCP SYNフラッド攻撃の場合、被害者は偽装された IP に TCP SYN-ACK で応答します。偽装された IP が35/8アドレス空間内にある場合、ダークネットは SYN-ACK 応答をキャプチャします... 収集開始: [2005-10-05]; ... データ収集は進行中です... サイズ: 18.2TB 収集されるデータが増えるにつれてサイズは増加しています
^ Belson, David 編 (2009-07-09)。「Conficker」(PDF)。セキュリティ。インターネットの現状。第 2 巻、第 1 号。Akamai Technologies。8ページ。これは、攻撃トラフィックデータを収集するAkamaiサーバーのセットと同様の機能を果たすCAIDAのUCSD Network Telescopeで観測された同様の低下によって裏付けられています。
^ Richter, Philipp; Berger, Arthur (2019 年 7 月)。「スキャナーのスキャン: 大規模分散ネットワーク望遠鏡によるインターネットの検知」ACM インターネット測定会議。アムステルダム、オランダ。
^ ab O'Hara, Joseph (2019 年 4 月)。「インターネット背景放射収集のためのクラウドベースのネットワークテレスコープ」(PDF)。トリニティカレッジダブリン。p. 16。HEAnetのEoin Kenny に感謝します。従来の /16 ネットワークテレスコープは、アイルランドの国立教育研究ネットワークである HEAnet から提供されました。... / 16アドレス空間は、この研究が行われるまで何年も使われていませんでした。... CAIDA / 8の 256 倍小さいです。... 記録されたデータレートは 1.25 Mbpsでした。... 95.6 GB
^ Metongnon, Lionel; Sadre, Ramin (2018-08-20). Telnet を超えて: 望遠鏡とハニーポット測定における IoT プロトコルの普及。ACM SIGCOMM -WTMC。p. 4. doi : 10.1145 /3229598.3229604。S2CID 51926045。/15ネットワーク望遠鏡のセットアップ
^ Aben, Emile (2020-01-17). 「2a10::/12 の Debogonisation」。

さらに読む

Bellovin, Steven M. (1992-08-15). ドラゴンがいる(PDF) . 第三回Usenix UNIXセキュリティシンポジウム。2004-12-07にオリジナル(PDF)からアーカイブ。2019-07-31に取得。
Bellovin, Steven M. (1993-08-23). 「インターネット上で見つかったパケット」(PDF) . Computer Communications Review . 23 (3): 26–31. doi :10.1145/174194.174199. S2CID 35537646. 2004-12-07にオリジナル(PDF)からアーカイブ。2019-07-31 に取得。

外部リンク

カリフォルニア大学サンディエゴ校の CAIDA ネットワーク望遠鏡
Team Cymru Darknet の Darknet プロジェクト

[7] サンディエゴスーパーコンピュータセンターでホストされ、カリフォルニア大学サンディエゴ校の応用インターネットデータ分析センターによってアマチュア無線AMPRNet IPアドレスを使用して運営されています。

[10] Merit Network Telescopeは、約550万（2014年）^[8] 、または約1100万の未使用IPアドレスで構成されています。

[1] Cheswick, Bill (2013 年 8 月)。「Bill Cheswick のファイアウォールに関する見解」(PDF)。セキュリティ。;login: The USENIX Magazine (インタビュー)。第 38 巻、第 4 号。Rik Farrow によるインタビュー。21 ページ。この頃 (1980 年代後半)、Mark Horton は、ただ尋ねるだけで、AT&Tの権力者からクラス A アドレスを取得しました。... 私たちのCrayコンピューターはクラス A ネットワークを必要としているようでした... 12.0.0.0 / 8を取得してネットにアナウンスし、存在しない Ethernet アドレスにパケットを送り、トラフィックに対してtcpdump を実行しました。トラフィックは 1 日あたり約 12 ～ 25 MB でした。Steveはそのトラフィックを分析し、優れた論文を書きました。基本的に、私たちは IP アドレスベースの認証を使用した攻撃を受けたホストの断末魔の叫び声を見ていたのです。 ... これは私が記憶している最初のパケットテレスコープです。「パケットテレスコープ」という用語も私が作ったと思いますが、その点については記憶が曖昧です。

[ieee-2] Harrop, W.; Armitage, G. (2005). 「Greynets (Sparse Darknets) の定義と評価」. IEEE ローカルコンピュータネットワークカンファレンス 30 周年 (LCN'05)l. サインインまたは購入してアクセス: IEEE . pp. 344–350. doi :10.1109/LCN.2005.46. hdl :1959.3/2449. ISBN 0-7695-2421-4.S2CID 18789864 。

[wustrow-2010-3] Wustrow, Eric; Karir, Manish; Bailey, Michael; Jahanian, Farnam; Houston, Geoff (2010-06-09). Internet Background Radiation Revisited (PDF) . Internet Measurement Conference.未使用のアドレス空間を監視するシステムには、ダークネット、ネットワークテレスコープ、ブラックホールモニター、ネットワークシンク、ネットワークモーションセンサーなど、さまざまな名前があります。... 1/8 ... 50/8 ... 107/8 ... 35/8

[benson-20150910-4] Benson, Karyn; Dainotti, Alberto; Claffy, KC ; Snoeren, Alex C .; Kallitsis, Michael (2015-09-10). 機会主義的ネットワーク分析のためのインターネット背景放射の活用(PDF) . Internet Measurement Conference '15. 東京、日本。doi : 10.1145/2815675.2815702. ISBN 978-1-4503-3848-6. S2CID 6184617。ダークネットまたはネットワークテレスコープは、ルーティングされているが使用されていない IP アドレスのコレクションです。... UC サンディエゴとMerit Network は、それぞれ UCSD-NT と MERIT-NT と呼ばれる大規模なダークネットを運営しています。UCSD-NT は、連続した/ 8ブロック内の IP アドレスの 99% 以上宛てのトラフィックを監視します。MERIT-NT は、異なる/ 8ブロックの約 67% をカバーします。

[tr-2004-04-5] Moore, David; Shannon, Colleen; Voelker, Geoffrey M.; Savage, Stefan (2004 年 4 月)。「ネットワークテレスコープ: テクニカルレポート」(PDF)。テクニカルレポート。ネットワークテレスコープは、天体望遠鏡になぞらえて名付けられました。...アドレス空間の一部に到着するパケットと、光望遠鏡の開口部に到着する光子との比較によって決まります。...開口部が大きいほど、位置の詳細が提供されるため、オブジェクトの解像度が高くなります。ネットワークテレスコープでは、アドレス空間が大きいほど、時間の詳細が提供されるため、イベントの解像度が高くなります。... / 8上のCode-Redのようなホストからの 1 つ以上のパケットを99.999% の確率で観測するには、4.9 分かかります。... 攻撃が 5 分間続いたとしても、 / 16 のテレスコープが少なくとも 1 つのパケットを観測する確率は 89.9% しかありません。 ... Network Telescope プロジェクトの技術サポートをいただいたUCSDのBrian Kantor、Jim Madden、Pat Wilsonに感謝します。... この作業は、 NSF Trusted Computing Grant CCR -0311690、Cisco Systems University Research Program、DARPA FTN Contract N66001-01-1-8933、NSF Grant ANI -0221172、National Institute of Standards Grant 60NANB1D0118、およびAT&Tからの寛大な寄付によってサポートされています。

[maelcot-2014-6] ル・マレコ、エルワン、井上大介 (2014 年 3 月 20 日)。ジャン・リュック・デンジャー、ムラド・デバビ、ジャン・イヴ・マリオン、ホアキン・ガルシア・アルファロ、ヌール・ジンシル・ヘイウッド (編著)。ネットワーク望遠鏡を通して見る Carna ボットネット。セキュリティの基礎と実践: 第 6 回国際シンポジウム。フランス、ラ・ロシェル。p. 427。ISBN 9783319053028。「現在、私たちが運用しているネットワークテレスコープは、日本国内および海外の多数のパートナー組織のネットワークに分散している約 21 万の未使用 IPv4 アドレスに相当します。これらの未使用アドレスは、数個のアドレスから16 個のサブネット全体までの範囲のダークネットを形成します。これは「グレーネット」という概念で、使用済みと未使用の IP アドレスの混合で構成されています。

[claffy-2018-06-22-8] Claffy, K. ; Fomenkov, Marina;カリフォルニア大学サンディエゴ校;応用インターネットデータ分析センター(CAIDA) (2018-06-22). Rose, Fraces A.; Matyjas, John D. (編). 最終技術レポート.ネットワークおよびセキュリティデータ収集によるセキュリティ技術の研究開発の支援(レポート).空軍研究所情報局. pp. iii, 2, 3, 7. 2012 年9 月– 2017 年12 月... 助成金番号: FA8750-12-2-0326 ... UCSD ネットワークテレスコープ( / 8 IPv4ダークネットを監視)からパケットレベルのデータを収集することに取り組んでいます... 収集されたファイル数とデータの総量... ([2012-10-01] から [2017-12-31] まで) および累積サイズ...テレスコープ: ファイル数: 129552;サイズ: 2.85 PB ; ディスク上のサイズ (圧縮済み)、[2017-12-31 時点]: 1.30 PB ; 非圧縮サイズ、[2017-12-31 時点]: 3.25 PB

[durumeric-20140808-9] Durumeric, Zakir; Bailey, Michael; Halderman, J. Alex;ミシガン大学(2014-08-08). インターネット全体のスキャンに関するインターネット全体の見解(PDF)。USENIX セキュリティシンポジウム。 [2013-01-01] から [2014-05-01] までの期間、 Merit Networkで運用された darknet 。... 550 万のアドレス、... 1 日あたり 14 億パケット、または 55 GB のトラフィック。

[11] Merit Network . 「Longitudinal Darknet 35/8」。ブラックホールアドレス空間データ、flowtuple。IMPACT Cybertrust。偽装されたソース IP によるTCP SYNフラッド攻撃の場合、被害者は偽装された IP に TCP SYN-ACK で応答します。偽装された IP が35/8アドレス空間内にある場合、ダークネットは SYN-ACK 応答をキャプチャします... 収集開始: [2005-10-05]; ... データ収集は進行中です... サイズ: 18.2TB 収集されるデータが増えるにつれてサイズは増加しています

[akamai-2019q2-state-12] Belson, David 編 (2009-07-09)。「Conficker」(PDF)。セキュリティ。インターネットの現状。第 2 巻、第 1 号。Akamai Technologies。8ページ。これは、攻撃トラフィックデータを収集するAkamaiサーバーのセットと同様の機能を果たすCAIDAのUCSD Network Telescopeで観測された同様の低下によって裏付けられています。

[richter-2019-13] Richter, Philipp; Berger, Arthur (2019 年 7 月)。「スキャナーのスキャン: 大規模分散ネットワーク望遠鏡によるインターネットの検知」ACM インターネット測定会議。アムステルダム、オランダ。

[ohara-2019-14] O'Hara, Joseph (2019 年 4 月)。「インターネット背景放射収集のためのクラウドベースのネットワークテレスコープ」(PDF)。トリニティカレッジダブリン。p. 16。HEAnetのEoin Kenny に感謝します。従来の /16 ネットワークテレスコープは、アイルランドの国立教育研究ネットワークである HEAnet から提供されました。... / 16アドレス空間は、この研究が行われるまで何年も使われていませんでした。... CAIDA / 8の 256 倍小さいです。... 記録されたデータレートは 1.25 Mbpsでした。... 95.6 GB

[15] Metongnon, Lionel; Sadre, Ramin (2018-08-20). Telnet を超えて: 望遠鏡とハニーポット測定における IoT プロトコルの普及。ACM SIGCOMM -WTMC。p. 4. doi : 10.1145 /3229598.3229604。S2CID 51926045。/15ネットワーク望遠鏡のセットアップ

[16] Aben, Emile (2020-01-17). 「2a10::/12 の Debogonisation」。