Blackholing / RTBH

Blackholing (routing do czarnej dziury) to technika obrony sieci, w której wybrany ruch jest celowo kierowany do interfejsu pustego (Null0 / discard) i tam po cichu odrzucany — bez odsyłania nadawcy żadnego komunikatu o błędzie. Pakiety po prostu znikają. RTBH (Remotely Triggered Black Hole, zdalnie wyzwalane blackholowanie) to jej zautomatyzowana wersja. Operator z jednego miejsca (router wyzwalający) rozgłasza trasę do odrzucenia przez protokół BGP, a wszystkie routery brzegowe od razu zaczynają wyrzucać ruch kierowany na wskazany adres. Najczęściej używa się tego do szybkiego gaszenia wolumetrycznych ataków DDoS w warstwie 3/4 — czyli takich, które zalewają łącze samą ilością pakietów.

Jak działa RTBH?

RTBH wykorzystuje już istniejącą sesję iBGP jako kanał sterujący — coś w rodzaju wewnętrznego radia, którym routery uzgadniają trasy. Zamiast logować się ręcznie na każdy router, operator wpisuje jedną trasę na routerze wyzwalającym, a BGP roznosi ją do pozostałych w kilka sekund. Cały cykl wygląda tak:

1. Trasa do odrzucania (discard route) — na routerach brzegowych z góry przygotowana jest statyczna trasa, która kieruje specjalny adres next-hop (np. z puli testowej TEST-NET 192.0.2.0/24 lub z adresów prywatnych RFC 1918) do interfejsu Null0.
2. Wyzwolenie — operator rozgłasza przez BGP prefiks atakowanego celu (zwykle pojedynczy adres, /32) z next-hopem ustawionym na ten adres discard.
3. Propagacja — routery brzegowe odbierają rozgłoszenie i u siebie rozwiązują next-hop na Null0, więc ruch do tego prefiksu jest wyrzucany już na wejściu do sieci.
4. Wycofanie — gdy atak ustaje, trasę się cofa i ruch do celu wraca do normalnego przepływu.

Samo wyzwolenie robi się na dwa sposoby. Metoda next-hop: router wyzwalający od razu ustawia atrybut next-hop. Albo przez społeczności BGP (BGP communities): trasa dostaje znacznik (community), a reguły na routerach brzegowych zamieniają ten znacznik na next-hop discard. Metoda ze społecznościami jest wygodniejsza i to ona dominuje w relacjach z dostawcami i na punktach wymiany ruchu.

Blackholing po adresie docelowym a po adresie źródłowym

Są dwa warianty RTBH, opisane m.in. w RFC 5635:

• Destination-based RTBH (po adresie docelowym) — najczęstszy. Wyrzucany jest cały ruch kierowany do atakowanego adresu IP. Działa od razu i nie obchodzi go, z ilu źródeł leci atak. Minus: odcina ofiarę od reszty internetu (o tym za chwilę).
• Source-based RTBH (po adresie źródłowym) — wyrzucany jest ruch od wskazanych adresów źródłowych. Wymaga włączenia uRPF (Unicast Reverse Path Forwarding): router patrzy, skąd przyszedł pakiet, i jeśli trasa powrotna do tego źródła prowadzi do Null0, kontrola uRPF nie przechodzi i pakiet leci do kosza. Pozwala zablokować napastnika bez wyłączania celu, ale działa tylko gdy źródeł jest niewiele i nie podszywają się pod cudze adresy.

Dlaczego RTBH bywa „zwycięstwem atakującego”?

Blackholing po adresie docelowym to narzędzie tępe: wyrzuca ruch dobry i zły bez rozróżnienia. Skierowanie prefiksu ofiary do czarnej dziury sprawia, że usługa staje się niedostępna dla wszystkich — a o to właśnie chodziło napastnikowi. Z punktu widzenia operatora to mimo wszystko często rozsądny wybór: poświęca się jeden adres, żeby uratować łącza, routery i pozostałe usługi przed przeciążeniem. Dlatego RTBH traktuje się jak triaż i ostatnią linię obrony dla pojedynczych, mniej krytycznych celów — a nie jak docelową ochronę usług, które muszą być dostępne non stop. Dochodzą do tego dalsze ograniczenia:

• Współdzielone IP — gdy na jednym adresie siedzi wielu najemców (hosting, CDN, NAT), blackhole wyłącza ich wszystkich naraz.
• Ataki warstwy 7 — floody aplikacyjne (HTTP, boty) nie dają się załatwić logiką „adres do Null0”; potrzeba tu filtrowania, które patrzy na treść ruchu.
• Brak wglądu — odrzucony ruch znika bez śladu, jeśli wcześniej nie zadbano o telemetrię.

Czym RTBH różni się od BGP FlowSpec i scrubbingu?

RTBH, BGP FlowSpec i scrubbing to trzy poziomy precyzji w obronie przed DDoS, często używane razem:

• RTBH — działa na poziomie całego adresu/prefiksu docelowego (albo źródłowego z uRPF). Akcja zero-jedynkowa: wyrzuć wszystko. Najszybszy do wdrożenia, ale najboleśniejszy dla ofiary.
• BGP FlowSpec (RFC 8955) — rozgłasza przez BGP dużo dokładniejsze reguły: adres źródłowy i docelowy, protokół, porty L4, długość pakietu, fragmentację. Może nie tylko odrzucać, ale też ograniczać tempo, próbkować czy przekierowywać. Dzięki temu odcina sam ruch ataku, a legalny ruch do tej samej ofiary zostaje.
• Scrubbing — przekierowuje ruch (przez BGP lub DNS) do centrum czyszczącego, które dokładnie prześwietla pakiety, wyrzuca atak i oddaje czysty ruch. Najprecyzyjniejszy i najdroższy; dokłada opóźnienie i wymaga przekierowania trasy.

Dojrzała strategia zwykle łączy je tak: FlowSpec lub scrubbing do precyzyjnej, ciągłej obrony, a RTBH jako szybki bezpiecznik na chwilę, gdy atak przerasta pojemność łączy albo centrum czyszczącego.

RTBH na punktach wymiany ruchu (IXP) i u dostawców

Operatorzy często nie blackholują u siebie, lecz „wyżej” — u dostawcy tranzytu albo na punkcie wymiany ruchu (IXP). Sygnalizuje się to ustandaryzowaną społecznością BGP blackhole 65535:666 doczepioną do rozgłaszanego prefiksu. Dzięki temu ruch ataku zostaje wyrzucony, zanim w ogóle dotrze do łącza ofiary — czyli zanim zatka się najwęższe gardło. RTBH stoi jednak na zaufaniu i poprawnej walidacji: rozgłaszać wolno tylko własne prefiksy, a same trasy blackhole trzeba pilnować znacznikiem NO_EXPORT i filtrami na wyjściu, żeby przypadkiem nie wyciekły i nie zdjęły ruchu na dużą skalę.

Dlaczego RTBH jest ważny dla bezpieczeństwa i monitoringu sieci?

RTBH ma sens tylko wtedy, gdy stoi za nim wykrywanie. Decyzja „który prefiks wysłać do czarnej dziury” musi wynikać z telemetrii, a nie z domysłów — dlatego blackholing jest ściśle związany z monitoringiem przepływów i systemami NDR:

• Wyzwalanie z telemetrii flow — systemy analizujące NetFlow/IPFIX/sFlow wychwytują skokowy wzrost ruchu na dany adres, wskazują atakowany prefiks i mogą same wstrzyknąć trasę RTBH przez BGP.
• Dobór progów — zbyt czułe progi prowadzą do samookaleczenia (blackhole legalnego ruchu); znajomość normalnego poziomu ruchu i profilowanie per host zmniejszają liczbę fałszywych alarmów.
• Telemetria przed dropem — skoro ruch trafiający do Null0 znika, dane potrzebne do analizy po ataku (wektor, rozkład źródeł, porty) trzeba zebrać zanim reguła zadziała. Tu pomaga zestawienie danych o przepływach z logami i zdarzeniami z SOC.
• Rozróżnienie celu i napastnika — telemetria pozwala wybrać między wariantem po adresie docelowym (szybki, ale kosztem ofiary) a wariantem po źródle lub przejściem na FlowSpec/scrubbing, gdy źródeł da się policzyć.

Dowiedz się więcej

• Czym jest NetFlow i jak ten protokół jest wykorzystywany w praktyce? — NetFlow dostarcza dane o ruchu, na podstawie których można wykryć atak i uruchomić RTBH.
• Scrubbing Center — Scrubbing Center filtruje ruch po odcięciu przez RTBH, gdy atak wymaga czyszczenia poza siecią.
• Zaawansowane metody ochrony przed atakami DDoS w firmach — RTBH jest jedną z metod ograniczania skutków ataków DDoS opisanych w tym materiale.