Сетевые телескопы: наблюдение за трафиком в "темном" адресном пространстве.
Network telescope
Сетевые телескопы: мониторинг трафика в "темном" адресном пространстве для выявления атак, сканирования и DDoS. Узнайте о принципах работы и разрешении.
Сравнивайте с английским: нажмите на абзац — оригинал откроется в окне. Кнопка EN под абзацем показывает его прямо в тексте.
Введение
Сетевой телескоп (также известный как пакетный телескоп, даркнет, интернет-датчик движения или «чёрная дыра») — это интернет-система, позволяющая наблюдать за различными крупномасштабными событиями, происходящими в сети Интернет. Основная идея заключается в наблюдении за трафиком, направленным в неиспользуемое адресное пространство сети. Поскольку весь трафик к этим адресам является подозрительным, можно получить информацию о возможных сетевых атаках (например, о случайном сканировании, червях и отражённом трафике DDoS), а также об иных некорректных конфигурациях, анализируя его. Разрешающая способность интернет-телескопа зависит от количества отслеживаемых IP-адресов. Например, крупный интернет-телескоп, отслеживающий трафик к 16 777 216 адресам (интернет-телескоп в IPv4), имеет более высокую вероятность обнаружения даже небольшого события, чем меньший телескоп, отслеживающий 65 536 адресов (интернет-телескоп). Название происходит из аналогии с оптическими телескопами, где больший физический размер позволяет регистрировать больше фотонов. Вариантом сетевого телескопа является разреженный даркнет, или «грейнет», состоящий из области адресного пространства, в которой «тёмные» адреса перемежаются с активными («освещёнными») IP-адресами.
A network telescope (also known as a packet telescope, darknet, Internet motion sensor or black hole) is an Internet system that allows one to observe different large scale events taking place on the Internet. The basic idea is to observe traffic targeting the dark (unused) address space of the network. Since all traffic to these addresses is suspicious, one can gain information about possible network attacks (random scanning worms, and DDoS backscatter) as well as other misconfigurations by observing it. The resolution of the Internet telescope is dependent on the number of IP addresses it monitors. For example, a large Internet telescope that monitors traffic to 16,777,216 addresses (the Internet telescope in IPv4), has a higher probability of observing a relatively small event than a smaller telescope that monitors 65,536 addresses (a Internet telescope). The naming comes from an analogy to optical telescopes, where a larger physical size allows more photons to be observed. A variant of a network telescope is a sparse darknet, or greynet, consisting of a region of IP address space that is sparsely populated with "darknet" addresses interspersed with active (or "lit") IP addresses.
Большие сетевые телескопы
Покрытие сети IP-адреса Наименование Срок действия Захваченные данные 100% 2018 01 01‒2019 06 04 74% ~12M 2019 06 05— 67% или ~11 миллионов неиспользуемых IP-адресов. 2005 10 05— 18.2 терабайта 100% / MIT 2009/2019— 100% 65k HEAnet 2019 03 (1 неделя) 96 гигабайт (IPv6) 100% 8.3 миллиарда триллионов триллионов (2^112) RIPE NCC 2020 01 13 2020 01 16 (3 дня) 19M пакетов