JP2019506102A - グローバルルーティングハイジャックを発見するための方法および装置 - Google Patents

Abstract

毎日、何千ものルーティング「ハイジャック」がインターネット上で発生しているが、それらのうちのほぼ全ては安全なものである。悪意のあるハイジャックおよび結果として生じるインターネットトラフィックの方向付け誤りは、ボーダーゲートウェイプロトコル（ＢＧＰ）ルーティング更新情報の広範囲にわたるグローバルリアルタイムフィードに高度なアナリティクスを適用することによって特定することができる。正当な攻撃が発見されると、当該自動分析は、（可能性の高いターゲットを判断するための）ドメインネームサービス（ＤＮＳ）データ、（攻撃が中間者攻撃であるか否かを判断するための）トレースルートデータ、（影響の範囲を理解するための）推測される取引関係、および未処理ＢＧＰメッセージで強化され得る。これらの技術は、民間機関および政府機関の両方に対する攻撃を発見するために用いることができる。

Description

関連出願の相互参照
本願は、「グローバルルーティングハイジャックを発見するための方法および装置（Methods and Apparatus for Finding Global Routing Hijacks）」と題される２０１６年２月２２日に出願された米国出願番号第６２／２９８，１６９号の、米国特許法第１１９条（ｅ）のもとでの優先権利益を主張する。この出願は、全文が引用によって本明細書に援用される。

背景
２０１３年２月に、ベラルーシ人攻撃者が、選択されたインターネットトラフィックを自身のネットワークを介してリダイレクトした。このことは、当該攻撃者が、進路変更されたトラフィックをコピーし、その内容を検証して、将来的な攻撃のためのターゲットを特定することが可能であったことを意味する。主なターゲットは、大手金融機関、さまざまな政府および世界的なネットワーク会社を含んでいた。この動きは、２０１３年２月にはほぼ毎日確認されたが、３月の初めに突然中断し、５月に数日間だけ再び見られた。歴史的視点から限定的に振り返ってみると、同様のベラルーシ人の攻撃は、２０１２年の間ずっと、さまざまなターゲットに対して散発的に発生した。

図１は、２０１３年８月にアイスランドから発生した同様の攻撃のトレースルートを示す。このトレースルートは、ある期間にわたって、デンバーにおける２つのインターネットサービスプロバイダ（Internet Service Provider：ＩＳＰ）間のトラフィックがアイスランドに進路変更され、アイスランドにおいて局所的に傍受されやすかったことを示している。通常の状況下では、このトラフィックは、デンバーにおける発信元からダラスおよびミズーリ州カンザスシティーを経由して送信先（これもデンバー）に進んで行くであろう。いかなる状況下でも、他の２つの国同士の間のインターネットトラフィックがアイスランドを横断することはないはずである。言い換えれば、アイスランドは、一般にインターネットトラフィックの終端点である。

２０１２年および２０１３年に実行された攻撃のようなインターネットルートハイジャック攻撃により、攻撃者は、進路変更されたトラフィックをコピーし、その内容を検証して、将来的な攻撃のためのターゲットを特定することが可能になる。これらの攻撃のうちの多くでは、通信が実際に中断されることがないため、被害者が何かおかしいことに気付くのは困難である。通信を中断させない攻撃は、監視および／またはターゲティングのためにインターネットを妨害する国家的行為者または犯罪組織の仕業であるかもしれない。あるいは、当該攻撃は、サイバー兵器の能力の発達を示唆し得る。関係者の人数、身元および動機にかかわらず、このような事象は、国家レベルの大手インターネットサービスプロバイダ（ＩＳＰ）をコントロールする巧妙な行為者による故意の攻撃である。これらの事象は、偶発的なものではなく、過去数年にわたって、ターゲットを絞った、明らかに悪意のある方法で利用され続けてきたインターネットの基本構造の長年にわたる相当な脆弱性を指摘するものである。

概要
本技術の実施形態は、インターネット上でルーティングハイジャックを検出する方法を含む。これらの方法の例は、インターネット上で複数の自律システム（Autonomous System：ＡＳ）の中の複数のボーダーゲートウェイプロトコル（Border Gateway Protocol：ＢＧＰ）ルータから複数のＢＧＰ更新情報を収集するステップを含む。これらのＢＧＰ更新情報の各々は、少なくとも１つのプレフィックスを含む。ＢＧＰ更新情報に基づいて、少なくとも１つの新たな発信元が特定される。ＢＧＰ更新情報に含まれるプレフィックスの中から、新たな発信元を有する複数のプレフィックスが形成される。これらのプレフィックスから１つ以上のＲＦＣ１９１８プレフィックスが除去され、残りのプレフィックスのうちの少なくとも１つのプレフィックスが潜在的ルーティングハイジャックとして報告される。

インターネット上でルーティングハイジャックを検出する別の例示的な方法では、インターネット上でＡＳの中のＢＧＰルータからＢＧＰ更新情報が収集され、各々のＢＧＰ更新情報は、少なくとも１つのプレフィックスを含む。複数のＢＧＰ更新情報に含まれるプレフィックスの中から、少なくとも１つの新たな発信元を有する複数のプレフィックスが特定される。ＢＧＰ更新情報に基づいて、少なくとも１つの新たなＡＳ番号（ＡＳＮ）が特定される。次に、新たなＡＳＮの登録が複数のプレフィックスにおける関連付けられたプレフィックスと同等であるか否かが判断される。この関連付けられたプレフィックスは、新たなＡＳ経路に関連付けられたリストから除去され、残りのプレフィックスのうちの少なくとも１つのプレフィックスが潜在的ルーティングハイジャックとして報告される。

上記の概念および以下でさらに詳細に説明するさらなる概念の組み合わせは全て（このような概念が相互に矛盾するものではないという条件で）、本明細書に開示されている本発明の主題の一部であると考えられるということが理解されるべきである。特に、本開示の最後に出てくるクレームに記載の主題の組み合わせは全て、本明細書に開示されている本発明の主題の一部であると考えられる。また、引用によって援用される開示にも出てくる、本明細書で明示的に利用されている用語は、本明細書に開示されている特定の概念と最も一致した意味を与えられるということが理解されるべきである。

図面は主に例示の目的であり、本明細書に記載されている本発明の主題の範囲を限定することを意図したものではない、ということを当業者は理解するであろう。図面は、必ずしも一定の縮尺に従っているわけではなく、場合によっては、本明細書に開示されている本発明の主題のさまざまな局面は、さまざまな特徴の理解を容易にするために図面の中で誇張または拡大して示されている場合がある。図中、同様の参照符号は、一般に同様の特徴（たとえば、機能的に同様および／または構造的に同様の要素）を指す。

アイスランドを経由してコロラド州デンバーにおける２つの場所間を移動する乗っ取られたトラフィックのトレースルートを示す。 自律システムとボーダーゲートウェイプロトコル（ＢＧＰ）ルータとトレースルートコレクタ装置とを含むインターネットルーティングシステムの一例を示す。 いくつかのＢＧＰルーティングデータ収集箇所およびトレースルート場所を示す。 ルーティングハイジャックを特定するためのプロセスのハイレベル概要を示すフローチャートである。 ＢＧＰルーティングデータを収集および処理することによってハイジャックを特定するためのプロセスを示すフローチャートである。 ＡＳ経路フラグメントを分析することによってなりすまし発信元を検出する一例を示す。

詳細な説明
グローバルインターネットと同程度に多様かつダイナミックである環境においてルートハイジャック攻撃を発見することは、複雑な作業である。毎日、何千ものルーティング「ハイジャック」を確認することができるが、それらのうちのほぼ全ては安全なものである。本願には、悪意のあるハイジャックおよび結果として生じるインターネットトラフィックの誤った方向付けを特定するための技術が記載されている。これらの技術は、ボーダーゲートウェイプロトコル（ＢＧＰ）ルーティング更新情報の広範囲にわたるグローバルなリアルタイムフィードを収集し、過去のＢＧＰルーティングデータに一部基づいて、収集されたＢＧＰルーティング更新情報に高度なアナリティクスを適用することを含む。正当な攻撃が発見されると、当該アナリティクスは、（可能性の高いターゲットを判断するための）ドメインネームシステム（Domain Name System：ＤＮＳ）データ、（攻撃が中間者攻撃であるか否かを判断するための）トレースルートデータ、（影響の範囲を理解するための）推測される取引関係、およびＢＧＰルーティング更新情報自体の内容で強化され得る。悪意のあるハイジャックを特定して分析するための技術は、いかなるターゲットに対してもグローバルに適用することができ、故意の攻撃（たとえば、本質的に明らかに悪意のある攻撃）も、状況の変化に起因する無害である可能性の高いルーティングエラーまたはフォールスポジティブなどの他の事象も両方とも検出するために用いることができる。

ＢＧＰルーティング属性を操作することによるインターネットトラフィックのハイジャック
ベラルーシからの２０１３年２月の攻撃における選択的トラフィック迂回は、さまざまなボーダーゲートウェイプロトコル（ＢＧＰ）ルート属性を操作して、トラフィックを適切な送信先に転送する前にベラルーシを通るようにリダイレクトすることによってなされた。インターネットルーティングは、元来安全でないＢＧＰに依拠しており、ＢＧＰは、プレフィックス、すなわち個々の組織に割り当てられた連続的なインターネットプロトコル（Internet Protocol：ＩＰ）アドレスの範囲、を通知および削除することによって世界中のルーティングテーブルに影響を及ぼす。

図２は、自律システムとＢＧＰルータとトレースルートコレクタ装置とを含むインターネットルーティングシステムの一例を示す。（図２は、理解しやすくするために、非常に簡略化された図を示す。）どのＢＧＰ更新通知も、ある自律システム（ＡＳ）２３０ａ〜２３０ｄ（まとめてＡＳ２３０）を発信元とし、少なくとも１つのプレフィックスと、通知が通ったＡＳ２３０のリストとを備えている。このＡＳ２３０のリストは、ＡＳ経路と呼ばれる。自律システムは、ＡＳ番号（ＡＳＮ）として知られている固有に割り当てられた番号によって特定され、グローバルインターネットがどのように到達するのかを制御したい組織（または、それらの中のグループ）に対応する。

たとえば、グーグルに割り当てられたプレフィックス８．８．８．０／２４（８．８．８．０〜８．８．８．２５５）について考える。これは、何百もの固有のＡＳ経路を経由して確認することができ、当該ＡＳ経路のうちの１つは、８７０８ ２９１４ ６４５３ １５１６９である。このネットワークの発信元は、ＡＳ１５１６９（グーグル）２３０ａであり、ＡＳ１５１６９（グーグル）２３０ａは、プレフィックスをＡＳ６４５３（タタ）２３０ｃに通知した。さらに、タタは、それをＡＳ２９１４（ＮＴＴ）２３０ｂに送信し、次いで、ＡＳ２９１４（ＮＴＴ）２３０ｂは、それをピアネットワーク（データソース）であるＡＳ８７０８（ルーマニアのＲＣＳ＆ＲＤＳ）２３０ｄに渡した。ＢＧＰメッセージにおいて、プレフィックスの発信元は、経路上の右端のＡＳであるのに対して、データソースは、左端のＡＳである。したがって、ＲＣＳ＆ＲＤＳ２３０ｄは、これらのグーグルＩＰアドレスに到達するために、トラフィックをＮＴＴ２３０ｂに送信する。次いで、ＮＴＴ２３０ｂは、それをタタ２３０ｃに渡し、タタ２３０ｃは、それをグーグル２３０ａに送信する。グーグルからＲＣＳ＆ＲＤＳへの戻り経路は、全く異なっていてもよく、グーグルのルーティングテーブルに依存する。

一般に、インターネット上で確認される各プレフィックスは、そのルーティングポリシーに関与するＡＳである単一発信元ＡＳを有するが、コンテンツデリバリネットワーク（Content Delivery Network：ＣＤＮ）２７０を介して入手可能なプレフィックスなどの複数発信元ＡＳ（Multi-Originated AS：ＭＯＡＳ）プレフィックスの正当な使用がある。たとえば、ＣＤＮ２７０は、世界のさまざまな地域で用いられる複数のＡＳ、この例では２３０ｆおよび２３０ｇ、を所有し得て、それらの各々から同一のプレフィックスを通知し得る。しかし、複数発信元は、悪意のある行為またはオペレータエラーの合図である可能性もある。たとえば、２０１３年６月７日に、ＦＳＦテクノロジア（ＡＳ２６２８５９）２３０ｅも、以下で定義するルーティングリークの一部として、８．８．８．０／２４を発信したが、その世界的影響は最小限であった。このとき、８．８．８．０／２４へのルートとして２つの競合するルートがあり、一方はグーグル２３０ａを経由したルートであり、他方はＦＳＦテクノロジア２３０ｅを経由したルートであり、このプレフィックスの部分的なハイジャックを生じさせた。言い換えれば、このハイジャックの間は、グーグルの顧客の中には、グーグルを発信元とするルートを経由して適切なグーグルサーバ２３０ａに到達したものもいれば、ブラジルのＦＳＦテクノロジア２３０ｅに誤って方向付けられたものもいた（これを書いている時点では、グーグルは、８．８．８．８および８．８．４．４においてオープンな再帰的ＤＮＳレゾルバを提供する。グーグル（ＡＳ１５１６９）は、これらのＩＰアドレスを８．８．８．０／２４および８．８．４．０／２４の一部としてそれぞれ通知する）。

ブラジルに誤って方向付けられたグーグルユーザは、グーグルサーバに到達することができず、彼らの要求は、そこで消滅、すなわち「ブラックホール化」された。ＦＳＦテクノロジアが悪意のある行為者であれば、ＦＳＦテクノロジアは、正しかろうがそうでなかろうがこれらのクエリに回答するために偽のグーグルサーバを提供したはずである。あるいは、ＦＳＦテクノロジアは、クリーンな（破損していない）経路を経由してグーグルトラフィックをリダイレクトして正しい送信先に戻すことを選んだはずである。この後者のケースは、中間者（Man-In-The-Middle：ＭＩＴＭ）攻撃と称され、（通信が中断されないので）実行および検出することがはるかに難しい。

別のタイプのハイジャックは、正常に通知されたプレフィックスの具体的なプレフィックス（より小さな部分）に関係している。上記のグーグルプレフィックスは、レベル３によって通知される８．０．０．０／８および８．０．０．０／９の具体的なプレフィックスである。ＢＧＰが具体的でないルートよりも具体的なルートを好むので、両方の選択肢が利用可能である場合には、８．８．８．０／２４に仕向けられたトラフィックは、レベル３ではなくグーグルに行くであろう。したがって、現在のところルーティングされていない具体的なプレフィックスのハイジャックは、一般に、アドレス空間のその部分の完全なグローバルハイジャックをもたらし、これは、全てのグローバルトラフィックがそこに送信されることを意味する。

現在mail.condorferries.comを提供し、８．０．０．０／８および８．０．０．０／９を経由してのみレベル３にルーティングされている８．１．２．２００について考える。誰かがこのＩＰアドレスを含む具体的なプレフィックス、たとえば８．１．０．０／１６または８．１．２．０／２４、を通知すると、このＩＰアドレスに仕向けられた全てのトラフィックを引き付けることになる。なぜなら、ＢＧＰルーティングでは、これらの具体的なプレフィックスは、具体的でないプレフィックスに優先するからである（なお、ルート選択はもっぱらローカルな決定であるため、ルータは、８．０．０．０／８の具体的なプレフィックスを無視するように構成され得るが、それは非常にまれな管理構成であろう）。

要約すると、いかなるハイジャックにも少なくとも４つの組み合わせがある。まず、ハイジャックは、（１）部分的なグローバルハイジャックを意味するプレフィックス完全一致ハイジャックおよび（２）より大きなプレフィックスの一部の完全なグローバルハイジャックを意味する具体的プレフィックスハイジャック、のいずれかであり得る。そして、これらの各々は、（１）誤って方向付けられたトラフィックは、攻撃者のところで終点となり、違法なサーバによってブラックホール化または回答される、または（２）誤って方向付けられたトラフィックは、適切な送信先に再ルーティングされる、すなわち中間者攻撃である、の２つのタイプのうちの１つであり得る。各々のタイプの攻撃は、２０１３年以来定期的に発生している。

ＢＧＰルーティングデータを収集して分析することによるＢＧＰハイジャックの検出
本明細書に開示されている技術では、通常のルーティングベースラインからの逸脱を特定して、新たな、悪意がある可能性のある行為を発見する。グローバルハイジャックの検出における１つの課題は、インターネットの正確な状態は（特定のＡＳの正確な状態とは対照的に）いかなる時点でも分からず、知ることができないという事実である。この問題に対する直接的アプローチは、１日当たり何千もの多くのフォールスポジティブを生じさせる。そのため、正確性の先験的知識が無い中で、本明細書に開示されている技術では、リアルタイムのＢＧＰルーティングデータおよび過去のＢＧＰルーティングデータから導き出されたインターネットの歴史および一般的な仕組みの理解（たとえば、トラフィックエンジニアリング）を用いる。

ハイジャックを検出するためのプロセスは、毎日実行され得るが、リアルタイムを含む任意の期間にわたって実行されるように自明に構成され得る。一般に、１日当たりせいぜい一握りの疑わしい結果を報告しており、時には全く報告しないこともある。多くの場合、目的は、分析者に十分な情報を提供して、各事象の重大さを素早く評価し、真に新たな事象のみをとらえながら、さらなるアクションを取るに値するか否かを判断することである。

ＢＧＰルーティングおよびＢＧＰ ＵＰＤＡＴＥメッセージ
インターネットルーティングの技術分野で十分に理解されているように、各ＡＳ２３０またはルーティングドメインは、１つ以上のルータ２４０と、コンピューティングデバイス２５０と、ＢＧＰルータ２６０（ボーダールータとしても知られている）と、トレースルートコレクタ２２０のネットワークとを含み得る。ＡＳ２３０は、コンピューティングデバイス２５０の郵便番号であると考えることができる。すなわち、各ＡＳ２３０は、ＩＳＰに基づくが必ずしも地理的な範囲ではないインターネットのネイバーフッドであると考えることができる。各ＡＳ２３０の中にはＢＧＰルータ２６０および他のルータ２４０があり、ＢＧＰルータ２６０および他のルータ２４０は、ＡＳ２３０のルーティングポリシーを実行し、近傍のＡＳにおけるＢＧＰルータ２６０との接続を維持する。出願時、グローバルインターネット上のＡＳ２３０の数は、５６，０００個を超えている。

より正式には、ＡＳ２３０は、単一の管理エンティティ（大学、企業、事業部など）を代表して共通のネットワーク管理者（または、管理者のグループ）によって制御される単一の明確に規定されたルーティングポリシーを有する接続されたＩＰネットワークのグループである。ＡＳにおける所与のＩＰネットワーク内のノードは、同一のネットワークプレフィックスを共有し、インターネット接続のために当該プレフィックス内の個々のＩＰアドレスを利用する。大半のＡＳは、複数のネットワークプレフィックスを備えている。

トレースルートコレクタ２２０は、それぞれのプロバイダのデータセンタ内にあるリアルマシンまたはバーチャルマシンであり、トレースルートコレクタ２２０の各々は、自律システム（ＡＳ）２３０またはルーティングドメインに属する。動作時、トレースルートコレクタ２２０は、自身のＡＳ２３０および他のＡＳ２３０内のルータ２４０、ターゲットコンピューティングデバイス２５０およびボーダーゲートウェイプロトコル（ＢＧＰ）ルータ２６０（ボーダールータ２６０としても知られている）へのルートに関連付けられたレイテンシを測定する。

ＡＳ２３０は、ＢＧＰを用いてボーダールータ２６０間でルーティングメッセージをやりとりすることによって他のＡＳ２３０とルーティング情報を共有し、これは、ＴＣＰ／ＩＰネットワークにおいてドメイン間ルーティングを実行するために用いられる外部ゲートウェイプロトコル（exterior gateway protocol：ＥＧＰ）である。ルーティング情報は、ＢＧＰ更新情報をやりとりするためにボーダールータ２６０からそのＢＧＰピアのうちの１つへの接続を確立することによって、ＡＳ２３０内またはＡＳ２３０間で共有され得る。当業者によって理解されるように、ボーダールータ２６０間でデータをやりとりするプロセスは、「ピアリング」と呼ばれる。ピアリングセッションにおいて、２つのネットワークが接続して、データを直接やりとりする。内部ＢＧＰピアリングセッションは、単一のＡＳ２３０内のボーダールータ２６０と内部ルータ２４０とを直接接続すること、または単一のＡＳ２３０内の内部ルータ２４０のみを直接接続することを含む。外部ＢＧＰピアリングセッションは、近傍のＡＳ２３０におけるＢＧＰルータ２６０を互いに直接接続することを含む。

ＢＧＰルータ２６０は、ＯＰＥＮメッセージ、ＵＰＤＡＴＥメッセージ、ＫＥＥＰＡＬＩＶＥメッセージおよびＮＯＴＩＦＩＣＡＴＩＯＮメッセージを含むさまざまなタイプのメッセージをやりとりする。ＢＧＰ ＵＰＤＡＴＥメッセージは、一般に、削除されたルート、総合経路属性、経路属性およびネットワーク層到達性情報（Network Layer Reachability Information：ＮＬＲＩ）についての情報を含む、ルーティングに影響を及ぼす変更についての情報を含む。削除されたルートの情報は、サービスから削除されているルートのＩＰアドレスプレフィックスのリストを含む。経路属性情報は、経路発信元、マルチプルエグジット識別子（multiple exit discriminator：ＭＥＤ）、発信元システムのルートの好み、ならびに、アグリゲーション、コミュニティ、コンフェデレーションおよびルートリフレクションについての情報を含む、トラフィックが流れるルートの特性を含む。そして、ＮＬＲＩは、更新メッセージの中で広告される実現可能なルートのＩＰアドレスプレフィックスを含む。

ＢＧＰルーティングの詳細については、たとえば「ボーダーゲートウェイプロトコル４（ＢＧＰ−４）（A Border Gateway Protocol 4 (BGP-4)）」、ＲＦＣ４２７１、２００６年１月を参照されたい。これは、引用によって本明細書に援用される。

ＢＧＰ ＵＰＤＡＴＥメッセージの収集
図３は、後述するように、何百ものソース（ＢＧＰピア）から、ＢＧＰ ＵＰＤＡＴＥメッセージ、ＯＰＥＮメッセージ、ＫＥＥＰＡＬＩＶＥメッセージおよびＮＯＴＩＦＩＣＡＴＩＯＮメッセージを含むグローバルＢＧＰルーティング通知を収集するシステム３００を示す。これらのＢＧＰルーティング通知を用いて、推測される取引関係（エッジタグ）および統合されたルーティングテーブルを含むさまざまなデータプロダクトを計算してハイジャックを検出することができる。当該システムは、世界中に分散されたいくつかのリモートデータコレクタ３０１と、１つ以上のデータセンタ３０３とを含む。各リモートデータコレクタ３０１は、ローカルＩＳＰによって操作される固有のＢＧＰルータセットに接続されるリナックス（登録商標）サーバとして実現されてもよい。たとえば、図３に示される８個のリモートデータコレクタ３０１は、４００個を超えるＩＰｖ４ピアおよび３００個を超えるＩＰｖ６ＢＧＰピアからＢＧＰルーティングデータを収集するが、他の数のリモートデータコレクタ３０１およびピアも可能である。同様に、図３は、データセンタ３０３がリモートデータコレクタ３０１のサブセットとともに配置されることを示しているが、データセンタ３０３は、リモートデータコレクタ３０１から離れて位置してもよい。リモートデータコレクタ３０１の数および場所もさまざまであってもよい。これは、一部には、ＢＧＰルーティングデータを遠方から収集することができるため、場所の数はそれほど重要ではないという理由からである。

動作時、各リモートデータコレクタ３０１は、接続されたＢＧＰルータからブロードキャストされたＢＧＰ ＵＰＤＡＴＥメッセージ、ＯＰＥＮメッセージ、ＫＥＥＰＡＬＩＶＥメッセージおよびＮＯＴＩＦＩＣＡＴＩＯＮメッセージを監視、収集および格納するクアッガルーティングソフトウェアスイートなどのルーティングソフトウェアを格納および実行する。従来のルーティングソフトウェアとは異なって、リモートデータコレクタ３０１によって実行されるルーティングソフトウェアは、読み出し専用モードで動作する。すなわち、リモートデータコレクタ３０１は、ＢＧＰルーティングデータを収集するが、必ずしもルーティングデータを他のサーバに供給するとは限らない。

リモートデータコレクタ３０１は、ＢＧＰ ＵＰＤＡＴＥメッセージ、ＯＰＥＮメッセージ、ＫＥＥＰＡＬＩＶＥメッセージおよびＮＯＴＩＦＩＣＡＴＩＯＮメッセージをローカルディスク上に（一時的に）格納し、データベースに長期にわたって格納３０３してさらに処理するためにＢＧＰ ＵＰＤＡＴＥメッセージをデータセンタに戻す。各データセンタ３０３において、ピアリングセッションからのＢＧＰ更新情報集合体は、異常を探すために、以下で説明するように処理される。

（たとえば、報告のための）他の有用な情報は、各ＡＳをその主要なマーケットに割り当てるためのジオロケーションデータを含む。このジオロケーションデータは、国際公開番号ＷＯ２０１７／０１５４５４に開示されている技術を用いて取得されてもよく、国際公開番号ＷＯ２０１７／０１５４５４は、全文が引用によって本明細書に援用される。非常に疑わしい行為の調査のために、ＤＮＳデータ、トレースルートデータおよび未処理ＢＧＰメッセージを用いて、攻撃のターゲットになった可能性があるドメインを発見して、中間者型攻撃を特定することができる。

ＢＧＰルーティングデータの分析
ＢＧＰルーティングデータが収集されると、ＢＧＰルーティングデータは、悪意がある可能性のあるＢＧＰルーティングハイジャックを特定するために分析され得る。この分析は、後述するように、いくつかの悪意がある可能性のあるルーティング通知から圧倒的多数の無害なルーティング通知をフィルタリングして取り除くことを含む。要するに、当該分析プロセスは、全ての潜在的に疑わしい発信元の大きな組から始めて、新たな、一般的なルーティングパターンまたは確認できる既存の取引関係では説明できないものに減らしていくことを含む。

図４Ａは、ルーティングハイジャックを特定するためのプロセスのハイレベル概要を示すフローチャートである。ハイジャック特定プロセスは、図２および図３に関して上記したＢＧＰルーティングデータを収集すること（ステップ４５０）を含む。ＢＧＰルーティングデータは、経路発信元などの経路属性情報を含む。以下にさらに詳細に開示される一連のステップによって、無害なルーティング通知をフィルタリングして取り除く（ステップ４５２）。一連のフィルタリングステップは、フォールスポジティブを排除し、ハイジャックされた可能性のあるルートを含むインターネットルーティングの変更をとらえる。ハイジャックされたことが疑われるルートをさらに分析して（ステップ４５４）、新たな発信元、当該新たな発信元を受け入れるピアの数、および誤って方向付けられたピアにわたるハイジャックの平均時間などの、ルートに関連する特性を特定する。

疑わしいルートの分析は、修復（ステップ４５６）を必要とし得る安全なケースの特定につながるであろう。たとえば、ヒューマンエラー、リークおよびＡＳ経路破損によって引き起こされる偽のルートを検出することができ、適切な修復策を特定することができる。修復は、ハイジャックされたルートを顧客に警告して知らせること、（無害な間違いの場合）「ハイジャック犯」に警告すること、および上流のインターネットサービスプロバイダに警告することも含み得て、これら全てにより、誤った通知を（ソースから）完全に停止させるか、または（他者によって）フィルタリングして取り除くことができ、その結果、誤ったルートがインターネット上で辿られたり、さらに伝搬されたりすることがなくなる。

図４Ｂは、真に新しいいかなるインターネットルーティングの変更もとらえながら、フォールスポジティブを保守的に排除する、相互に関係するステップを有するハイジャック特定プロセス４００を示す。ハイジャック特定プロセス４００は、ＩＰｖ４インターネットに適用され、本明細書に記載されている技術は、当業者によって容易に理解されるようにＩＰｖ６インターネットにも同様に適用される。また、下記のステップは、適宜組み合わせられてもよく、マッチングさせられてもよく、変形されてもよく、並べ変えられてもよいということも当業者は理解するであろう。また、下記のステップは、同時にまたは重なり合う態様で実行されてもよい。たとえば、図１、図２および図３に関して上記したＢＧＰルーティングデータを収集すること（ステップ４０２）を含むステップ４０２は、他のステップの実行から独立して、継続的または連続的に行われてもよい。

ステップ４０４は、一定の過去の期間と比較して、少なくとも１つの新たな発信元を有するプレフィックスを特定することを含む。これらのプレフィックスは、同時複数発信元（ＭＯＡＳ）プレフィックスである場合もあれば、そうでない場合もある。新たな具体的なプレフィックスの発信元が当該具体的なプレフィックスの最も近いカバリングプレフィックスの発信元とは異なる場合、当該具体的なプレフィックスは、潜在的ルーティングハイジャックである可能性がある。ステップ４０４は、最も近いカバリングプレフィックスの発信元とは異なる発信元を有する各々の新たな具体的なプレフィックスを特定することも含み得る。このような具体的なプレフィックスは、必ずしもＭＯＡＳではなく、より大きなルーティングされたプレフィックスのサブプレフィックスハイジャックを表わす可能性がある。このステップは、後にフィルタリングされて疑わしい発信元のはるかに小さな組にされる何千ものプレフィックスのリストをもたらし得る。このリストは、最小限の時間（たとえば、数分）にわたって収集システムのＢＧＰピアの最小セット（たとえば、全体の約１％）によって確認されるプレフィックスに限定することによって、さらにフィルタリングされ得る。

リーク（特に、ｉＢＧＰおよびｅＢＧＰ再発信元リーク）はインターネット上でありふれているが、大半は一時的なものであるか、または遠くには伝搬しない。１８分間で５０，０００個のプレフィックスという２０１０年からの大規模かつ悪名高い中国人によるハイジャックは、この最小限のチェックでは明らかにフィルタリングされないであろう。任意のＩＳＰによるあらゆる故意でないリークをハイジャックとして分類することができるが、世界的影響はなく、これは不必要なフォールスポジティブにつながるであろう。このルールは、非常に保守的であり、影響が少ないリークは排除するが他の全てのものについては報告することを意図している。

ハイジャック特定プロセス４００のステップ４０６は、ＲＦＣ１９１８プレフィックスを完全に除去することを含む。これらのプレフィックスは、固有ではないため、グローバルにルーティング可能ではない。ステップ４０６は、各ＡＳ経路の冒頭から任意のプライベートＡＳＮを除去し、一桁のＡＳＮも除去し、残りのＡＳ経路を分析に用いることも含む。プライベートＡＳＮも固有ではないので、発信元ハイジャック分析では有用ではなく、そのため、ステップ４０６は、未知の発信元組織のためのプロキシとして経路上の最初の非プライベートＡＳＮを使用することを含む。ステップ４０６は、一桁のＡＳＮを除去することも含む。なぜなら、オペレータは、シンタックスをサポートしないルータ上の対象のプリペンドの数を表わすために、小さな整数値を誤って用いることがあるからである。場合によっては、一桁のＡＳＮ、主にアメリカの大学は、ルーティングハイジャックに関与していないと言っても差し支えない。これを拡大して、プライベートＡＳＮを自身のＡＳＮと交換することで知られているプロバイダを説明することができる。

ステップ４０８において、新たな発信元がほぼ全てのピアによって確認されると、各ＭＯＡＳプレフィックス（しかし、具体的なプレフィックスではない）は除去される。これは、所与の期間（たとえば、一日）の間に、あるＡＳから別のＡＳに正当に移動したように思われるプレフィックスを排除する。なぜなら、ほぼ全てのピアによって確認される新たな発信元は、あるＡＳから別のＡＳへのプレフィックスの協調的移動を暗に示しているからである。所与の単一のプレフィックスのために、いくつかのピアは、古いルートを引き続き維持し得るが、当該単一のプレフィックスにとって好ましい全てのピアにわたるルートになるということは、ハイジャック犯にとっては信じ難いことである。要するに、ハイジャック犯がプレフィックスのアクティブかつ利用可能な正当な広告主から離れて当該プレフィックスの本質的に全てのトラフィックを引き付けることは考えにくい。なお、このステップ４０８は、通常は大半のピアによって受け入れられる具体的なプレフィックスを考慮に入れることを含まない。

ＭＯＡＳプレフィックスおよび／またはそれらの具体的なプレフィックスを単純に探すことは、過去にＭＯＡＳと見なされてこなかったプレフィックスについてさえも、圧倒的な数のフォールスポジティブを生じさせる。異なるＡＳが重複するプレフィックスを発信し得る理由はたくさんある。一方は、他方（主要またはバックアップ）のトランジットプロバイダであり得て、いくつかのプレフィックスは、異なるＡＳＮを利用するＣＤＮからのエニーキャストであり、プレフィックスは、リエンジニアリングの期間中に同一組織に属しているＡＳＮ間で移動され、分散サービス拒否（Distributed Denial of Service：ＤＤｏＳ）軽減の目的で顧客ルートを故意に「ハイジャック」するＤＤｏＳトラフィック浄化会社がある。これらのシナリオなどは、体系的な検出技術によって考慮に入れられるべきである。最終結果は、簡潔かつ包括的な報告であり、特に以下で説明するＤＮＳ、トレースルートデータおよび世界的影響のマップと対応付けられたときに分析者によって悪意のある行為の合図について容易かつ効率的に点検することができる。

ステップ４１０は、過去１カ月間の任意の時点で新たに確認された発信元が発信したプレフィックスを検討から除去することを含む。このようなプレフィックスが初めて確認されたときには、それはステップ４１０によって除外されない。その後、当該プレフィックスが当月内に同一の発信元から再び確認されると、それは無視される。ネットワーク移行中にトラフィックエンジニアリングのためにプロバイダによって具体的なプレフィックスが通知されることは一般的なことであるので、このチェックは、最初のこのような確認を除外することはできないが、プレフィックスは、以下の取引関係チェックのうちの１つによって最終的な報告からは依然として除外され得る。

ステップ４１０を含む実現例では、進行中のハイジャックまたは繰返されるハイジャックは、最初に出現したときにのみ特定されてもよい。したがって、プレフィックスがハイジャックされると、その後の攻撃に備えて当該プレフィックスは警戒リストに追加されるべきであり、ハイジャックが疑われる発信元自体は監視されるべきである。

ステップ４１２において、新たに確認された発信元が過去に確認された発信元と歴史的かつ安定的なＢＧＰ関係を有する各プレフィックスが除去される。ここで、ＡＳ−ＡＳ関係タグ（エッジタグ）は、（変更を反映するために恐らく毎日更新される）ルーティングデータの中の各々の安定的に確認されるＡＳ隣接対についてのダイナミックに計算された取引関係を示す。エッジタグは、ブースティングを用いて特定されてもよく、ブースティングは、教師あり学習と呼ばれ、複数の弱学習器を活用する機械学習の変形体である。場合によっては、プロバイダが顧客のプレフィックスを一時的に通知するときなどに、確立された取引関係を有する２つのＡＳが互いのプレフィックスを発信することが適切であると言って差し支えない。（プロバイダは、顧客の顧客に属するプレフィックスも、必ずしも当該プレフィックスが疑わしいとしてフラグを立てられることなく、通知し得る。）なお、エッジタグは、同一組織に属するＡＳＮを表わすクラスタを含み、その対は、実際には任意のＢＧＰデータにおいて隣接しているように見えなくてもよい。

ステップ４１４は、任意のカバリングプレフィックスが新たに確認された発信元によって発信される各プレフィックスを除去することを含む。ここで、たとえ具体的なプレフィックスが他のＡＳ（たとえば、顧客）によって現在通知されていても、カバリングプレフィックスを通知するＡＳは、当該具体的なプレフィックスも正当に通知することができると想定される。

新たな発信元が通常の発信元の他のプレフィックス（または、具体的なプレフィックス）を既に通知している各プレフィックスを除去することは、ステップ４１６において行われる。ステップ４１６では、一般に別の組織のプレフィックスを通知するＡＳは、当該同一組織からの他のプレフィックスも正当に通知することができると想定される。なお、組織は、確認できるＢＧＰ隣接性を有していなくてもよいが、一方が他方を代表してプレフィックスを発信することができる取引関係を有していてもよい。ステップ４１６を含むプロセス４００の実現例では、最初に出現したときにのみ同一組織のさらなるハイジャックを特定してもよい。したがって、発信元がハイジャックに使用されると、その後の攻撃に備えて当該発信元は警戒リストに追加され得る。

ステップ４１８は、新たに確認されたＡＳＮの登録が、プレフィックスまたは任意のカバリングプレフィックスの登録とおおよそ同等である各プレフィックスを除去することを含む。登録の同等性を判断するために、対象の文字列が正規化され、マッチングのための正規形式と比較される。正規化および比較は、データベース内に維持される関連付けられた特定文字列（たとえば、マイクロソフトおよびホットメール）に基づき得る（理論上は、攻撃者は、このチェックによる検出を逃れようとして、同一または類似の名前を有するＡＳＮを対象の被害者のプレフィックスに登録し得る）。

ステップ４２０において、たとえばさらなる点検のために、残りのプレフィックスがユーザまたは分析者に報告される。報告は、各々のハイジャックされた（ことが疑われる）プレフィックス、新たな発信元、新たな発信元を受け入れるピアの数、誤って方向付けられたピアにわたるハイジャックの平均時間、このプレフィックスを確認するピアの正常数、ＡＳのための割り当て情報、およびレジストリ記録からのプレフィックスを特定し得る。また、報告は、対象の各ＡＳの国割り当ても含み得る。プレフィックスは一般に狭くジオロケートされ得るが、ＡＳは国をまたぐ可能性があるので、ＡＳのマーケットによっては各ＡＳに国が割り当てられてもよい。さまざまな割り当てられた国からのＡＳに関係するハイジャック、たとえばアメリカのＡＳによって発信されたプレフィックスをハイジャックするベラルーシのＡＳ、は、高い優先度で考慮に入れられるべきである。

なお、プロセス４００全体を通して、ルーティングされたプレフィックスに言及している。しかし、ルーティングされていない空間の「ハイジャック」もかなり一般的である。スパム送信者が他者に登録されたルーティングされていない空間を探すことは珍しいことではないため、スパム送信者は、恐らく汚染されていないＩＰブロックを経由して電子メールを配信して検出を逃れることができる。これは、従来のハイジャックではない。なぜなら、空間が現在のところ使用されておらず、そのため属性がさらに一層不確かである可能性があるからである。特に長期間にわたって一貫してルーティングされるルーティングされた空間の場合、少なくとも継続的な所有権表明があり、インターネットに対して直接的な動作上の影響を及ぼす。ルーティングされていない空間の場合、どのような関連性をＡＳＮの過去のルーティング挙動から導くことができたとしても、プレフィックスおよびＡＳＮについての自己報告の登録データしかないであろう。自己報告の情報の悪名高い信頼性のなさを考えると、一般にルーティングされていない空間の潜在的ハイジャックを報告することは、多くのフォールスポジティブを起こしやすい。

ルーティングされていない空間の悪用は、対象のＡＳＮおよびプレフィックスの登録および国レベルのジオロケーションを調べることによってとらえることができる（ステップ４２２）。両方が異なっている場合、通知は、ルーティングされていない空間の潜在的ハイジャックとして報告される。したがって、アメリカにジオロケートされている適切なプレフィックスは、イギリスに関連付けられた適切なＡＳによって通知され得て、警告を発することはない。しかし、これは全て不確かであろう。なぜなら、過去にルーティングされていないプレフィックスの推定されるジオロケーションは非常に疑わしい可能性があり（登録データに由来する可能性が高く）、多くのＡＳは２つ以上の動作国を有するからである。その結果、このアプローチは、フォールスポジティブを生じさせる可能性があり、当該フォールスポジティブは、さらなる情報を用いてフィルタリングして取り除くことができる（ステップ４２２）。

本明細書に記載されているプロセス４００は、既存のプレフィックスであろうと既存のプレフィックスの新たな具体的なプレフィックスであろうと、ＡＳ発信元の大きな変更を報告する。発信元自体が偽装されている場合には、デフコン１６において例示された攻撃の中で説明されているように、それは十分ではないかもしれない。なりすまし発信元の検出は、ＡＳ経路全体、新たな隣接性、ならびに／または、トレースルート経路およびレイテンシについての情報を用いて行うことができる。

なりすまし発信元、さらにはなりすましアップストリームがますます一般的になってきているので、プロセス３００は、前の段落で説明したエッジタグをもっと利用するように適合されてきた。エッジタグは、各ＡＳ、すなわちＡＳを経由して到達することができるそれらのプレフィックス、のダウンストリームトランジットコーンの計算を可能にする。プレフィックスが、偽装された冒頭のＡＳ経路フラグメントを有する通知によってハイジャックされる場合、ハイジャックは３つの方法で検出可能であろう。第一に、偽造されたＡＳ経路フラグメントと正当に構築されたＡＳ経路フラグメントとの間の接合部には、ハイジャックされたプレフィックスを担持する新たなエッジ（ＡＳ−ＡＳ隣接性）が間違いなく存在するというものである。第二に、（偽造されたものであろうとそうでなかろうと）経路に沿ったＡＳのダウンストリームトランジットコーンは、ハイジャックされたプレフィックスを含むが、非現実的であり得るというものである。そして最後に、トレースルートレイテンシおよびハイジャックされたプレフィックスへの経路は、非現実的であり得るというものである。これらの異常は全て、プロセス４００によって検出される。

図５は、なりすまし発信元を検出する以下の例を示す。以下の経路に沿って２００．２０２．６４．０／１９（ブラジルホームショッピング社）が以前に通知されたことについて考える。

．．．９００２ ８４３８ １８７３９ １０４９５ １１２９５
右端のＡＳ５３０は、感知できると思われる明白な発信元、すなわちＡＳ１１２９５（ブラジルホームショッピング社）５３０ｇである。次の２つのＡＳ、すなわちＡＳ１８７３９ ５３０ｈおよびＡＳ１０４９５ ５３０ｉ、は両方とも、想像はつくだろうがブラジルのものである。しかし、このルートは、もっぱらウクライナのプロバイダであるヘットマンソフト（Hetman Soft）（ＡＳ８４３８）５３０ｊを介してロシアの固定回線キャリアＲＥＴＮ（ＡＳ９００２）５３０ｋに至るように見える。ここでは、異常なエッジ５７５ｃ、すなわち８４３８＿１８７３９（ウクライナのプロバイダからブラジルのプロバイダへ）と、異常なダウンストリームトランジットコーン、すなわちウクライナのＡＳＮおよびロシアのＡＳＮのブラジルプレフィックスダウンストリームとが存在する。プロセス４００は、これらの異常を検出し、このプレフィックスを潜在的ハイジャックとしてフラグを立てる。

最終的な証拠として、プロセス４００は、多くの他のトレースルートとともに、ハイジャックされたブラジルプレフィックスへの以下の異常なトレースルートを検出する。ここでは、ハイジャックされたプレフィックスには、わずか２０ミリ秒で、ウクライナを経由してモスクワから到達し、これは、光速制限およびモスクワとブラジルとの間の通常のルーティング経路に違反する。これらの異常は全て、このブラジルプレフィックスがウクライナでハイジャックされたという反論の余地のない証拠を提供する。

代替的に、このような攻撃されたネットワークの所有者が、従来のサブプレフィックスハイジャック検出警告を用いてなりすまし発信元を検出してもよい。傍観者には、なりすまし発信元はトラフィックエンジニアリング広告であるように見えるかもしれないが、ルーティング構成を知っている発信元のオペレータにとっては、これは明らかで明白なハイジャックであろう。それでも、攻撃者が正当な発信元になりすましている場合には、従来のルーティング警告サービスは、（具体的なプレフィックスではなく）既存のプレフィックスに対する攻撃を検出しない可能性がある。しかし、この攻撃は、非常に長いＡＳ経路を発生させる傾向があるので、（もしあれば）多くのトラフィックを引き付けることになるはずはない、ということに留意されたい。

フォールスポジティブ
上記のハイジャック特定プロセス３００に関して記載されているフィルタリングは、いかなる正当な脅威も見逃すことを防止するにはかなり保守的であるかもしれない。しかし、これは、報告がフォールスポジティブを含むことを暗に示している。なぜなら、新たな取引協定が絶えず出現している状況で、インターネットは非常に大きくかつダイナミックな場所であるからである。実際、フィルタリングは、１日当たりせいぜい１ページ分の事象を発生させ、これは、訓練された分析者が毎日点検するのに十分に少ない数である。報告される事象をさらに制限するためのステップがあるが、直後に記載しているＤＤｏＳ軽減サービスを組織が使用し始めたときなどには、残りの安全なケースはそれ自体が対象になるだろう。

ＤＤｏＳ軽減
複数の民間機関は、問題となっているトラフィックを浄化するために顧客のインターネットトラフィックをデータセンタにリダイレクトすることによってＤＤｏＳ軽減サービスを提供する。次いで、正当なトラフィックが顧客に戻される。これらのサービスは、攻撃中にＢＧＰを介して顧客のプレフィックスを通知することに依拠するが、顧客は、自身のルートを削除する。移行が比較的クリーンかつ完全であるか、またはサービスが過去に使用されている場合には、ハイジャック特定プロセス３００は、このような事象を容易に除外することができる。しかし、ハイジャック特定プロセス３００においてチェックのうちのいくつかを無効にすることは、ＤＤｏＳ起動についての報告を生じさせ、ＤＤｏＳ起動のうちのいくつかは、違法なハイジャックではなく、ＤＤｏＳ保護がこの技術によって起動されたことを示すものであり、したがって組織が攻撃下にある可能性があることを示すものであるかもしれない。また、ＤＤｏＳ軽減は、オンプレミスハードウェアデバイス（たとえば、アーバーのピークフロー）を用いて、またはＤＮＳリダイレクトを介して行うことができ、それらはいずれもＢＧＰ層では目に見えないため、それらの使用は我々の報告の中には登場しない。

ヒューマンエラー（ファットフィンガー）
オペレータはしばしばプレフィックスおよびそれらの発信元を（通知のソースにおける）ルータ構成に手動で入力するため、このような入力はヒューマンエラーを起こしやすい。この手の間違いは、時には潜在的ハイジャックとして現れる可能性がある。たとえば、ロシア科学アカデミーのＭ．Ｖ．ケルディッシュ応用数学研究所（ＡＳ３３８１２）は、以前に、通常はホストダイム．コム社（HostDime.com,Inc.）（ＡＳ３３１８２）によって通知される８．１０．１２０．０／２４をハイジャックしていると思われた。ＡＳ番号が類似していることおよび２つの入れ替わっている桁が警告を生じさせたという事実に注目されたい。この状況は素早く修正され、オペレータエラーの結果であることはほぼ確実であった。

別の明らかなタイプミスでは、クウェート大学コンピュータ情報システム（ＡＳ２５２４２）は、通常はネットワークファンデーション社（Network Foundations LLC）（ＡＳ３６２４２）から確認される６４．１９１．２３６．０／２４を発信したように思われた。２および５はキーボード上で３および６に隣接していることに注目されたい。このエラーは、２分足らずで修正された。この例は、報告されたＡＳＮを注意深く調べて、事象の継続時間を検討することがいかに重要であるかを示している。類似した番号を含む非常に短期間の事象は、素早く修復されるうっかりミスを示していることが多い。

必要に応じて、プレフィックスデータは、１つの可能性として、互いからの編集距離が１であるＡＳＮを含む潜在的ハイジャックは報告しないなど、編集距離のチェックを用いてフィルタリングされてもよい。確率は小さいが、このようなフィルタは、ＩＳＣ（ＡＳ１２８０）がイランにおけるプレフィックスを発信し始めたように見受けられるとき（これは、イランの誰かが間違ってＴＩＣ（ＡＳ１２８８０、かつてのＤＣＩ）から一桁を抜かすことによって引き起こされたエラーであった）などの興味深い事実を廃棄する可能性がある。これは、実際のハイジャックではないが、割り当てられたＡＳＮの空間が実際にはかなり小さいために、攻撃者の、対象の被害者からの編集距離が１または２であると考えられるという事実を強く感じさせた。言い換えれば、もしイランがＩＳＣ空間をハイジャックしていたらどうなっていただろうか？編集距離が１または２の範囲内の攻撃者によって実行される攻撃を見逃すことを回避するために、プロセス３００は、編集距離に対してはいかなるフィルタも課すことなく実行され得る。これは、報告に登場するように発信元ＡＳＮおよび発信されたプレフィックスの両方に関係する単純なタイプミスに起因するフォールスポジティブを引き起こす可能性がある。

ＲＦＣ１９１８の混同
ハイジャック特定プロセス３００は、プライベートアドレス、すなわちＲＦＣ１９１８空間を検討から除去することを含むが、これらのプレフィックスの厳密なフォーマットについてはいくらかの混同がある可能性がある。ＲＦＣ１９１８の仕様自体に以下のように記載されている：
インターネット番号割当て機関（Internet Assigned Numbers Authority：ＩＡＮＡ）は、プライベートインターネットのためにＩＰアドレス空間の以下の３つのブロックを確保した
１０．０．０．０ −１０．２５５．２５５．２５５（１０／８プレフィックス）
１７２．１６．０．０ −１７２．３１．２５５．２５５（１７２．１６／１２プレフィックス）
１９２．１６８．０．０ −１９２．１６８．２５５．２５５（１９２．１６８／１６プレフィックス）。

残念ながら、１７２．０．０．０／８および１９２．０．０．０／８内のプレフィックスの偽の通知は、時としてプライベート部分の外側に現れる。オペレータの中にはこれらのはるかに大きなブロックをプライベートとして処理して、それらを顧客に割り当てている者もいるということもあり得る。これらを図らずも世間一般のインターネットにリークすると、他者がそれらをフィルタリングすることはなく、そうすべきでもないので、広く伝搬する傾向があった。

たとえば、ウズパックネット（Uzpak Net）（ＡＳ８１９３）は、以前に、１９２．１．ｘ．ｙ／２４という形式の１３／２４を通知した。これらのうちのいくつかは、ＢＢＮテクノロジーズ社（BBN Technologies Corporation）（ＡＳ１１４８８）によって通知された１９２．１．８．０／２２に含まれたいたため、このネットワークの具体的なハイジャックを構成していた。１９２．１．２．０／２４のような他のリークされたプレフィックスは、通知されたプレフィックスの一部ではなかったため、ハイジャックを構成していなかった。これらのプレフィックスは、プライベートＡＳＮ、すなわち８１９３＿６５０００で終了するいくつかのＡＳ経路を介して確認された。このことは、ＡＳ８１９３がこれらのブロックをプライベート空間として（プライベートＡＳＮを使用する）顧客に割り当て、（ピアリングセッションの少なくとも一部の際に）このような通知の伝搬を阻止するフィルタを単純にドロップしたことをさらに示唆している。以下で説明するように、これには、プライベートＡＳＮの確認を補完しようとするプロバイダのために偽のＡＳ隣接性を生じさせるという残念な副作用もある。

この形態のハイジャックは、実際にはフォールスポジティブではない。現に、ウズパックは、ＢＢＮをハイジャックし、全てのトラフィックを１つの／２２に引き付けるようにハイジャックした。しかし、意図はどうみても悪意のあるものではなく、状況は素早く修正された。

リーク
ＢＧＰリークは、一般に、ＢＧＰスピーカが、あたかも正当な発信元であるかのように他者から学習したルートを発信するときに発生する。これは、考えているよりも簡単である。なぜなら、内部ルーティングプロトコル（internal routing protocols：ＩＧＰ）が、ＢＧＰに見られるＡＳ経路を担持しないからである。したがって、プロバイダのＩＧＰ学習ルートは、ＢＧＰに再注入されると、このプロバイダを発信元としてグローバルインターネットに伝搬される。世界的影響を及ぼしたリークの最古の最も有名な例のうちの１つは、１９９７年に発生し、この時、ＡＳ７００７（ＭＡＩネットワークサービス（MAI Network Services））は、そのルーティングテーブルのかなりの部分をインターネットに図らずもリークし、そのためルーティングブラックホールを生じさせた。リークされたルートは、インターネット上に元々存在していたルートよりも具体的であったため、このリークの結果、リークされたルートは、より好ましい経路になった。このようなリークは、それ以来定期的に発生している。

多くのオペレータは、ピアリングセッションに対して最大プレフィックス数を設定するなど、明らかなリークを受け入れて伝搬させることを回避するための手段を講じている。しかし、このような制約が課されても、より限定的な範囲のリークが常に起こり得る。たとえば、アブハジア−ロシア共同モバイルプロバイダであるＪＶ Ａ−モバイル社（JV A-Mobile Ltd）（ＡＳ５０２５７）は、以前に、９個のプレフィックスを通知し、全ては黒海周辺の地域にジオロケートされていた。（ＪＶ Ａ−モバイルは、現在はより多くのプレフィックスを通知している。）しかし、ある日、ＪＶ Ａ−モバイルは、さらなる１９個のプレフィックスを通知し、全てはモバイルサービスに関連しており、イギリス、ブラジル、イタリア、トルコなどのさまざまな国にジオロケートされているように思われた。影響を受けたプレフィックスは全てがモバイルプロバイダに関連し、事象は数分だけ続いたことを考慮すると、これは、プライベートエクスチェンジにおけるＧＲＸピアのリークであっただろう。

リークの別の例として、通常は２５個のプレフィックスを通知するネッドゾーンインターネット社（NedZone Internet BV）（ＡＳ２５４５９）について考える。ある時、ネッドゾーンインターネットは、約２分間の間にさらなる３３９個のプレフィックスを通知した。リークされたプレフィックスのうちのいくつかがアマゾンおよびさまざまな金融サービス会社（たとえば、ＪＰモルガンチェース、ＰＮＣ銀行、ＨＳＢＣ銀行など）に属していたため、この事象は多少の注目を集めた。しかし、当該さらなるプレフィックスのうちの２９個のプレフィックスのみが／２４またはそれよりも大きく、このことは、それらがグローバルにルーティング可能であり得たことを暗に示している。残りの３１０個は、７２／２７および６９／３２（単一のＩＰアドレス）を含むより小さなプレフィックスであった。大半のプロバイダは、／２４よりも小さないかなるプレフィックスもフィルタリングするので、リークされたプレフィックスの大半は、それほど遠くまで移動しなかった。しかし、このリークは、潜在的ハイジャックとして報告されるのに十分に長く、潜在的ハイジャックとして報告されるのに十分なピアによって確認された。事象の継続時間および圧倒的多数の小さなプレフィックスに注目することは、これらの通知が悪意のない可能性が最も高く、広範囲に及ぶものではなかったことを示唆するが、このような興味深いプレフィックス群のネッドゾーンの処理は説明されないままである。

ＡＳ経路破損
時折、支離滅裂なＡＳ経路は、存在しないエッジおよび／または偽の発信元を持ち込む場合がある。その結果、これは、関係が存在しないこの誤解を招くような情報に基づいて潜在的ハイジャックについての報告を生じさせる可能性がある。

仮に顧客がそのルートをプライベートＡＳＮを介してそのプロバイダに通知したとする。このようなＡＳＮは、グローバルに固有であることが保証されていないので、プロバイダは、ルートをさらに伝搬させる前にこの発信元を取り除くべきであり、これにより同一のプライベートＡＳＮを使用する他のプロバイダの顧客がこれらの通知を確認することが可能になる。収集システムは、（あたかも実際の顧客であるかのように）そのピアから完全なルーティングテーブルを要求するので、依然としてこのようなプライベート発信元を確認することができるが、一般に、（恐らくプライベートＡＳＮを利用するプロバイダの顧客以外の）世界の他の地域は確認しないはずである。上記のように、これらのプライベート発信元は、固有であることを保証できず、したがって潜在的ハイジャックに関して意味がないので、取り除かれる。

ここで、ＡＳ経路破損につながるプライベートＡＳＮの一例について考える。ある日、プレフィックス２０２．５６．６．０／２４がさまざまな時間にＡＳ２４３８９（グラミーンフォン社（GrameenPhone Ltd.））およびＡＳ６５０００（プライベート）によって発信された。この日、これら２つの異なる発信元は、３００個を超えるＢＧＰピアによって受け入れられた。ハイジャック検出プロセス３００を用いてこのデータを分析することにより、ＡＳ６５０００は取り除かれ、最初の非プライベートアップストリーム（この場合、ＡＳ２４３８９）のみが考慮に入れられ、このことは、ハイジャックの事象がないことを暗に示している。

ここで、全て同一の非常に短い時間内に確認され、受信された順序で表示される以下のルーティング通知について考える。

最初の３つの通知は、プライベートＡＳＮ６５０００がＡＳ２４３８９に隣接していることを暗に示していることに注目されたい。なぜなら、これら２つのＡＳＮは、隣同士に記載されているからである。収集システムは、これらのピアリングセッション（最初の列）からこのようなプライベートＡＳＮを確認しているはずはない。なぜなら、それらはＡＳ２４３８９の顧客ではないからである。その代わりに、ルートは、上に示される第４行目のように見えるはずであり、そこにはプライベートＡＳＮは存在せず、恐らくＡＳ２４３８９によって取り除かれている。

最後に、示されている最後２つのルートでは、経路上の冒頭のＡＳＮは、ピアのものと同一であることが分かる。プライベートＡＳＮを有するルートを受信すると受け手が当該プライベートＡＳＮを自身のＡＳＮと交換することは道理にかなっている。これにより、今やコンフリクトは存在し得ないので、プライベートＡＳＮを使用する顧客のうちのいずれかが引き続きこのルートを確認することが確実になり、ＡＳ経路長が引き続き維持される。ＡＳ９５０３は、ニュージーランドからのＦＸネットワーク（FX Networks）であり、ＡＳ３７９５８は、中国からの北京ブルーＩ．Ｔ．テクノロジーズ（Beijing Blue I.T. Technologies）である。ＡＳ経路を故意に破損させることは、インターネットインテリジェンスの観点からは望ましくないが、この置換を生じさせたように思われるのは、グラミーンフォンがプライベートＡＳＮをフィルタリングし損ねたことであった。そして、このプレフィックスが新たな非プライベート発信元を有しているように見えたので、これは、ハイジャック特定プロセス３００を用いて潜在的ハイジャック警告を発生させる。上記のように、このように行動することが知られているプロバイダを補完することにより、このようなフォールスポジティブの可能性が減少する。

隠れた新たな関係
インターネット正確性の先験的知識が存在しないので、システムおよびプロセスは、世界中どこでもルーティングハイジャックを発見するという問題に取り組むために過去のＢＧＰルーティングデータおよびＡＳ関係情報に依拠している。当然のことながら、新たな取引関係が出現するたびに、当該取引関係はフォールスポジティブを報告する可能性を生じさせる。これは大部分は不可避であるが、事前のルーティングが目に見える関係の何らかのヒントがあれば、このような変更を発見して報告から取り除くようにルールを設計することができる。

全く新しいルーティング挙動では、ハイジャック特定プロセスは、真に悪意のある行為が存在しない場合に潜在的ハイジャックを引き続き報告し得る。新たな関係のよい例については、ＤＤｏＳ軽減サービスに関して上記されている。企業は、ある日はこのようなサービスを使用しておらず、次の日は使用している。実際上は、ＤＤｏＳ軽減プロバイダは、企業のプレフィックスを「ハイジャック」しているが、意図は悪意のあるものではない。そして、ハイジャック特定プロセスは、ハイジャックを報告し、それをＤＤｏＳ起動と呼ぶ。

別の例として、異種のように思われる組織は、データの中に目に見える関係を持っていないかもしれず、または協力する明確な理由さえ持っていないかもしれない。２０４．１２８．２２２．０／２４を発信する、モバイル・エリア・チェンバー・オブ・コマース（Mobile Area Chamber of Commerce）に登録されたアラバマ州モービルのキャリス・コミュニケーションズ（Callis Communications）（ＡＳ１７０９９）について考える。ある時、それは、過去に唯一の発信元であったＡＴ＆Ｔ（ＡＳ７０１８）によっても発信され、ハイジャック特定プロセスによって潜在的ハイジャックとしてとらえられることができた。

これら２つのエンティティの間にはルーティングの点で明確な関係がないが、少し調査すると卸電気通信契約の証拠が発見された。現在では、キャリス・コミュニケーションズのみがこのプレフィックスを発信しているため、ＡＴ＆Ｔから移行したように見える。このことは特に疑わしいことでも驚くべきことでもないが、ルーティングに現れる前に識別する（したがって、取り除く）ことは困難であろう。このようなフォールスポジティブは、恐らく地方または地域の取引協定のために、大きな組織とはるかに小さな組織との間では一般的である。

この手のフォールスポジティブは、ハイジャック報告において同一の国におけるＡＳと異なる国におけるＡＳとを区別することによって、フラグを立てることができる。たとえば、同一の国に関係する潜在的ハイジャックに対する異なる国に関係する潜在的ハイジャックを調査することに対してより高い優先度が置かれてもよい。厳密に同一の国内のＡＳ間で発生する全てのハイジャックを取り除くことにより、報告される事象の数はさらに減少するであろう。

ＡＳセット
ＢＧＰ更新情報におけるＡＳ＿ＰＡＴＨ属性は、２つの異なるデータタイプ、すなわちＡＳ＿ＳＥＱＵＥＮＣＥまたははるかに一般的でないＡＳ＿ＳＥＴ、を備え得る。ＡＳ＿ＳＥＴは、順序付けられていないＡＳ群を表わし、ＡＳ＿ＳＥＱＵＥＮＣＥとは異なって、セットから直接隣接性を推測することができない。たとえば、ＡＳ番号の装飾されていないシーケンスとして示される単一のＡＳ＿ＳＥＱＵＥＮＣＥで構成される以下のＡＳ＿ＰＡＴＨ：１７４ ２０９について考える。プリペンドの可能性は無視して、この経路は、恐らく、その発信元、すなわちＡＳ２０９から直接渡された、ＡＳ１７４によって我々と共有されるルートを表わす。すなわち、１７４＿２０９は、単一のＢＧＰエッジを表わす（これはかなりまれであろうが、ＡＳ１７４は、経路の先頭にＡＳ２０９を追加してＢＧＰのループ検出を起動し得て、これにより、ＡＳ２０９のボーダーにおいてルートが無視されるであろう。（学問的なＢＧＰ ＭＩＴＭ攻撃において実証され、時としてトラフィックエンジニアリングに用いられる）このすばらしい技術は、ＡＳ２０９がルートを知ることを防ぐであろう）。

ここで、１つのＡＳ＿ＳＥＱＵＥＮＣＥの後にＡＳ＿ＳＥＴが続き、後者は波括弧の中のＡＳ番号セットによって示される、わずかに複雑なＡＳ＿ＰＡＴＨ：１７４｛１９８２，３２８３４｝について考える。これはどのように解釈されるべきであろう？ＢＧＰ仕様によって、ＡＳＮの順序付けを判断することはできず、そのため、以下のエッジセットのうちのどれが正しいかを知ることはできない。

歴史的理由から、処理済みデータにおいて、ハイジャック特定プロセス３００は、ＡＳセットがあたかもシーケンスであるかのようにＡＳセットを処理するため、オプション（５）が上記のリストから選択される。代わりに他の解釈のうちのいずれかが正しい場合、報告は偽のエッジを含むか、またはエッジが欠落しているであろう。残念ながら、この問題に対する現実的な解決策はない。発信元ハイジャックを探すときには、全ての考えられるエッジがフォールスネガティブを生じさせる可能性があると想定する。これらのエッジがいずれも存在しないと想定することが、フォールスポジティブを生じさせ得る。ＡＳセットがＡＳ経路の最後に現れる場合、プレフィックスの発信元は、単純に曖昧である。幸いなことに、ＡＳセットはめったに使用されないが、データの中には存在しており、潜在的ハイジャックを評価する際には（たとえば、分析者によって）考慮に入れられる必要があるだろう。

ハイジャック報告
報告は、人間が読み取ることができる形式で（ファイルでまたは電子メールによって配信される）、およびＪＳＯＮで、たとえば毎日特定の時間に、生成され得る。報告の中のＡＳＮおよびプレフィックスは、人間によって入力されてエラーを起こしやすいであろう登録データから導き出されたラベルを特定することによって特定され得る。

一例として、新たな具体的なプレフィックスについての警告を含む以下の報告について考える。

これは、ルーマニアのＳＣテクノグループＳＲＬ（SC Tehnogrup SRL）として登録されているＡＳ１９８５９６が、他者によってルーティングされたプレフィックスの２つの具体的なプレフィックス（／２４）を通知したことを示している。これらのより大きなプレフィックスは両方ともたまたま／２１であり、一方は、ＡＳ１１０３、すなわちオランダのサーフネット（ＳＵＲＦｎｅｔ）によって通知され、４０２個のピアによって確認され、他方は、ＡＳ４７８０、すなわち台湾のデジタルユナイテッド（Ｄｉｇｉｔａｌ Ｕｎｉｔｅｄ）によって通知され、４０６個のピアによって確認される。これらのカバリングプレフィックスは両方とも、対象の日に一日中にわたって、すなわちそれらを確認する全てのピアにわたって平均２４時間にわたって、確認された。

この報告の中の第１のハイジャックされた／２４は、オランダ基礎エネルギ研究所に登録され、１日のうちで平均０．８８時間にわたって４０１個のピアによって確認された。第２のハイジャックされた／２４は、ほぼ同じ長さの時間であるが４０２個のピアによって確認された。このプレフィックスの奇数登録ラベルおよび第１のハイジャックについてのサーフネット／２１の欠落している登録ラベルに注目されたい。このようにして、これらのエンティティはＲＩＰＥおよびＡＰＮＩＣデータベースに現れる。

同一の報告からのＭＯＡＳ警告が次に示される。

この報告フラグメントは、オランダのプロバイダであるリーダーテレコム（LeaderTelecom）が２つの／２４を通知し、それらは両方ともロシアのベレロフォン（Bellerofont）によって通知されていることを示している。これは、それらがたまたま４６．２４３．１６０．０／２１および４６．２４３．１８４．０／２１という隣接するプレフィックスも通知するので、リーダーテレコムによるエラーを表わし得るか、または何らかの正当な取り決めを表わし得る。リーダーテレコムは、ロシアのプレフィックスを通過させるが、ルーティングの点でベレロフォンとは明白な関係がない。それでも、この日一日、これらの／２４は、一日の大半にわたってさまざまな組織によって発信され、さまざまなルーティングピアセットが各々を選択した。

新たなＤＤｏＳ保護プレフィックスの一例として、以下の報告について考える。

これは、ニュースター（NeuStar）が出会い系サイトであるMatch.comを含むさまざまな組織のための７個の新たなプレフィックスをルーティングしていることを示している。

最後に、以下は、過去にルーティングされていない通知についての報告のスニペットである。

このスニペットは、ブルガリアからのデシジョン・マーケティング（Decision Marketing）が、他の組織および国に関連付けられたさまざまな過去に通知されていない空間を通知していることを示している。

潜在的ハイジャックを検出することによって、ハイジャックの被害者に知らせることができる。被害者は、ハイジャック犯を阻止することができ、または偽の通知をフィルタリングするようにアップストリームおよび／もしくはホスティングセンタに警告することができる。いくつかの極端な例では、悪質な行為者を完全に休業させることができる。

結論
さまざまな本発明の実施形態について本明細書において記載し説明してきたが、当業者は、機能を実行するため、および／または、結果および／または本明細書に記載されている利点のうちの１つ以上を得るためのさまざまな他の手段および／または構造を容易に想定し、このような変更例および／または変形例の各々は、本明細書に記載されている本発明の実施形態の範囲の範囲内であると見なされる。より一般的には、本明細書に記載されている全てのパラメータ、寸法、材料および構成は例示的であるよう意図されており、実際のパラメータ、寸法、材料および／または構成は、本発明の教示が用いられる特定の用途に依存する、ということを当業者は容易に理解するであろう。当業者は、通常の実験を用いて、本明細書に記載されている特定の本発明の実施形態との多くの等価物を認識する、または確認することができるであろう。したがって、上記の実施形態は、一例として提示されているに過ぎず、添付の特許請求の範囲およびその等価物の範囲内で、本発明の実施形態は、具体的に記載されクレームされている態様とは異なる態様で実施されてもよい、ということが理解されるべきである。本開示の本発明の実施形態は、本明細書に記載されている各々の個々の特徴、システム、物品、材料、キットおよび／または方法に向けられる。また、２つ以上のこのような特徴、システム、物品、材料、キットおよび／または方法の任意の組み合わせは、このような特徴、システム、物品、材料、キットおよび／または方法が相互に矛盾していなければ、本開示の本発明の範囲の範囲内に包含される。

上記の実施形態は、多数の方法のうちのいずれかの方法で実現可能である。たとえば、本明細書に開示されている技術を設計および製作する実施形態は、ハードウェア、ソフトウェアまたはそれらの組み合わせを用いて実現されてもよい。ソフトウェアで実現される場合には、単一のコンピュータに設けられていようと複数のコンピュータに分散されていようと、任意の好適なプロセッサまたはプロセッサの集合体上でソフトウェアコードを実行することができる。

さらに、コンピュータは、ラックマウント式コンピュータ、デスクトップコンピュータ、ラップトップコンピュータまたはタブレットコンピュータなどの複数の形態のうちのいずれかの形態で実施されてもよいということが理解されるべきである。また、コンピュータは、一般にはコンピュータと見なされていないが、パーソナルデジタルアシスタント（Personal Digital Assistant：ＰＤＡ）、スマートフォン、またはその他の好適な携帯型もしくは固定式電子デバイスを含む、好適な処理能力を有するデバイスの状態で実施されてもよい。

また、コンピュータは、１つ以上の入力および出力デバイスを有していてもよい。これらのデバイスは、とりわけユーザインターフェイスを表示するために用いることができる。ユーザインターフェイスを提供するために用いることができる出力デバイスの例としては、出力を視覚的に表示するためのプリンタまたはディスプレイ画面、および、出力を可聴式に提供するためのスピーカまたは他の音を発生させるデバイスが挙げられる。ユーザインターフェイスに用いることができる入力デバイスの例としては、キーボード、ならびに、マウス、タッチパッドおよびデジタイジングタブレットなどのポインティングデバイスが挙げられる。別の例として、コンピュータは、音声認識を介してまたは他の可聴式のフォーマットで入力情報を受信してもよい。

このようなコンピュータは、ローカルエリアネットワークまたは企業ネットワークなどのワイドエリアネットワーク、およびインテリジェントネットワーク（intelligent network：ＩＮ）またはインターネットを含む任意の好適な形態の１つ以上のネットワークによって相互接続されてもよい。このようなネットワークは、任意の好適な技術に基づいていてもよく、任意の好適なプロトコルに従って動作してもよく、無線ネットワーク、有線ネットワークまたは光ファイバネットワークを含んでもよい。

本明細書に記載されているさまざまな方法またはプロセス（たとえば、上に開示した技術を設計および製作する方法またはプロセス）は、さまざまなオペレーティングシステムまたはプラットフォームのうちのいずれか１つを利用する１つ以上のプロセッサ上で実行可能なソフトウェアとして符号化されてもよい。また、このようなソフトウェアは、複数の好適なプログラミング言語および／またはプログラミングもしくはスクリプティングツールのうちのいずれかを用いて書かれてもよく、フレームワークまたはバーチャルマシン上で実行される実行可能な機械語コードまたは中間コードとしてコンパイルされてもよい。

この点において、さまざまな本発明の概念は、１つ以上のコンピュータまたは他のプロセッサ上で実行されたときに上記の本発明のさまざまな実施形態を実現する方法を実行する１つ以上のプログラムで符号化されたコンピュータ読取可能記憶媒体（または、複数のコンピュータ読取可能記憶媒体）（たとえば、コンピュータメモリ、１つ以上のフロッピー（登録商標）ディスク、コンパクトディスク、光ディスク、磁気テープ、フラッシュメモリ、フィールドプログラマブルゲートアレイもしくは他の半導体装置における回路構成、または他の非一時的な媒体もしくは有形のコンピュータ記憶媒体）として実施されてもよい。コンピュータ読取可能媒体は、可搬式であり得るため、そこに格納されたプログラムを１つ以上の異なるコンピュータまたは他のプロセッサにロードして上記の本発明のさまざまな局面を実現することができる。

「プログラム」または「ソフトウェア」という用語は、本明細書では一般的な意味で用いられており、上記のように実施形態のさまざまな局面を実現するようにコンピュータまたは他のプロセッサをプログラムするために利用することができる任意のタイプのコンピュータコードまたはコンピュータによって実行可能な命令セットを意味する。また、一局面に従って、実行されたときに本発明の方法を実行する１つ以上のコンピュータプログラムは、単一のコンピュータまたはプロセッサに存在する必要はなく、モジュール式の態様で複数の異なるコンピュータまたはプロセッサに分散されて本発明のさまざまな局面を実現してもよい、ということが理解されるべきである。

コンピュータによって実行可能な命令は、１つ以上のコンピュータまたは他のデバイスによって実行されるプログラムモジュールなどの多くの形態であってもよい。一般に、プログラムモジュールは、特定のタスクを実行するかまたは特定の抽象データタイプを実現するルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含む。通常、プログラムモジュールの機能は、さまざまな実施形態において所望のごとく組み合わせられたり、分散されたりし得る。

また、データ構造は、任意の好適な形態でコンピュータ読取可能媒体に格納され得る。説明を簡単にするために、データ構造は、データ構造内の場所を介して関係付けられるフィールドを有するように示され得る。このような関係は、同様に、フィールド間の関係を伝えるコンピュータ読取可能媒体内の場所をフィールドのストレージにあてがうことによって実現することができる。しかし、ポインタ、タグ、またはデータ要素間の関係を確立する他の機構の使用によるものを含む任意の好適な機構を用いて、データ構造のフィールド内の情報間の関係を確立してもよい。

また、さまざまな本発明の概念は、１つ以上の方法として実施され得て、当該１つ以上の方法の一例が提供されている。方法の一部として実行される行為は、任意の好適な方法で順序付けされてもよい。したがって、例示的な実施形態には順次的な行為として示されていても、いくつかの行為を同時に実行することを含み得る、示されている順序とは異なる順序で行為が実行される実施形態が構築されてもよい。

本明細書において規定され用いられる全ての定義は、辞書的定義、引用によって援用される文書における定義、および／または、定義された用語の普通の意味を支配するものと理解されるべきである。

明細書および特許請求の範囲で用いられる不定冠詞「ａ」および「ａｎ」は、明らかにそれとは反対の指示がない限り、「少なくとも１つ」を意味するものと理解されるべきである。

明細書および特許請求の範囲で用いられる「および／または」という句は、等位接続された要素の「どちらか一方または両方」、すなわち、接続的に存在している場合もあれば離接的に存在している場合もある要素、を意味するものと理解されるべきである。「および／または」を用いて列挙された複数の要素は、同じように解釈されるべきであり、すなわち、等位接続された要素のうちの「１つ以上」であると解釈されるべきである。「および／または」という節によって具体的に特定される要素以外の他の要素が、具体的に特定されるそれらの要素に関係していようと無関係であろうと、任意に存在してもよい。したがって、非限定的な例として、「Ａおよび／またはＢ」への言及は、「備える」などのオープンエンドの用語とともに用いられるとき、一実施形態では、Ａのみである（任意にＢ以外の要素を含む）ことを意味し得て、別の実施形態では、Ｂのみである（任意にＡ以外の要素を含む）ことを意味し得て、さらに別の実施形態では、ＡおよびＢの両方である（任意に他の要素を含む）ことを意味し得る、などである。

明細書および特許請求の範囲で用いられる「または」は、上記のように「および／または」と同一の意味を有するものと理解されるべきである。たとえば、リストの中の項目を分ける際、「または」または「および／または」は、包含的である、すなわち、複数または多数の要素のうちの少なくとも１つの要素を含むが、複数または多数の要素のうちの２つ以上の要素も含み、列挙されていないさらなる項目も任意に含むものとして解釈される。「のうちの１つだけ」または「のうちのまさに１つ」、または特許請求の範囲で用いられる「からなる」などの、明らかにそれと矛盾する用語のみが、複数または多数の要素のうちのまさに１つの要素を含むことを意味する。一般に、本明細書で用いられる「または」という用語は、「どちらか一方」、「のうちの１つ」、「のうちの１つだけ」または「のうちのまさに１つ」などの排除の用語が前に付くときにのみ排他的選択肢（すなわち、「一方または他方であるが、両方ではない」）を示すものとして解釈される。特許請求の範囲で用いられる「本質的に〜からなる」は、特許法の分野で用いられる普通の意味を有するものとする。

明細書および特許請求の範囲で用いられる「少なくとも１つ」という句は、１つ以上の要素のリストを参照して、当該要素のリストの中のいずれか１つ以上の要素から選択された少なくとも１つの要素を意味するが、必ずしも当該要素のリストに具体的に列挙されている全ての要素のうちの少なくとも１つを含む訳ではなく、当該要素のリストの中の要素の任意の組み合わせを排除するものではない、ということが理解されるべきである。また、この定義により、「少なくとも１つ」という句が指す、当該要素のリストに具体的に特定される要素以外の要素が、具体的に特定されるそれらの要素に関係していようと無関係であろうと、任意に存在してもよいことになる。したがって、非限定的な例として、「ＡおよびＢのうちの少なくとも１つ」（または同等に「ＡまたはＢのうちの少なくとも１つ」、または同等に「Ａおよび／またはＢのうちの少なくとも１つ」）は、一実施形態では、少なくとも１つのＡであって、任意に２つ以上のＡを含み、Ｂは存在しない（任意にＢ以外の要素を含む）ことを意味し得て、別の実施形態では、少なくとも１つのＢであって、任意に２つ以上のＢを含み、Ａは存在しない（任意にＡ以外の要素を含む）ことを意味し得て、さらに別の実施形態では、少なくとも１つのＡであって、任意に２つ以上のＡを含み、少なくとも１つのＢであって、任意に２つ以上のＢを含む（任意に他の要素を含む）ことを意味し得る、などである。

特許請求の範囲および上記の明細書において、「備える」、「含む」、「担持する」、「有する」、「含有する」、「伴う」、「保持する」、「で構成される」などの移行句は全て、オープンエンドである、すなわち、含むがそれに限定されないということを意味するものと理解されるべきである。米国特許庁特許審査便覧のセクション２１１１．０３に記載されているように、「からなる」および「本質的に〜からなる」という移行句のみがそれぞれクローズドまたはセミクローズド移行句であるものとする。

Claims (19)

1. インターネット上でルーティングハイジャックを検出する方法であって、
   前記インターネット上で複数の自律システム（ＡＳ）の中の複数のＢＧＰルータから複数のボーダーゲートウェイプロトコル（ＢＧＰ）更新情報を収集するステップを備え、前記複数のＢＧＰ更新情報における各ＢＧＰ更新情報は、少なくとも１つのプレフィックスを含み、前記方法はさらに、
   前記複数のＢＧＰ更新情報に基づいて少なくとも１つの新たな発信元を特定するステップと、
   前記複数のＢＧＰ更新情報に含まれる前記プレフィックスの中から前記少なくとも１つの新たな発信元を有する複数のプレフィックスを形成するステップと、
   前記複数のプレフィックスから少なくとも１つのＲＦＣ１９１８プレフィックスを除去するステップと、
   前記複数のプレフィックスにおける残りのプレフィックスのうちの少なくとも１つのプレフィックスを潜在的ルーティングハイジャックとして報告するステップとを備える、方法。
2. 前記少なくとも１つの新たな発信元が前記少なくとも１つの新たな発信元の全てのピアによって確認されたことに応答して、少なくとも１つの複数発信元ＡＳ（ＭＯＡＳ）プレフィックスを除去するステップをさらに備える、請求項１に記載の方法。
3. 一定期間内に前記少なくとも１つの新たな発信元によって発信された前記複数のプレフィックスから少なくとも１つのプレフィックスを除去するステップをさらに備える、請求項１に記載の方法。
4. 前記一定期間は、１ヶ月である、請求項３に記載の方法。
5. 前記複数のプレフィックスにおける前記残りのプレフィックスから少なくとも１つのプレフィックスを除去するステップをさらに備え、前記少なくとも１つのプレフィックスは、前記少なくとも１つの新たな発信元に関連付けられ、前記少なくとも１つの新たな発信元よりも古い発信元とＢＧＰ関係を有する、請求項１に記載の方法。
6. 前記複数のプレフィックスにおける前記残りのプレフィックスから少なくとも１つのプレフィックスを除去するステップをさらに備え、前記少なくとも１つのプレフィックスは、前記少なくとも１つの新たな発信元によって発信されたカバリングプレフィックスに関連付けられる、請求項１に記載の方法。
7. 前記複数のプレフィックスにおける前記残りのプレフィックスから、前記少なくとも１つの新たな発信元によって通知された少なくとも１つのプレフィックスを除去するステップをさらに備え、前記少なくとも１つのプレフィックスは、ある組織のために通知され、前記少なくとも１つの新たな発信元は、前記組織のための少なくとも１つの他のプレフィックスを過去に通知している、請求項１に記載の方法。
8. ＡＳ番号の登録および国レベルのジオロケーションと前記複数のプレフィックスにおける各プレフィックスとを比較するステップをさらに備える、請求項１に記載の方法。
9. 前記少なくとも１つの新たな発信元がなりすまし発信元であるか否かを検出するステップをさらに備える、請求項１に記載の方法。
10. ＢＧＰ通知に含まれる冒頭のＡＳ経路フラグメントを分析するステップと、
    前記分析に基づいてダウンストリームトランジットコーンにおける異常を検出するステップと、
    前記異常のトレースルートレイテンシを判断するステップとをさらに備える、請求項９に記載の方法。
11. 前記少なくとも１つのプレフィックスを報告するステップは、ＡＳ経路破損、ヒューマンエラーによって引き起こされるルーティング異常、リーク、または隠れたＢＧＰ関係のうちの少なくとも１つを検出するステップを含む、請求項１に記載の方法。
12. インターネット上でルーティングハイジャックを検出する方法であって、
    前記インターネット上で複数の自律システム（ＡＳ）の中の複数のＢＧＰルータから複数のボーダーゲートウェイプロトコル（ＢＧＰ）更新情報を収集するステップを備え、前記複数のＢＧＰ更新情報における各ＢＧＰ更新情報は、少なくとも１つのプレフィックスを含み、前記方法はさらに、
    前記複数のＢＧＰ更新情報に含まれる前記プレフィックスの中から少なくとも１つの新たな発信元を有する複数のプレフィックスを特定するステップと、
    前記ＢＧＰ更新情報に基づいて少なくとも１つの新たなＡＳ番号（ＡＳＮ）を特定するステップと、
    前記少なくとも１つの新たなＡＳＮの登録が前記複数のプレフィックスにおける関連付けられたプレフィックスと同等であるか否かを判断するステップと、
    前記登録が同等であると判断すると、前記複数のプレフィックスから前記関連付けられたプレフィックスを除去するステップと、
    前記複数のプレフィックスにおける残りのプレフィックスのうちの少なくとも１つのプレフィックスを潜在的ルーティングハイジャックとして報告するステップとを備える、方法。
13. 前記複数のＢＧＰ更新情報における少なくとも１つのＡＳ経路の冒頭からプライベートＡＳＮを除去するステップをさらに備える、請求項１２に記載の方法。
14. 前記プライベートＡＳＮを除去すると、前記少なくとも１つのＡＳ経路がルーティングハイジャックであるか分析するステップをさらに備える、請求項１３に記載の方法。
15. 各ＡＳ経路から一桁のＡＳＮを除去するステップと、
    前記ＡＳ経路を分析して、ルーティングハイジャックを検出するステップとをさらに備える、請求項１２に記載の方法。
16. 前記少なくとも１つの新たなＡＳＮがなりすましＡＳＮであるか否かを検出するステップをさらに備える、請求項１２に記載の方法。
17. ＢＧＰ通知に含まれる冒頭のＡＳ経路フラグメントを分析するステップと、
    前記分析に基づいてダウンストリームトランジットコーンにおける異常を検出するステップと、
    前記異常のトレースルートレイテンシを判断するステップとをさらに備える、請求項１６に記載の方法。
18. 前記少なくとも１つのプレフィックスを報告するステップは、ＡＳ経路破損、ヒューマンエラーによって引き起こされるルーティング異常、リーク、または隠れたＢＧＰ関係のうちの少なくとも１つを検出するステップを含む、請求項１２に記載の方法。
19. 前記少なくとも１つの新たなＡＳＮのジオロケーションが前記関連付けられたプレフィックスのものと異なっているか否かを判断するステップをさらに備える、請求項１２に記載の方法。

Images