RTBH: jak i kiedy stosować Remotely Triggered Black Hole

Krótka odpowiedź: RTBH (Remotely Triggered Black Hole) to technika obrony przed atakiem, która wykorzystuje BGP, aby w kilka sekund nakazać każdemu routerowi brzegowemu w sieci odrzucanie ruchu do atakowanego adresu — w całej sieci naraz. Zamiast wolniejszych, działających pakiet po pakiecie list ACL używa tablicy przekazywania routera (forwarding table), trasując prefiks ofiary do odrzucającego next-hopa (discard/Null0). Dzięki temu skaluje się z prędkością łącza (line-rate) na dziesiątkach routerów niemal natychmiast. Cena za to jest jednak wysoka: atakowany adres przestaje być osiągalny również dla prawidłowego ruchu.

Najważniejsze w skrócie

• RTBH trasuje ruch do nikąd (null-route) za pomocą BGP i odrzucającego next-hopa (Null0) — szybko, z prędkością łącza, w całej sieci.
• RTBH na adres docelowy odrzuca cały ruch do adresu IP ofiary; RTBH na adres źródłowy odrzuca ruch od źródeł atakującego (przez uRPF).
• Zdefiniowany w RFC 5635; powszechnie znana wspólnota blackhole 65535:666 pochodzi z RFC 7999.
• Kompromis: RTBH na adres docelowy dopełnia atak DoS na ten jeden adres IP — poświęcasz hosta, by ocalić sieć.
• Używaj RTBH w ostateczności; najpierw sięgnij po BGP FlowSpec, gdy możesz zachować ruch legalny.

---

Czym jest RTBH?

RTBH (Remotely Triggered Black Hole filtering) to oparta na BGP metoda odrzucania niepożądanego ruchu w całej sieci z jednego punktu wyzwalającego. Zamiast konfigurować filtry na każdym routerze w trakcie ataku, operator rozgłasza jedną trasę BGP z odpowiednim oznaczeniem; każdy router, który ją odbierze, instaluje regułę odrzucania tego ruchu. Technika jest ustandaryzowana w RFC 5635, które rozwija wcześniejsze RFC 3882 („Configuring BGP to Block Denial-of-Service Attacks").

Technika powstała dlatego, że filtrowanie oparte na listach ACL nie skaluje się przy dużym zalewie. RFC 5635 wskazuje na jej genezę w reakcji na ataki z lutego 2000 roku: dzięki wykorzystaniu tablicy przekazywania zamiast list ACL trasy black-hole można było wypchnąć na ponad 60 routerów w około 60 sekund, z prędkością łącza — wystarczająco szybko, by miało to znaczenie w trakcie trwającego ataku.

Jak działa RTBH?

RTBH zamienia aktualizację routingu w odrzucanie ruchu w całej sieci. Router wyzwalający rozgłasza prefiks ofiary do iBGP z next-hopem, który wskazuje na interfejs discard/Null0 (albo oznacza trasę wspólnotą blackhole, którą każdy router mapuje na Null0). Gdy trasa się rozpropaguje, każdy router brzegowy kieruje ruch do tego prefiksu prosto do kosza — bez odpytywania list ACL, zwykłą (bardzo szybką) decyzją przekazywania.

Są dwa typowe sposoby jej wyzwalania:

• Metoda next-hop — ustaw next-hop rozgłaszanej trasy na wstępnie skonfigurowany adres discard (statycznie trasowany do Null0 na każdym routerze).
• Metoda community — oznacz trasę wspólnotą BGP blackhole. RFC 7999 ustandaryzowało powszechnie znaną wartość 65535:666, dzięki czemu klient lub peer może zasygnalizować honorującemu ją dostawcy nadrzędnemu: „zablokuj w czarnej dziurze ten /32 (lub /128)".

Czym różni się RTBH na adres docelowy od RTBH na adres źródłowy?

Dwie odmiany RTBH różnią się tym, co odrzucają:

• RTBH na adres docelowy blokuje w czarnej dziurze (black-hole) cały ruch do atakowanego adresu. Jest prosty i wszędzie wspierany, ale odrzuca też ruch legalny kierowany do ofiary — dokańcza robotę atakującego na tym jednym adresie IP, by ochronić całą resztę.
• RTBH na adres źródłowy odrzuca ruch od źródeł atakującego, wykorzystując luźną kontrolę uRPF (unicast Reverse Path Forwarding): jeśli źródło pakietu wskazuje na prefiks trasowany do nikąd (null-route), pakiet jest odrzucany. RFC 5635 rozszerzyło RTBH o filtrowanie na adres źródłowy właśnie po to, by operatorzy mogli odrzucać ruch po atakującym, zamiast poświęcać ofiarę — choć wymaga to znajomości (i możliwości wyliczenia) źródeł.

Kiedy stosować RTBH, a kiedy BGP FlowSpec?

RTBH to narzędzie zgrubne; BGP FlowSpec działa chirurgicznie. FlowSpec potrafi dopasować konkretną 5-tuple i odrzucić lub ograniczyć tylko złośliwe przepływy, utrzymując atakowaną usługę online. RTBH odrzuca wszystko, co kierowane jest do adresu docelowego. Reguła praktyczna:

• Użyj BGP FlowSpec, gdy potrafisz scharakteryzować atak i chcesz zachować ruch legalny do celu.
• Użyj RTBH, gdy zalew przekracza pojemność Twojego brzegu lub scrubbera, gdy celem jest jeden, możliwy do poświęcenia adres IP, albo gdy atak jest zbyt losowy, by ująć go w zwięzłą regułę FlowSpec.

Większość dojrzałych brzegów automatyzuje oba: filtruj granularnie z FlowSpec, a do RTBH schodź dopiero, gdy łącza nadrzędne (uplink) zbliżają się do nasycenia.

Jaki kompromis trzeba zaakceptować przy RTBH?

RTBH na adres docelowy dopełnia atak odmowy usługi na atakowany adres IP — na tym właśnie polega i jest to świadomy wybór: stracić jednego hosta, by utrzymać online sieć i wszystkich pozostałych klientów. Traktuj go jak hamulec bezpieczeństwa, a nie rutynowy mechanizm. Właśnie dlatego dokładność wykrywania i automatyzacja mają znaczenie: po RTBH chcesz sięgać tylko wtedy, gdy filtrowanie granularne naprawdę nie daje rady, i chcesz, by ta decyzja zapadała w sekundy, a nie w minuty.

Jak WanGuard automatyzuje RTBH?

W produkcji RTBH nie powinien być ręczną szarpaniną w trakcie awarii. WanGuard anty-DDoS — czym dokładnie jest ten system — wykrywa atak w kilka sekund, najpierw filtruje ruch granularnym BGP FlowSpec na Twoich routerach (lub przez bramę filtrującą Juniper MX), a RTBH uruchamia automatycznie tylko w ostateczności — gdy atak jest zbyt duży, by filtrować go granularnie, albo gdy łącza nadrzędne zbliżają się do nasycenia — przez cały czas wysyłając alerty do Twojego NOC. Ta warstwowa automatyzacja utrzymuje klientów online tak długo, jak to możliwe, i rezerwuje narzędzie zgrubne na chwile, gdy jest naprawdę potrzebne.

ITORO instaluje, stroi i operuje tym rozwiązaniem dla operatorów ISP, telekomów i data center; sprawdź aktualny cennik i kalkulator.

Najczęstsze pytania

Co oznacza skrót RTBH?

RTBH to skrót od Remotely Triggered Black Hole filtering. To oparta na BGP technika ochrony przed DDoS, która pozwala operatorowi z jednego punktu wyzwalającego odrzucać ruch do (lub od) atakowanego adresu na każdym routerze w sieci, trasując ten ruch do odrzucającego next-hopa (discard/Null0).

Czym różni się RTBH na adres docelowy od RTBH na adres źródłowy?

RTBH na adres docelowy odrzuca cały ruch do adresu IP ofiary — jest prosty, ale odrzuca też ruch legalny kierowany do tego hosta. RTBH na adres źródłowy odrzuca ruch od źródeł atakującego za pomocą luźnej kontroli uRPF, więc potrafi oszczędzić ofiarę, ale wymaga możliwości zidentyfikowania źródeł.

Czym jest wspólnota blackhole w RTBH?

RFC 7999 definiuje powszechnie znaną wspólnotę BGP blackhole 65535:666. Oznaczenie trasy /32 (IPv4) lub /128 (IPv6) tą wspólnotą sygnalizuje honorującemu ją dostawcy nadrzędnemu, aby trasował ten adres do nikąd (null-route) — pozwalając klientowi wyzwolić RTBH w sieci dostawcy.

Kiedy używać RTBH zamiast BGP FlowSpec?

Najpierw użyj BGP FlowSpec — odrzuca tylko złośliwe przepływy i utrzymuje usługę online. Po RTBH sięgnij, gdy atak przekracza pojemność Twojego brzegu lub scrubbera, gdy celuje w pojedynczy adres IP, który można poświęcić, albo gdy jest zbyt losowy, by ująć go w regułę FlowSpec. RTBH to rozwiązanie awaryjne, po które sięgasz w ostateczności.

Czy RTBH zatrzymuje atak DDoS?

RTBH na adres docelowy zatrzymuje atak, zanim dotrze do reszty Twojej sieci, ale odrzuca też cały ruch legalny do atakowanego adresu IP — w praktyce dopełniając atak odmowy usługi na ten jeden adres. Chroni sieć kosztem pojedynczego hosta, dlatego używa się go w ostateczności.

Jak zatrzymać atak DDoS?

Najszybszą metodą jest RTBH — rozgłoszenie przez BGP informacji, że ruch do atakowanego adresu ma być odrzucany już u operatora. Zaleta: działa w sekundy i ratuje resztę sieci. Koszt: atakowany adres staje się nieosiągalny również dla prawidłowego ruchu, dlatego RTBH stosuje się punktowo, a nie jako domyślną ochronę.

Czy po użyciu RTBH incydent trzeba zgłosić?

RTBH kończy problem technicznie, ale nie zamyka sprawy formalnie. Podmioty objęte KSC mają ustawowe terminy na zgłoszenie incydentu, a każdy poszkodowany może złożyć zawiadomienie o przestępstwie — kanały i terminy opisujemy w poradniku gdzie zgłosić atak DDoS.

---

Źródła

• IETF — RFC 5635, Remote Triggered Black Hole Filtering with Unicast RPF: https://www.rfc-editor.org/rfc/rfc5635
• IETF — RFC 3882, Configuring BGP to Block Denial-of-Service Attacks: https://datatracker.ietf.org/doc/html/rfc3882
• IETF — RFC 7999, BLACKHOLE BGP Community: https://www.rfc-editor.org/rfc/rfc7999
• Cisco — Remotely Triggered Black Hole Filtering (na adres docelowy i źródłowy): https://www.cisco.com/c/dam/en_us/about/security/intelligence/blackhole.pdf