En esta página
Puntos clave
- Risk before serverTraffic can be diverted early.
- DDoS + hijackRouting can bypass mitigation.
- PreventionRPKI, monitoring and procedures help.
Definición del problema
Un origin hijack es un origen AS incorrecto para un prefijo.
Un more-specific o route leak puede atraer tráfico y romper el camino.
Lo peligroso de un hijack es que el servicio puede parecer sano internamente. Servidores y firewalls muestran CPU normal y ningún ataque, porque el tráfico ya fue desviado.
Para evaluar route hijacking y seguridad BGP, conviene separar tres planos: la señal BGP, el tráfico real y la experiencia de usuario.
Por qué es importante
Muchos planes DDoS suponen que el tráfico llega a la mitigación.
Si falla el routing, los gráficos de scrubbing pueden no mostrar nada mientras usuarios están offline.
Un atacante no necesita sostener mucho tráfico si puede manipular alcanzabilidad. Un incidente corto de routing crea caída visible, confunde la respuesta y oculta el camino real.
Soluciones posibles
Higiene de routing: IRR, AS-SET, prefix-limits y filtros.
RPKI/ROA limita orígenes inválidos cuando hay validación.
La monitorización externa detecta cambios de origen y more-specifics.
RPKI debe ir con monitorización. Un ROA válido no ayuda si nadie alerta sobre un origen competidor, y monitorizar sin contactos de escalada solo confirma la caída más rápido.
- BGP hygiene
- IRR, AS-SET, prefix limits
- RPKI/ROA
- Origin validation
- Monitoring
- External collectors
| Riesgo | Síntoma | Defensa |
|---|---|---|
| Origin hijack | AS incorrecto visible | ROA + alertas |
| More-specific | Tráfico atraído | Max-length prudente |
| Route leak | Caminos inesperados | Filtros y AS-SET |
Caso concreto o ejemplo
Un hoster anuncia un /24 vía mitigación, pero otro AS anuncia por error el mismo prefijo.
Con ROA, filtros y alertas se detecta más rápido.
El mismo proceso ayuda en cambios planificados. Al mover un prefijo a tránsito protegido, la visibilidad externa confirma que Internet ve el origen esperado.
Errores frecuentes
El error es separar seguridad BGP y DDoS.
Un error común es crear ROA con max-length demasiado amplio. Facilita operación, pero debilita protección contra anuncios más específicos no autorizados.
- ROA max-length demasiado amplio.
- IRR/AS-SET sin mantener.
- Sin prefix-limits.
- Monitorizar solo servidores.
FAQ
¿Siempre es malicioso?
No, a menudo son errores.
¿RPKI lo evita todo?
No, pero reduce orígenes inválidos.
¿Relación con DDoS?
Puede evitar la mitigación.
