RTBH

読み：あーるてぃーびーえいち　／　英語表記：Remote Triggered Black Hole filtering

ルーティング・冗長化
セキュリティ

BGPなどで経路情報を配布し、離れたルータに対象の通信を破棄させるフィルタリング手法である。宛先ベースの方式では攻撃対象への通信を入口で遮断し、共用の回線や他のサービスへの影響を抑える。

イマシルちゃんの解説

一つのサーバへ大量の通信が押し寄せると、途中の回線まで混雑して、同じ回線を使う別のサービスも利用しにくくなるんだ。
RTBHは、対象の通信を止めるための経路情報を配り、離れたルータでまとめて遮断する手法だよ。
よく使う宛先ベースの方式では、攻撃されているIPアドレスへの通信をネットワークの入口で止めるんだ。
ただし、その宛先へ向かう普通の通信も届かなくなる。
攻撃された宛先の利用を制限する代わりに、共用の回線や周囲のサービスを守るための対策なんだよ。

より深い解説

経路を知らせる仕組みで遮断を指示する

RTBHでは、対象を決めて情報を配布する装置と、実際のパケットを止めるルータを分ける。配布にはBGPを利用できるため、複数のルータへ一台ずつアクセスしてフィルタを変更する操作を減らせる。

経路情報の広告だけで攻撃を識別できるわけではない。通信量やNetFlowの観測結果などから対象を判断する処理は別に必要になる。RTBHが担うのは、判断後の遮断をネットワークへ反映する部分である。

宛先ベースRTBHの動作

宛先ベースRTBHでは、攻撃対象の宛先プレフィックスへの経路を広告する。受信側のルータは事前に定めたポリシーに従い、その経路をNullインタフェースなどの廃棄先へ向ける。

段階	処理
事前準備	経路を受け入れる相手、対象アドレスの範囲、廃棄先、適用する入口ルータを決める
検知	大量の通信が集中している宛先と、共用設備への影響を確認する
指示	対象への経路を広告し、BGPコミュニティなどの目印を付ける
適用	入口ルータが目印に対応するポリシーを適用し、対象宛てのパケットを破棄する
解除	攻撃の終了を確認して対象経路を撤回し、通常の通信へ戻す

例えば通常は198.51.100.0/24への経路でサーバ群へ転送しているとする。198.51.100.42だけを遮断する場合は、その単一アドレスを指定したホスト経路を広告する。対象へはより長いプレフィックスが一致するため、その経路が選ばれる。ここでのアドレスは説明用である。

IPv4の単一アドレスを指定する長さは32ビット、IPv6なら128ビットになる。ただし細かな経路をどこまで受け入れるかは運用ポリシーであり、インターネット全体へ無条件に広告できるわけではない。

BLACKHOLEコミュニティを使う

BGPコミュニティは経路へ処理の目印を付ける属性である。RFC 7999のBLACKHOLEコミュニティは、付与されたプレフィックスへの通信を破棄してほしいことを伝える。値は65535:666である。

この値を付けるだけで、あらゆるルータが自動的に遮断するわけではない。受信側がその意味を受け入れる設定を持ち、対象範囲を検証して処理する必要がある。事業者と接続する場合は、利用条件と広告可能なプレフィックスを事前に確認する。

RTBHには事業者独自のコミュニティを使う実装もある。特定のコミュニティの値とRTBH全体の仕組みを同一視しない。

遮断する場所と影響範囲

サーバ直前で止めても、そのサーバまでの回線が飽和していれば通信品質は回復しない。守りたい回線へ流入する前に遮断できる場所を選ぶ必要がある。自組織の入口より上流で詰まっている場合は、接続事業者側での対策を組み合わせる。

宛先ベースの方式では対象への正規の通信も止まる。攻撃された一つのアドレスを利用停止にして、同じ回線を使う他の宛先を守る判断になる。複数のサービスが同じIPアドレスを共有していれば、その全てが影響を受ける可能性がある。

通信の一部だけを選びたい場合は、プロトコルやポート番号も条件にできるBGP FlowSpecなどを検討する。どの方法でも、条件が実際の攻撃と一致しているかを確認する必要がある。

送信元ベースRTBHとの違い

送信元ベースRTBHは、止めたい送信元のアドレスを対象にする方式である。RFC 5635では、送信元への到達経路を確認するuRPFと廃棄経路を組み合わせる方法を扱っている。単に宛先の経路表へ送信元アドレスを追加するだけでは、受信パケットの送信元による判定にはならない。廃棄経路を正当な到達経路と判定しない実装・設定であることも確認する。

方式	主に選ぶもの	影響の考え方
宛先ベース	攻撃対象の宛先アドレスを選ぶ	対象宛ての通信全体を止める
送信元ベース	不要な通信の送信元アドレスを選ぶ	その送信元からの別用途の通信も影響を受け得る

送信元が偽装される攻撃では、観測されたアドレスだけで攻撃者を断定できない。共有アドレスや動的な割当ても考慮し、遮断対象と解除条件を決める。

運用で確認すること

不正な遮断指示を受け入れると、RTBH自体が通信停止の原因になる。許可した管理元だけが指示できるようにし、対象プレフィックスの範囲と最大件数を制限する。通常の経路広告と区別し、必要な範囲を越えて伝播させない。

適用後は経路を受信した事実に加え、入口での廃棄数と他サービスへの影響を確認する。解除後の経路撤回と疎通確認までを同じ作業手順に含める。CDNと組み合わせた判断は「CDNによる配信とDDoS対策」で扱う。

参考資料

RFC 5635は宛先・送信元に基づくRTBHを説明している。
RFC 7999はBLACKHOLEコミュニティと運用上の取扱いを説明している。
IPAの令和6年度問題資料のネットワークスペシャリスト午後Ⅰ問1で、遮断する場所と影響範囲を確認できる。

午後での問われ方

遮断の指示を出す装置と、パケットを止めるルータを区別する。対象経路のプレフィックス長、廃棄先への転送、守られる回線、正常な通信への影響を順に説明できるようにする。