Op deze pagina
Kernpunten
- Risk before serverTraffic can be diverted early.
- DDoS + hijackRouting can bypass mitigation.
- PreventionRPKI, monitoring and procedures help.
Het probleem definiëren
Een origin hijack is een verkeerde AS-origin voor een prefix.
Een more-specific of route leak kan verkeer aantrekken en het pad breken.
Het gevaar is dat de dienst intern gezond lijkt. Servers en firewalls tonen normale waarden, omdat verkeer al is omgeleid.
Om route hijacking en BGP-beveiliging te beoordelen moet je drie lagen scheiden: het BGP-signaal, het echte verkeer en de gebruikerservaring.
Waarom dit belangrijk is
Veel DDoS-plannen veronderstellen dat verkeer bij mitigatie aankomt.
Als routing faalt, tonen scrubbinggraphs soms niets terwijl gebruikers offline zijn.
Een aanvaller heeft geen enorme packet rate nodig als hij bereikbaarheid kan manipuleren. Een kort routingincident veroorzaakt zichtbare downtime en verwart incident response.
Zo wordt routing security een echt onderdeel van beschikbaarheid.
Mogelijke oplossingen
Routinghygiëne: IRR, AS-SET, prefix-limits en filters.
RPKI/ROA beperkt ongeldige origins wanneer validatie wordt toegepast.
Externe monitoring detecteert origin changes en more-specifics.
RPKI moet samen met monitoring. Een geldige ROA helpt weinig zonder alert op concurrerende origins, en monitoring zonder escalatiecontacten bevestigt alleen sneller de storing.
Juist bij route hijacking is snelheid belangrijk: een nette contactlijst, voorbereid bewijs en bekende routing objects maken escalatie veel korter.
- BGP hygiene
- IRR, AS-SET, prefix limits
- RPKI/ROA
- Origin validation
- Monitoring
- External collectors
| Risico | Symptoom | Verdediging |
|---|---|---|
| Origin hijack | Verkeerd AS zichtbaar | ROA + alerts |
| More-specific | Verkeer elders | Voorzichtige max-length |
| Route leak | Onverwachte paden | Filters en AS-SET |
Concreet voorbeeld
Een hoster annonceert een /24 via mitigatie, maar een ander AS annonceert verkeerd hetzelfde prefix.
Met ROA, filters en alerts wordt het incident sneller gezien.
Hetzelfde helpt bij geplande wijzigingen. Bij migratie naar protected transit bevestigt externe zichtbaarheid dat Internet de verwachte origin ziet.
Veelgemaakte fouten
De fout is routing security los zien van DDoS.
Een veelgemaakte fout is een te brede ROA max-length. Dat maakt operatie makkelijker, maar verzwakt bescherming tegen ongeautoriseerde specifiekere aankondigingen.
- ROA max-length te breed.
- IRR/AS-SET niet onderhouden.
- Geen prefix-limits.
- Alleen servers monitoren.
FAQ
Altijd kwaadaardig?
No, vaak zijn het fouten.
Voorkomt RPKI alles?
No, maar het reduceert invalid origins.
Relatie met DDoS?
Kan mitigatie omzeilen.
