Сетевой телескоп
Сетевой телескоп (также известный как пакетный телескоп , [1] даркнет , интернет-датчик движения или черная дыра ) [2] [3] [4] — Интернет- система, позволяющая наблюдать за различными масштабными событиями, происходящими в сети Интернет. Основная идея заключается в наблюдении за трафиком, направленным в темное (неиспользуемое) адресное пространство сети. Поскольку весь трафик на эти адреса является подозрительным, наблюдая за ним, можно получить информацию о возможных сетевых атаках (червях случайного сканирования и обратном рассеянии DDoS ), а также о других неправильных конфигурациях.
Разрешение интернет-телескопа зависит от количества IP-адресов, которые он отслеживает. Например, большой интернет-телескоп, отслеживающий трафик по 16 777 216 адресов ( интернет-телескоп / 8 в IPv4 ), имеет более высокую вероятность наблюдения относительно небольшого события, чем меньший телескоп, отслеживающий 65 536 адресов ( интернет-телескоп / 16 ).
Название происходит от аналогии с оптическими телескопами , где больший физический размер позволяет больше фотонов . наблюдать [5]
Вариантом сетевого телескопа является разреженная даркнет, или грейнет, состоящая из области пространства IP-адресов , редко заполненной адресами «даркнета», перемежающимися активными (или «освещенными») IP-адресами. [2] В их число входит грейнет, собранный из 210 000 неиспользуемых IP-адресов, расположенных в основном в Японии. [6]
Экземпляры крупных сетевых телескопов
[ редактировать ]| Сеть | Покрытие | IP-адреса | Имя | Продолжительность жизни | Захватывает |
|---|---|---|---|---|---|
| 1 / 8 | 100% [3] | ~16M | АПНИК | 23.02.2010 (1 неделя) | 4,1 терабайт [3] |
| 44 / 8 | 99% [4] | ~16M | Сетевой телескоп UCSD [примечание 1] | 2001-02-01‒2017-12-31 | 3,25 петабайт [7] |
| 2018-01-01‒2019-06-04 | |||||
| 74% | ~12 млн. | 2019-06-05— | |||
| 35 / 8 | 67% [4] | ~11 млн. | Сеть заслуг [примечание 2] | 2005-10-05— | 18,2 терабайт [9] |
| 50 / 8 | 100% [3] | ~16M | АРИН | 12.03.2010 (1 неделя) | 1,1 терабайт [3] |
| 107 / 8 | 100% [3] | ~16M | АРИН | 25 марта 2010 г. (1 неделя) | 1,2 терабайта [3] |
| 1300 сетей | Умный [10] / С [11] | 2009/2019— | |||
| / 16 | 100% | 65 тыс. | HEANet [12] | 2019-03 (1 неделя) | 96 гигабайт [12] |
| / 15 | 100% | ~130 тыс. | СЕРФнет [13] | ||
| 2a10:: / 12 (IPv6) | 100% | 8,3 миллиарда триллионов триллионов (2^112) | РАЙП НКЦ [14] | 13.01.2020 - 16.01.2020 (3 дня) | 19 миллионов пакетов |
- ^ Размещено в Суперкомпьютерном центре Сан-Диего , управляемом Центром прикладного анализа интернет-данных , Калифорнийского университета в Сан-Диего с использованием IP-адресов любительского радио AMPRNet .
- ^ Merit Network Telescope, состоящая из ~ 5,5 миллионов (2014 г.), [8] или ~11 миллионов неиспользуемых IP-адресов.
См. также
[ редактировать ]Ссылки
[ редактировать ]- ^ Чесвик, Билл (август 2013 г.). «Билл Чесвик о брандмауэрах» (PDF) . Безопасность. ;логин: Журнал USENIX (Интервью). Том. 38, нет. 4. Беседовал Рик Фэрроу. п. 21.
Примерно в это же время (конец 1980-х) Марк Хортон получил адрес класса А для AT&T от власть имущих , просто спросив. ...нашему компьютеру Cray похоже, требовалась сеть класса А ... взял 12.0.0.0/8 , и объявил об этом в Сети, передав пакеты на несуществующий адрес Ethernet и запустив tcpdump для трафика, который составил примерно От 12 до 25 МБ/день. Стив проанализировал этот трафик и написал прекрасную статью. По сути, мы наблюдали предсмертные крики атакованных хостов, использовавших аутентификацию на основе IP-адреса. ... Это первый пакетный телескоп, который я помню, и мне кажется, что я даже придумал термин «пакетный телескоп», но моя память на этот счет нечеткая.
- ^ Jump up to: а б Харроп, В.; Армитидж, Г. (2005). «Определение и оценка грейнетов (редких даркнетов)». Конференция IEEE по 30-летию локальных компьютерных сетей (LCN'05)l . Войдите или приобретите, чтобы получить доступ к: IEEE . стр. 344–350. дои : 10.1109/LCN.2005.46 . hdl : 1959.3/2449 . ISBN 0-7695-2421-4 . S2CID 18789864 .
- ^ Jump up to: а б с д и ж г Вустроу, Эрик; Карир, Маниш; Бейли, Майкл; Джаханян, Фарнам; Хьюстон, Джефф (9 июня 2010 г.). Еще раз о фоновом излучении в Интернете (PDF) . Интернет-конференция по измерениям.
Системы, которые отслеживают неиспользуемые адресные пространства, имеют множество названий, включая даркнеты, сетевые телескопы, мониторы черных дыр, сетевые приемники и сетевые датчики движения. ... 1/8 ... 50/8 ... 107/8 ... 35/8
- ^ Jump up to: а б с Бенсон, Карин; Дайнотти, Альберто; Клаффи, Коннектикут ; Снорен, Алекс С .; Каллицис, Михаил (10 сентября 2015 г.). Использование фонового интернет-излучения для оппортунистического сетевого анализа (PDF) . Конференция по Интернет-измерениям '15. Токио, Япония. дои : 10.1145/2815675.2815702 . ISBN 978-1-4503-3848-6 . S2CID 6184617 .
Даркнет или сетевой телескоп представляет собой набор маршрутизируемых, но неиспользуемых IP-адресов... Калифорнийский университет в Сан-Диего и Merit Network управляют большими даркнетами, которые мы называем UCSD-NT и MERIT-NT соответственно. UCSD-NT отслеживает трафик, предназначенный для более чем 99% IP-адресов в непрерывном блоке / 8 . MERIT-NT охватывает около 67% другого / 8 блока.
- ^ Мур, Дэвид; Шеннон, Коллин; Фолькер, Джеффри М.; Сэвидж, Стефан (апрель 2004 г.). «Сетевые телескопы: технический отчет» (PDF) . Технические отчеты.
Сетевые телескопы были названы по аналогии с астрономическими телескопами , ... вызванными сравнением пакетов , поступающих в часть адресного пространства , с фотонами , поступающими в апертуру светового телескопа . ... большая апертура увеличивает разрешение объектов, обеспечивая больше позиционных деталей; в сетевых телескопах наличие большего адресного пространства увеличивает разрешение событий за счет предоставления большей детализации времени. ... для наблюдения одного или нескольких пакетов от хоста типа Code-Red на / 8 с вероятностью 99,999% требуется 4,9 минуты. ... Даже если атака длилась 5 минут, вероятность того, что телескоп / 16 увидит хотя бы 1 пакет, составляет всего 89,9%. ...благодарим Брайана Кантора , Джима Мэддена и Пэта Уилсона из Калифорнийского университета в Сан-Франциско за техническую поддержку проекта Сетевого телескопа . ... Поддержка этой работы обеспечивается грантом NSF Trusted Computing Grant CCR -0311690, Исследовательская программа Университета систем Cisco , контракт DARPA FTN N66001-01-1-8933, NSF грант ANI -0221172, грант Национального института стандартов 60NANB1D0118 и щедрый подарок от AT&T .
- ^ Ле Малеко, Эрван; Иноуэ, Дайсуке (20 марта 2014 г.). Опасность, Жан Люк; Деббаби, Мурад; Марион, Жан-Ив; Гарсиа-Альфаро, Хоакин; Хейвуд, Нур Зинцир (ред.). Ботнет Carna через призму сетевого телескопа . Основы и практика безопасности: 6-й международный симпозиум. Ла-Рошель, Франция. п. 427. ИСБН 9783319053028 .
«Сетевой телескоп, которым мы управляем в настоящее время, насчитывает около 210 тысяч неиспользуемых адресов IPv4, разбросанных по сетям ряда партнерских организаций (расположенных в Японии и за ее пределами). Эти неиспользуемые адреса образуют даркнеты размером от нескольких адресов до целых / 16 подсетей. … понятие «грейнет» … состоящее из смеси используемых и неиспользуемых IP-адресов.
- ^ Клаффи, К .; Фоменкова Марина; Калифорнийский университет в Сан-Диего ; Центр прикладного анализа интернет-данных (CAIDA) (22 июня 2018 г.). Роуз, Фрэйс А.; Матияс, Джон Д. (ред.). Итоговый технический отчет. Поддержка исследований и разработок технологий безопасности посредством сбора данных о сети и безопасности (отчет). Информационное управление научно-исследовательской лаборатории ВВС . стр. iii, 2, 3, 7.
Сентябрь 2012 г. - декабрь 2017 г. ... Номер гранта: FA8750-12-2-0326 ... занимается сбором данных на уровне пакетов с сетевого телескопа UCSD (который отслеживает / 8) IPv4 . даркнет) ... количество файлов и общий объем собранных данных ... (с [2012-10-01] по [2017-12-31]), а также совокупный размер ... Телескоп : количество файлов: 129552; Размер: 2,85 ПБ ; Размер на диске (в сжатом виде), [на 31 декабря 2017 г.]: 1,30 ПБ ; Размер в несжатом виде, [на 31 декабря 2017 г.]: 3,25 ПБ.
- ^ Дурумерик, Закир; Бейли, Майкл; Халдерман, Дж. Алекс; Мичиганский университет (08 августа 2014 г.). Обзор сканирования в Интернете (PDF) . Симпозиум по безопасности USENIX.
даркнет работал в Merit Network в период с [2013-01-01] по [2014-05-01]. ... 5,5 миллионов адресов, ... 1,4 миллиарда пакетов или 55 ГБ трафика в день.
- ^ Сеть заслуг . даркнет 35/8 Продольный » . « Данные адресного пространства черной дыры, поточный кортеж. ВОЗДЕЙСТВИЕ Кибердоверие.
в случае атаки TCP SYN -флуд с поддельным IP-адресом источника жертва ответит TCP SYN-ACK на поддельный IP-адрес; если поддельный IP-адрес окажется в 35/8 ; адресном пространстве , наша даркнет перехватит ответы SYN-ACK... Начало сбора: [2005-10-05] ... Сбор данных продолжается... Размер: 18,2 ТБ. Размер увеличивается по мере сбора большего количества данных.
- ^ Белсон, Дэвид, изд. (9 июля 2009 г.). «Конфикер» (PDF) . Безопасность. Состояние Интернета . Том. 2, нет. 1. Акамай Технологии . п. 8.
подтверждается аналогичными падениями, наблюдаемыми , CAIDA сетевым телескопом UCSD который выполняет функцию, аналогичную набору серверов Akamai , которые собирают данные об атаковом трафике.
- ^ Рихтер, Филипп; Бергер, Артур (июль 2019 г.). Сканирование сканеров: обнаружение Интернета с помощью широкораспределенного сетевого телескопа . Интернет-конференция по измерениям ACM. Амстердам, Нидерланды.
- ^ Jump up to: а б О'Хара, Джозеф (апрель 2019 г.). «Облачный сетевой телескоп для сбора фонового излучения в Интернете» (PDF) . Тринити-колледж Дублина . п. 16.
Спасибо Эоину Кенни из HEAnet ... Традиционный сетевой телескоп /16 был предоставлен HEAnet , Национальной сетью образования и исследований Ирландии. ... / 16 адресное пространство не использовалось в течение ряда лет до этого исследования ... в 256 раз меньше, чем у CAIDA / 8 ... записанная скорость передачи данных составляла 1,25 Мбит / с ... 95,6 ГБ
- ^ Метонгнон, Лайонел; Садре, Рамин (20 августа 2018 г.). За пределами Telnet: распространенность протоколов Интернета вещей в измерениях с помощью телескопов и ловушек . ACM SIGCOMM-WTMC. п. 4. дои : 10.1145/3229598.3229604 . S2CID 51926045 .
установка с / 15 сетевым телескопом
- ^ Абен, Эмиль (17 января 2020 г.). «Дебогонизация 2a10::/12» .
Дальнейшее чтение
[ редактировать ]- Белловин, Стивен М. (15 августа 1992 г.). Там есть драконы (PDF) . Третий симпозиум по безопасности Usenix UNIX. Архивировано из оригинала (PDF) 7 декабря 2004 г. Проверено 31 июля 2019 г.
- Белловин, Стивен М. (23 августа 1993 г.). «Пакеты, найденные в Интернете» (PDF) . Обзор компьютерных коммуникаций . 23 (3): 26–31. дои : 10.1145/174194.174199 . S2CID 35537646 . Архивировано из оригинала (PDF) 7 декабря 2004 г. Проверено 31 июля 2019 г.
Внешние ссылки
[ редактировать ]- Сетевой телескоп CAIDA в Калифорнийском университете в Сан-Диего
- Проект Darknet в Team Cymru Darknet
 | Эта о компьютерных сетях статья незавершена . Вы можете помочь Википедии, расширив ее . |