BGP vulnerabilities

[polak]

Hej
Mam pytanie jak skutecznie ochronić się przed podatnością opisana w poniższym artykule ?
https://thehackernews.com/2023/05/resea ... ws-in.html

Dzięki
polak

[peper]

Nie używać FRR tylko postawić porządny router
Tutaj należy to pytanie rozpatrzyć w kontekście platformy, na której odpalasz FRR i jakie masz na niech możliwości zabezpieczenie, jak i od architektury sieci. Najłatwiej to zainstalować FRR w wersji z odpowiednimi łatkami, bo w ty przypadku problem leży bezpośrednio w implementacji procesu zestawiania połączenia. Inne rozwiązania, które co najwyżej ograniczą zasięg to ACL na filtrowanie peerów (tutaj oczywiście spoofing możliwy ale już ogranicza zasięg) do tego ewentualnie TTL Security jeżeli FRR to wspiera, ale tu też kwestia tego w jakiej kolejności implementacja FRR przetwarza pakiet OPEN. Jeżeli na ten atak są sygnatury to oczywiście IPS przed routerem pomoże.

[polak]

Dzięki za odpowiedź
To raczej porządny router na ios xe, niby dobrze zabezpieczony ale nie wiedziałem czy coś pomoże na spoofing.

[peper]

RPKI i ochrona prefiksów przede wszystkim. Na poziomie sesji to hasła/klucze i TTL Security (choć one przed samym spoofgiem nie chroni). Dodatkowo budowanie filtrów na podstawie danych zawartych w RIPE.