Сетевой телескоп

Сетевой телескоп (также известный как пакетный телескоп , ^{[ 1 ]} даркнет , интернет-датчик движения или черная дыра ) ^{[ 2 ]}^{[ 3 ]}^{[ 4 ]} — Интернет- система, позволяющая наблюдать за различными масштабными событиями, происходящими в сети Интернет. Основная идея заключается в наблюдении за трафиком, направленным в темное (неиспользуемое) адресное пространство сети. Поскольку весь трафик на эти адреса является подозрительным, наблюдая за ним, можно получить информацию о возможных сетевых атаках (червях случайного сканирования и обратном рассеянии DDoS ), а также о других неправильных конфигурациях.

Разрешение интернет-телескопа зависит от количества IP-адресов, которые он отслеживает. Например, большой интернет-телескоп, отслеживающий трафик по 16 777 216 адресов ( интернет-телескоп / 8 в IPv4 ), имеет более высокую вероятность наблюдения относительно небольшого события, чем меньший телескоп, отслеживающий 65 536 адресов ( интернет-телескоп / 16 ).

Название происходит от аналогии с оптическими телескопами , где больший физический размер позволяет больше фотонов . наблюдать ^{[ 5 ]}

Вариантом сетевого телескопа является разреженная даркнет, или грейнет, состоящая из области пространства IP-адресов , редко заполненной адресами «даркнета», перемежающимися активными (или «освещенными») IP-адресами. ^{[ 2 ]} В их число входит грейнет, собранный из 210 000 неиспользуемых IP-адресов, расположенных в основном в Японии. ^{[ 6 ]}

Экземпляры крупных сетевых телескопов

Сеть	Покрытие	IP-адреса	Имя	Продолжительность жизни	Захватывает
1 / 8	100% ^{[ 3 ]}	~16M	АПНИК	23.02.2010 (1 неделя)	4,1 терабайт ^{[ 3 ]}
44 / 8	99% ^{[ 4 ]}	~16M	Сетевой телескоп UCSD ^{[ примечание 1 ]}	2001-02-01‒2017-12-31	3,25 петабайта ^{[ 7 ]}
	99% ^{[ 4 ]}	~16M		2018-01-01‒2019-06-04
	74%	~12 млн.		2019-06-05—
35 / 8	67% ^{[ 4 ]}	~11 млн.	Сеть заслуг ^{[ примечание 2 ]}	2005-10-05—	18,2 терабайт ^{[ 9 ]}
50 / 8	100% ^{[ 3 ]}	~16M	АРИН	12.03.2010 (1 неделя)	1,1 терабайт ^{[ 3 ]}
107 / 8	100% ^{[ 3 ]}	~16M	АРИН	25 марта 2010 г. (1 неделя)	1,2 терабайта ^{[ 3 ]}
1300 сетей			Умный ^{[ 10 ]} / С ^{[ 11 ]}	2009/2019—
/ 16	100%	65 тыс.	HEANet ^{[ 12 ]}	2019-03 (1 неделя)	96 гигабайт ^{[ 12 ]}
/ 15	100%	~130 тыс.	СЕРФнет ^{[ 13 ]}
2a10:: / 12 (IPv6)	100%	8,3 миллиарда триллионов триллионов (2^112)	РАЙП НКЦ ^{[ 14 ]}	13.01.2020 - 16.01.2020 (3 дня)	19 миллионов пакетов

^ Размещено в Суперкомпьютерном центре Сан-Диего , управляемом Центром прикладного анализа интернет-данных , Калифорнийского университета в Сан-Диего с использованием IP-адресов любительского радио AMPRNet .
^ Merit Network Telescope, состоящая из ~ 5,5 миллионов (2014 г.), ^{[ 8 ]} или ~11 миллионов неиспользуемых IP-адресов.

См. также

Ссылки

^ Чесвик, Билл (август 2013 г.). «Билл Чесвик о брандмауэрах» (PDF) . Безопасность. ;логин: Журнал USENIX (Интервью). Том. 38, нет. 4. Беседовал Рик Фэрроу. п. 21. Примерно в это же время (конец 1980-х годов) Марк Хортон получил адрес класса А для AT&T от сильных мира сего , просто спросив. ... нашему компьютеру Cray похоже, требовалась сеть класса А ... взял 12.0.0.0/8 , и объявил об этом в Сети, передав пакеты на несуществующий адрес Ethernet и запустив tcpdump для трафика, который составил примерно От 12 до 25 МБ/день. Стив проанализировал этот трафик и написал прекрасную статью. По сути, мы наблюдали предсмертные крики атакованных хостов, использовавших аутентификацию на основе IP-адреса. ... Это первый пакетный телескоп, который я помню, и мне кажется, что я даже придумал термин «пакетный телескоп», но моя память на этот счет нечеткая.
^ Jump up to: ^а ^б Харроп, В.; Армитидж, Г. (2005). «Определение и оценка грейнетов (редких даркнетов)». Конференция IEEE по 30-летию локальных компьютерных сетей (LCN'05)l . Войдите или приобретите, чтобы получить доступ к: IEEE . стр. 344–350. дои : 10.1109/LCN.2005.46 . hdl : 1959.3/2449 . ISBN 0-7695-2421-4 . S2CID 18789864 .
^ Jump up to: ^а ^б ^с ^д ^и ^ж ^г Вустроу, Эрик; Карир, Маниш; Бейли, Майкл; Джаханян, Фарнам; Хьюстон, Джефф (9 июня 2010 г.). Еще раз о фоновом излучении в Интернете (PDF) . Интернет-конференция по измерениям. Системы, которые отслеживают неиспользуемые адресные пространства, имеют множество названий, включая даркнеты, сетевые телескопы, мониторы черных дыр, сетевые приемники и сетевые датчики движения. ... 1/8 ... 50/8 ... 107/8 ... 35/8
^ Jump up to: ^а ^б ^с Бенсон, Карин; Дайнотти, Альберто; Клаффи, Коннектикут ; Снорен, Алекс С .; Каллицис, Михаил (10 сентября 2015 г.). Использование фонового интернет-излучения для оппортунистического сетевого анализа (PDF) . Конференция по Интернет-измерениям '15. Токио, Япония. дои : 10.1145/2815675.2815702 . ISBN 978-1-4503-3848-6 . S2CID 6184617 . Даркнет или сетевой телескоп представляет собой набор маршрутизируемых, но неиспользуемых IP-адресов... Калифорнийский университет в Сан-Диего и Merit Network управляют большими даркнетами, которые мы называем UCSD-NT и MERIT-NT соответственно. UCSD-NT отслеживает трафик, предназначенный для более чем 99% IP-адресов в непрерывном блоке / 8 . MERIT-NT охватывает около 67% другого / 8 блока.
^ Мур, Дэвид; Шеннон, Коллин; Фолькер, Джеффри М.; Сэвидж, Стефан (апрель 2004 г.). «Сетевые телескопы: технический отчет» (PDF) . Технические отчеты. Сетевые телескопы были названы по аналогии с астрономическими телескопами , ... вызванными сравнением пакетов , поступающих в часть адресного пространства , с фотонами , поступающими в апертуру светового телескопа . ... большая апертура увеличивает разрешение объектов, обеспечивая больше позиционных деталей; в сетевых телескопах большее адресное пространство увеличивает разрешение событий за счет предоставления большей детализации времени. ... для наблюдения одного или нескольких пакетов от хоста типа Code-Red на / 8 с вероятностью 99,999% требуется 4,9 минуты. ... Даже если атака длилась 5 минут, вероятность того, что телескоп / 16 увидит хотя бы 1 пакет, составляет всего 89,9%. ...благодарим Брайана Кантора , Джима Мэддена и Пэта Уилсона из Калифорнийского университета в Сан-Франциско за техническую поддержку проекта Сетевого телескопа . ... Поддержка этой работы обеспечивается грантом NSF Trusted Computing Grant CCR -0311690, Исследовательская программа Университета систем Cisco , контракт DARPA FTN N66001-01-1-8933, NSF грант ANI -0221172, грант Национального института стандартов 60NANB1D0118 и щедрый подарок от AT&T .
^ Ле Малеко, Эрван; Иноуэ, Дайсуке (20 марта 2014 г.). Опасность, Жан Люк; Деббаби, Мурад; Марион, Жан-Ив; Гарсиа-Альфаро, Хоакин; Хейвуд, Нур Зинцир (ред.). Ботнет Carna через призму сетевого телескопа . Основы и практика безопасности: 6-й международный симпозиум. Ла-Рошель, Франция. п. 427. ИСБН 9783319053028 . «Сетевой телескоп, которым мы управляем в настоящее время, насчитывает около 210 тысяч неиспользуемых адресов IPv4, разбросанных по сетям ряда партнерских организаций (расположенных в Японии и за ее пределами). Эти неиспользуемые адреса образуют даркнеты размером от нескольких адресов до целых / 16 подсетей. … понятие «грейнет» … состоящее из смеси используемых и неиспользуемых IP-адресов.
^ Клаффи, К .; Фоменкова Марина; Калифорнийский университет в Сан-Диего ; Центр прикладного анализа интернет-данных (CAIDA) (22 июня 2018 г.). Роуз, Фрэйс А.; Матияс, Джон Д. (ред.). Итоговый технический отчет. Поддержка исследований и разработок технологий безопасности посредством сбора данных о сети и безопасности (отчет). Информационное управление научно-исследовательской лаборатории ВВС . стр. iii, 2, 3, 7. Сентябрь 2012 г. - декабрь 2017 г. ... Номер гранта: FA8750-12-2-0326 ... занимается сбором данных на уровне пакетов с сетевого телескопа UCSD (который отслеживает / 8) IPv4 . даркнет) ... количество файлов и общий объем собранных данных ... (с [2012-10-01] по [2017-12-31]), а также совокупный размер ... Телескоп : количество файлов: 129552; Размер: 2,85 ПБ ; Размер на диске (в сжатом виде), [на 31 декабря 2017 г.]: 1,30 ПБ ; Размер в несжатом виде, [на 31 декабря 2017 г.]: 3,25 ПБ.
^ Дурумерик, Закир; Бейли, Майкл; Халдерман, Дж. Алекс; Мичиганский университет (08 августа 2014 г.). Обзор сканирования в Интернете (PDF) . Симпозиум по безопасности USENIX. даркнет работал в Merit Network в период с [2013-01-01] по [2014-05-01]. ... 5,5 миллионов адресов, ... 1,4 миллиарда пакетов или 55 ГБ трафика в день.
^ Сеть заслуг . даркнет 35/8 Продольный » . « Данные адресного пространства черной дыры, кортеж. ВОЗДЕЙСТВИЕ Кибердоверие. в случае атаки TCP SYN -флуд с поддельным IP-адресом источника жертва ответит TCP SYN-ACK на поддельный IP-адрес; если поддельный IP-адрес оказался в 35/8 ; адресном пространстве , наша даркнет перехватит ответы SYN-ACK... Начало сбора: [2005-10-05] ... Сбор данных продолжается... Размер: 18,2 ТБ. Размер увеличивается по мере сбора большего количества данных.
^ Белсон, Дэвид, изд. (9 июля 2009 г.). «Конфикер» (PDF) . Безопасность. Состояние Интернета . Том. 2, нет. 1. Акамай Технологии . п. 8. подтверждается аналогичными падениями, наблюдаемыми , CAIDA сетевым телескопом UCSD который выполняет функцию, аналогичную набору серверов Akamai , которые собирают данные об атаковом трафике.
^ Рихтер, Филипп; Бергер, Артур (июль 2019 г.). Сканирование сканеров: обнаружение Интернета с помощью широкораспределенного сетевого телескопа . Интернет-конференция по измерениям ACM. Амстердам, Нидерланды.
^ Jump up to: ^а ^б О'Хара, Джозеф (апрель 2019 г.). «Облачный сетевой телескоп для сбора фонового излучения в Интернете» (PDF) . Тринити-колледж Дублина . п. 16. Спасибо Эоину Кенни из HEAnet ... Традиционный сетевой телескоп /16 был предоставлен HEAnet , Национальной сетью образования и исследований Ирландии. ... / 16 адресное пространство не использовалось в течение ряда лет до этого исследования ... в 256 раз меньше, чем у CAIDA / 8 ... записанная скорость передачи данных составляла 1,25 Мбит / с ... 95,6 ГБ
^ Метонгнон, Лайонел; Садре, Рамин (20 августа 2018 г.). За пределами Telnet: распространенность протоколов Интернета вещей в измерениях с помощью телескопов и ловушек . ACM SIGCOMM-WTMC. п. 4. дои : 10.1145/3229598.3229604 . S2CID 51926045 . установка с / 15 сетевым телескопом
^ Абен, Эмиль (17 января 2020 г.). «Дебогонизация 2a10::/12» .

Дальнейшее чтение

Белловин, Стивен М. (15 августа 1992 г.). Там есть драконы (PDF) . Третий симпозиум по безопасности Usenix UNIX. Архивировано из оригинала (PDF) 7 декабря 2004 г. Проверено 31 июля 2019 г.
Белловин, Стивен М. (23 августа 1993 г.). «Пакеты, найденные в Интернете» (PDF) . Обзор компьютерных коммуникаций . 23 (3): 26–31. дои : 10.1145/174194.174199 . S2CID 35537646 . Архивировано из оригинала (PDF) 7 декабря 2004 г. Проверено 31 июля 2019 г.

Внешние ссылки

Сетевой телескоп CAIDA в Калифорнийском университете в Сан-Диего
Проект Darknet в Team Cymru Darknet

Эта о компьютерных сетях статья незавершена . Вы можете помочь Википедии, расширив ее .

[7] Размещено в Суперкомпьютерном центре Сан-Диего , управляемом Центром прикладного анализа интернет-данных , Калифорнийского университета в Сан-Диего с использованием IP-адресов любительского радио AMPRNet .

[10] Merit Network Telescope, состоящая из ~ 5,5 миллионов (2014 г.), ^{[ 8 ]} или ~11 миллионов неиспользуемых IP-адресов.

[1] Чесвик, Билл (август 2013 г.). «Билл Чесвик о брандмауэрах» (PDF) . Безопасность. ;логин: Журнал USENIX (Интервью). Том. 38, нет. 4. Беседовал Рик Фэрроу. п. 21. Примерно в это же время (конец 1980-х годов) Марк Хортон получил адрес класса А для AT&T от сильных мира сего , просто спросив. ... нашему компьютеру Cray похоже, требовалась сеть класса А ... взял 12.0.0.0/8 , и объявил об этом в Сети, передав пакеты на несуществующий адрес Ethernet и запустив tcpdump для трафика, который составил примерно От 12 до 25 МБ/день. Стив проанализировал этот трафик и написал прекрасную статью. По сути, мы наблюдали предсмертные крики атакованных хостов, использовавших аутентификацию на основе IP-адреса. ... Это первый пакетный телескоп, который я помню, и мне кажется, что я даже придумал термин «пакетный телескоп», но моя память на этот счет нечеткая.

[ieee-2] Jump up to: ^а ^б Харроп, В.; Армитидж, Г. (2005). «Определение и оценка грейнетов (редких даркнетов)». Конференция IEEE по 30-летию локальных компьютерных сетей (LCN'05)l . Войдите или приобретите, чтобы получить доступ к: IEEE . стр. 344–350. дои : 10.1109/LCN.2005.46 . hdl : 1959.3/2449 . ISBN 0-7695-2421-4 . S2CID 18789864 .

[wustrow-2010-3] Jump up to: ^а ^б ^с ^д ^и ^ж ^г Вустроу, Эрик; Карир, Маниш; Бейли, Майкл; Джаханян, Фарнам; Хьюстон, Джефф (9 июня 2010 г.). Еще раз о фоновом излучении в Интернете (PDF) . Интернет-конференция по измерениям. Системы, которые отслеживают неиспользуемые адресные пространства, имеют множество названий, включая даркнеты, сетевые телескопы, мониторы черных дыр, сетевые приемники и сетевые датчики движения. ... 1/8 ... 50/8 ... 107/8 ... 35/8

[benson-20150910-4] Jump up to: ^а ^б ^с Бенсон, Карин; Дайнотти, Альберто; Клаффи, Коннектикут ; Снорен, Алекс С .; Каллицис, Михаил (10 сентября 2015 г.). Использование фонового интернет-излучения для оппортунистического сетевого анализа (PDF) . Конференция по Интернет-измерениям '15. Токио, Япония. дои : 10.1145/2815675.2815702 . ISBN 978-1-4503-3848-6 . S2CID 6184617 . Даркнет или сетевой телескоп представляет собой набор маршрутизируемых, но неиспользуемых IP-адресов... Калифорнийский университет в Сан-Диего и Merit Network управляют большими даркнетами, которые мы называем UCSD-NT и MERIT-NT соответственно. UCSD-NT отслеживает трафик, предназначенный для более чем 99% IP-адресов в непрерывном блоке / 8 . MERIT-NT охватывает около 67% другого / 8 блока.

[tr-2004-04-5] Мур, Дэвид; Шеннон, Коллин; Фолькер, Джеффри М.; Сэвидж, Стефан (апрель 2004 г.). «Сетевые телескопы: технический отчет» (PDF) . Технические отчеты. Сетевые телескопы были названы по аналогии с астрономическими телескопами , ... вызванными сравнением пакетов , поступающих в часть адресного пространства , с фотонами , поступающими в апертуру светового телескопа . ... большая апертура увеличивает разрешение объектов, обеспечивая больше позиционных деталей; в сетевых телескопах большее адресное пространство увеличивает разрешение событий за счет предоставления большей детализации времени. ... для наблюдения одного или нескольких пакетов от хоста типа Code-Red на / 8 с вероятностью 99,999% требуется 4,9 минуты. ... Даже если атака длилась 5 минут, вероятность того, что телескоп / 16 увидит хотя бы 1 пакет, составляет всего 89,9%. ...благодарим Брайана Кантора , Джима Мэддена и Пэта Уилсона из Калифорнийского университета в Сан-Франциско за техническую поддержку проекта Сетевого телескопа . ... Поддержка этой работы обеспечивается грантом NSF Trusted Computing Grant CCR -0311690, Исследовательская программа Университета систем Cisco , контракт DARPA FTN N66001-01-1-8933, NSF грант ANI -0221172, грант Национального института стандартов 60NANB1D0118 и щедрый подарок от AT&T .

[maelcot-2014-6] Ле Малеко, Эрван; Иноуэ, Дайсуке (20 марта 2014 г.). Опасность, Жан Люк; Деббаби, Мурад; Марион, Жан-Ив; Гарсиа-Альфаро, Хоакин; Хейвуд, Нур Зинцир (ред.). Ботнет Carna через призму сетевого телескопа . Основы и практика безопасности: 6-й международный симпозиум. Ла-Рошель, Франция. п. 427. ИСБН 9783319053028 . «Сетевой телескоп, которым мы управляем в настоящее время, насчитывает около 210 тысяч неиспользуемых адресов IPv4, разбросанных по сетям ряда партнерских организаций (расположенных в Японии и за ее пределами). Эти неиспользуемые адреса образуют даркнеты размером от нескольких адресов до целых / 16 подсетей. … понятие «грейнет» … состоящее из смеси используемых и неиспользуемых IP-адресов.

[claffy-2018-06-22-8] Клаффи, К .; Фоменкова Марина; Калифорнийский университет в Сан-Диего ; Центр прикладного анализа интернет-данных (CAIDA) (22 июня 2018 г.). Роуз, Фрэйс А.; Матияс, Джон Д. (ред.). Итоговый технический отчет. Поддержка исследований и разработок технологий безопасности посредством сбора данных о сети и безопасности (отчет). Информационное управление научно-исследовательской лаборатории ВВС . стр. iii, 2, 3, 7. Сентябрь 2012 г. - декабрь 2017 г. ... Номер гранта: FA8750-12-2-0326 ... занимается сбором данных на уровне пакетов с сетевого телескопа UCSD (который отслеживает / 8) IPv4 . даркнет) ... количество файлов и общий объем собранных данных ... (с [2012-10-01] по [2017-12-31]), а также совокупный размер ... Телескоп : количество файлов: 129552; Размер: 2,85 ПБ ; Размер на диске (в сжатом виде), [на 31 декабря 2017 г.]: 1,30 ПБ ; Размер в несжатом виде, [на 31 декабря 2017 г.]: 3,25 ПБ.

[durumeric-20140808-9] Дурумерик, Закир; Бейли, Майкл; Халдерман, Дж. Алекс; Мичиганский университет (08 августа 2014 г.). Обзор сканирования в Интернете (PDF) . Симпозиум по безопасности USENIX. даркнет работал в Merit Network в период с [2013-01-01] по [2014-05-01]. ... 5,5 миллионов адресов, ... 1,4 миллиарда пакетов или 55 ГБ трафика в день.

[11] Сеть заслуг . даркнет 35/8 Продольный » . « Данные адресного пространства черной дыры, кортеж. ВОЗДЕЙСТВИЕ Кибердоверие. в случае атаки TCP SYN -флуд с поддельным IP-адресом источника жертва ответит TCP SYN-ACK на поддельный IP-адрес; если поддельный IP-адрес оказался в 35/8 ; адресном пространстве , наша даркнет перехватит ответы SYN-ACK... Начало сбора: [2005-10-05] ... Сбор данных продолжается... Размер: 18,2 ТБ. Размер увеличивается по мере сбора большего количества данных.

[akamai-2019q2-state-12] Белсон, Дэвид, изд. (9 июля 2009 г.). «Конфикер» (PDF) . Безопасность. Состояние Интернета . Том. 2, нет. 1. Акамай Технологии . п. 8. подтверждается аналогичными падениями, наблюдаемыми , CAIDA сетевым телескопом UCSD который выполняет функцию, аналогичную набору серверов Akamai , которые собирают данные об атаковом трафике.

[richter-2019-13] Рихтер, Филипп; Бергер, Артур (июль 2019 г.). Сканирование сканеров: обнаружение Интернета с помощью широкораспределенного сетевого телескопа . Интернет-конференция по измерениям ACM. Амстердам, Нидерланды.

[ohara-2019-14] Jump up to: ^а ^б О'Хара, Джозеф (апрель 2019 г.). «Облачный сетевой телескоп для сбора фонового излучения в Интернете» (PDF) . Тринити-колледж Дублина . п. 16. Спасибо Эоину Кенни из HEAnet ... Традиционный сетевой телескоп /16 был предоставлен HEAnet , Национальной сетью образования и исследований Ирландии. ... / 16 адресное пространство не использовалось в течение ряда лет до этого исследования ... в 256 раз меньше, чем у CAIDA / 8 ... записанная скорость передачи данных составляла 1,25 Мбит / с ... 95,6 ГБ

[15] Метонгнон, Лайонел; Садре, Рамин (20 августа 2018 г.). За пределами Telnet: распространенность протоколов Интернета вещей в измерениях с помощью телескопов и ловушек . ACM SIGCOMM-WTMC. п. 4. дои : 10.1145/3229598.3229604 . S2CID 51926045 . установка с / 15 сетевым телескопом

[16] Абен, Эмиль (17 января 2020 г.). «Дебогонизация 2a10::/12» .

[ 1 ]

[ 2 ]

[ 3 ]

[ 4 ]

[ 5 ]

[ 6 ]

[ примечание 1 ]

[ 7 ]

[ примечание 2 ]

[ 9 ]

[ 10 ]

[ 11 ]

[ 12 ]

[ 13 ]

[ 14 ]

[ 8 ]