Auf dieser Seite
Das Wichtigste
- Risk before serverTraffic can be diverted early.
- DDoS + hijackRouting can bypass mitigation.
- PreventionRPKI, monitoring and procedures help.
Das Problem definieren
Ein Origin Hijack ist ein falscher AS-Origin für ein Präfix.
Ein More-Specific oder Route Leak kann Traffic anziehen und den Pfad brechen.
Gefährlich ist, dass der Dienst intern gesund wirken kann. Server und Firewalls zeigen normale Werte, weil Traffic bereits umgeleitet wurde.
Zur Bewertung von Route Hijacking und BGP-Security müssen drei Ebenen getrennt werden: BGP-Signal, realer Traffic und Nutzererlebnis.
Warum es wichtig ist
Viele DDoS-Pläne setzen voraus, dass Traffic die Mitigation erreicht.
Wenn Routing fehlschlägt, zeigen Scrubbing-Graphen teils nichts, während Nutzer offline sind.
Ein Angreifer braucht keine riesige Paketmenge, wenn er Erreichbarkeit manipuliert. Ein kurzer Routing-Vorfall erzeugt sichtbare Downtime und verwirrt die Response.
Damit wird aus Routing-Sicherheit ein echter Bestandteil der Verfügbarkeit.
Ohne diese Vorbereitung bleibt selbst eine starke DDoS-Plattform abhängig von externen Fehlankündigungen.
Mögliche Lösungen
Routing-Hygiene: IRR, AS-SET, Prefix-Limits und Filter.
RPKI/ROA reduziert ungültige Origins bei Validierung.
Externes Monitoring erkennt Origin Changes und More-Specifics.
RPKI braucht Monitoring. Ein gültiger ROA hilft wenig ohne Alert auf konkurrierende Origins, und Monitoring ohne Eskalationskontakte bestätigt nur schneller den Ausfall.
Gerade bei Route Hijacking ist Geschwindigkeit entscheidend: eine saubere Kontaktliste, vorbereitete Nachweise und bekannte Routing-Objekte verkürzen Eskalationen deutlich.
- BGP hygiene
- IRR, AS-SET, prefix limits
- RPKI/ROA
- Origin validation
- Monitoring
- External collectors
| Risiko | Symptom | Abwehr |
|---|---|---|
| Origin Hijack | Falsches AS sichtbar | ROA + Alerts |
| More-Specific | Traffic umgeleitet | Vorsichtige Max-Length |
| Route Leak | Unerwartete Pfade | Filter und AS-SET |
Konkretes Beispiel
Ein Hoster kündigt ein /24 über Mitigation an, aber ein anderes AS kündigt es fälschlich an.
Mit ROA, Filtern und Alerts wird der Vorfall schneller erkannt.
Dasselbe hilft bei geplanten Änderungen. Beim Wechsel zu Protected Transit bestätigt externe Sichtbarkeit, dass das Internet den erwarteten Origin sieht.
Häufige Fehler
Der Fehler ist, BGP-Security von DDoS zu trennen.
Ein häufiger Fehler ist ein zu breiter ROA Max-Length. Das erleichtert Betrieb, schwächt aber Schutz gegen unerlaubte spezifischere Ankündigungen.
- ROA Max-Length zu breit.
- IRR/AS-SET nicht pflegen.
- Keine Prefix-Limits.
- Nur Server überwachen.
FAQ
Immer bösartig?
Nein, oft sind es Fehler.
Verhindert RPKI alles?
Nein, aber es reduziert invalid origins.
Bezug zu DDoS?
Kann Mitigation umgehen.
