system: [SYSTEM]

user: 4. 实验结果与分析 实验数据来自开源项目routeviews上2015年11月1日至30日，每日0点的路由更新，通过对路由数据进行基于绕行路径的部分异常检测结果如表1至表4所示。 图1. 异常检测流程图 Table 1 The abnormality of continuous repeated A 1 11537 2603 2603 2603 2603 1103 12654|1--4| 2 11686 12989 22381 22381 22381 22381 22381 22381 262429 52770 28605 19990|2--7| 3 11686 12989 28640 262401 262401 262401 262401 262401 262401 262401 262401 262949|3--10| 4 11686 19151 15399 37084 37545 37586 37586 37586|5--7| 5 11686 19151 174 12714 8905 8905 8905 39792 51230 56636|4--6| 6 11686 19151 174 20764 21453 21453 47321 47321 47321 48098 48098 48098 48098 48098 48098 51230 56636|4--14| 7 11686 19151 174 3741 3741 3741 3741 3741 3741 30988 37125|3--8| 8 11686 19151 20485 5563 56947 56947 56947|4--6| 9 11686 19151 3356 12956 60725 52253 52253|5--6| 10 11686 19151 3356 1299 1299 7029 6316|3--4| 11 11686 19151 3356 1299 60205 60205 60205 60205 60205|4--8| …… 表1. 连续重复AS异常 Table 2 The abnormality of forged pat 1 11537 10764 6509 376|0--2| 2 11537 2603 2603 2603 2603 1103 12654|0--5| 3 11686 19151 174 12714 8905 8905 8905 39792 51230 56636|1--7| 4 11686 19151 174 3741 3741 3741 3741 3741 3741 30988 37125|1--8| 5 11686 19151 8468 31708 31708 31708 31708 31708 31708 50882 50882 50882 50882 50882 50882 201902|1--8| 6 11686 3356 1299 1299 7029 6316|1--5| 7 11686 3356 1299 198781 36776 36776 36776 36776 36776 36776|1--9| 8 11686 3356 1299 6939 6939 3212 44647|0--4| 9 11686 3356 1299 6939 6939 44356 44356 37076 37125 37125 37125 37125 37125|0--4| 10 11686 3356 1299 8262 48452 48452|2--5| 11 …… 表2. 路径伪造异常 Table 3 The abnormality of garbled pat 1 11537 10764 513 12654|0--2| 2 11537 20965 1103 12654|0--2| 3 11537 20965 2603 1880|0--2| 4 11537 20965 27750|0--2| 5 11537 2153 2152 567 226 47065|1--3| 6 11537 2603 1653 1880|1--3| 7 11537 2603 2603 2603 2603 1103 12654|0--5| 8 11537 27750 1916 12654|0--2| 9 11686 19151 10026 9498 9829|1--3| 10 11686 19151 1273 3216 8905 51230 56636|1--3| 11 …… 表3. 路径篡改异常 Table 4 The abnormality of domestic traffic leake 1 11686 19151 3356 10794|0--2| 2 11686 19151 3356 11911|0--2| 3 11686 19151 3356 12956 60725 52253 52253|0--2| 4 11686 19151 3356 1299 1299 7029 6316|0--2| 5 11686 19151 3356 1299 18351 59149|0--2| 6 11686 19151 3356 1299 60205 60205 60205 60205 60205|0--2| 7 11686 19151 3356 15510|0--2| 8 11686 19151 3356 174 12389 8382|0--2| 9 11686 19151 3356 201287|0--2| 10 11686 19151 3356 201369|0--2| …… 表4. 流量外泄异常 表1展示了部分连续重复AS异常的路径。如路径11537 2603 2603 2603 2603 1103 12654的第2至第5个AS均为2603，使得流量在AS2603内连续跳转4次才流出AS2603，这样的行为让始于AS11537通向AS12654的流量在网络上行走时间延长。这样的路径，多半是ISP为了本流量工程所采用的一种常见的配置策略。然而，这样的配置亦可成为路由攻击的一种手段，攻击者可能为了攻击而找到这样一条路径将其修改为11537 2603 2603XXX 1103 12654，其中，“XXX”为攻击者所在AS，这样修改后，攻击者添加了自己的AS而又使路径长度由原来7变为现在的6，根据路径选择的原则，变短后的路径将后取代原来的路径成为路由，这样攻击者便能够达到攻击的目的。 表2展示了部分路径伪造的异常路径。如路径11537 10764 6509 376，AS11537和AS6509在路由表中存在一条互为邻居的路径11537 6509 376，而中此异常路径中，二者被AS10764所分开，致使流量本应从AS11537直接流向AS6509而不需要经过AS10764，这样的异常路径称作绕行路径。此外，路径的伪造还体现在AS11537和AS10764具有邻居关系，而AS10764和AS6509并非邻居关系，也就是说AS10764没有到达AS6509的路径，因此，这样的路径是不正常的，从表象上来看，符合路径伪造的特征。 表3展示了部分的路径篡改路径。可知路径11537 10764 513 12654中，AS11537和AS513、AS10746均是邻居关系，且AS10746和AS513亦是邻居关系，这样，本可以从AS11537直接流向AS513的流量却经过了AS10746，使得流量的流转绕道了，正常情况下，这种路径是不应该出现的。可能的原因是错误的路由配置所导致，或是路径篡改的攻击的行为所致，不管是哪种都是一种路径遭到篡改的异常表现，都值得关注。 表4展示了部分的流量外泄异常的路径。如其中一条路径11537 22388 7660 9264 7497 4635 38345，AS7497和AS38345均属于中国内陆所有，而AS4635属于中国香港所有，按理说，由中国大陆AS出发的流量应该有直接到达中国大陆内目标AS的路径，而不需要经过境外到达香港后再流回境内。又如路径11686 3356 4134 36678 55992 55992，中国AS4134、AS55992中间流经美国AS36678，此种情况属流经外国AS，从国家安全的角度来考虑，这种流量外泄的路径异常行为可能造成国内流量受到侦听或篡改，亦是倍受关注的重点异常行为之一。 通过对实验的路由异常数据的统计可得，连续重复AS异常数量平均占比29.6%，路由环路异常数量平均占比0%，邻居绕行异常数量平均占比35.3%，路径伪造异常数量平均占比5.3%，路径篡改异常数量平均占比31.6%，国内流量外泄数量平均占比0.8%。上述异常数量统计情况如表1所示，从表1中可以看出，路由环路异常出现次数为0，是因为路由环路容易被发现，且出现环路的危害比较大，这在路由配置策略中做了很好的预防。 从图2中异常路径和路径数量的变化情况还可以发现，在2日至7日这段期间内，虽然路径的数量变化曲线明显，但其异常路径数量却没有太明显的变化，说明此段时间内的路由更新量比较大，而18至22日这段时间内，异常路径数量较前后时间急剧增多，这样情况可能是路由攻击的征兆，因为在正常情况下，路径异常的数量会维持在一个相对稳定的状态。当有新的路径异常路由的出现后会将此异常路由传播给更多的AS进行路径选择，而出现这种异常路径急剧增加的情况，说明受到影响的路由也急剧增加，推测可能受到范围比较广的路由攻击。 此外，如图3所示，提取出绕行路径并计算出其平均最短路径的值为4.02，同时，去除绕行路径中绕行的部分并重新计算，其最短路径的值为2.06，而路由更新表的平均最短路径为4.02，可见由于绕行路径的存在使得流量传播的最短平均路径增加了近2倍，无论此种现象是基于商业利益或流量工程的考虑，还是人为的恶意攻击行为所致，都不仅给网络的承载能力带来了极大的负担，也让网络中受到攻击的可能性极大增加。 图2. 异常统计图 图3. 平均路径长度统计图