Forrester Total Economic Impact™の調査によると、Edwin AIは複合組織において313%の投資対効果（ROI）を実現したことが判明しました。

続きを読む

Partners

ドキュメント

LMアカデミー

LMコミュニティ

価格

Platform
解決策
業種
職種
結果はありません。
無料トライアル

14日間フルアクセス LogicMonitor プラットフォーム

Forrester Total Economic Impact™の調査によると、Edwin AIは複合組織において313%の投資対効果（ROI）を実現したことが判明しました。

続きを読む

BGPモニタリング

BGPハイジャック

BGPには認証機能が組み込まれていないため、どのAS（自律システム）でも所有していないプレフィックスをアナウンスできます。BGPハイジャックはこの仕組みを悪用し、インターネットトラフィックを大規模にリダイレクトまたは傍受します。ここでは、その仕組みと対策について説明します。

8〜12分

デントン千倉

クイックダウンロード:

BGPハイジャックは、プロトコルに組み込まれた発信元認証機能の欠如を悪用してインターネットトラフィックをリダイレクトするものであり、BGPルートは数分で世界中に伝播するため、誰も気づく前に甚大な影響が生じる可能性がある。

  • どのASでも任意のプレフィックスをアナウンスできますが、BGPにはアナウンスするASが実際にそのプレフィックスを所有しているかどうかを検証する組み込みのメカニズムはありません。

  • ハイジャックは、偶発的な設定ミスから意図的な攻撃まで多岐にわたり、いずれも大規模な通信障害や傍受を引き起こす可能性がある。

  • RPKI（リソース公開鍵基盤）は、経路の発信元を暗号的に検証する機能を提供するが、世界的に普及はまだ不十分である。

  • RPKI検証を実装し、外部の視点から自社のプレフィックスを継続的に監視してください。顧客からの苦情を受けて初めてハイジャックに気づくようでは、既に被害が発生していることになります。

インターネットはネットワークの無法地帯です。ルールはありますが、これらのルールは、意図的であろうと偶発的であろうと、すぐに破られる可能性があります。無法地帯と同様に、法律も存在します。市民の行動を監視し、ルールを遵守させる保安官がいます。同様に、BGP モニタリングは、自律システム (AS) の所有者が、どのプレフィックスをアナウンスするか、どのようにアナウンスするかに関してルールを遵守していることを確認するために使用される重要なツールです。

インターネット上でルール違反が発生する最も一般的なケースの一つは、BGPルーターが自身のASに属さないプレフィックスをアドバタイズする場合です。つまり、ルーターが不正に特定のプレフィックスをアドバタイズすることで、本来の宛先へのトラフィックを自身のASにリダイレクトしてしまうのです。

これはBGPルートハイジャックと呼ばれますが、プレフィックスハイジャック、ルートハイジャック、IPハイジャックとも呼ばれます。

覚えておいてください。BGPは、世界中の通信事業者があなたの特定のIPアドレスに到達する方法を知るための唯一の手段です。もしBGPルーターが「このアドレスに到達したいなら、すべてのトラフィックを私に送ってください！」と不正にアナウンスしたら、その後に起こる混乱は想像に難くないでしょう。

例えば、2018年4月には、悪意のあるハッカーが Amazon Web Services に属していた IP プレフィックスをいくつか発表しますその結果、暗号通貨サイトにログインしようとしたユーザーは、偽サイトにリダイレクトされ、認証情報を入力した際に、知らず知らずのうちに160,000万ドル以上をハッカーのウォレットに直接入金してしまうという事態が発生した。 

しかし、損害を引き起こすのは悪意のある攻撃だけではありません。意図しないBGPハイジャックも深刻な結果を招く可能性があります。2008年には、 パキスタンのインターネットサービスプロバイダーがYouTubeの検閲を試みた BGPルートを更新することで、設定ミスが発生しました。設定ミスにより、インターネット全体のYouTubeトラフィックがパキスタンのISPにルーティングされ、世界中で数時間にわたるYouTubeのアクセス停止が発生し、ISPは処理能力の限界に達しました。 

このBGP監視ガイドの章では、BGPハイジャックについて詳しく解説します。BGPアドバタイズメントの仕組み、悪意のある攻撃者がどのようにハイジャックを実行するのか、そしてBGPルートハイジャックを検出および防止する方法について説明します。 

エグゼクティブサマリー

BGPハイジャックを軽減するためには、BGPの仕組み、ハイジャックが成功する仕組み、意図的なハイジャックの動機、そして偶発的なハイジャックの原因といった複雑な要素を理解することが重要です。以下の表は、この記事で詳しく解説する概念をまとめたものです。

BGPハイジャックの概要

ご用件 詳細説明
BGPアドバタイズBGPがプレフィックスをどのようにアドバタイズおよびアナウンスするのかを理解する。
BGPルートハイジャックとは何ですか？IP経路のハイジャックに関わる様々なシナリオを詳細に検討する。
AS_PATH属性このBGP属性によって、ハイジャックされたルートが、実際の発信元ASよりも魅力的になる仕組みを学びましょう。
接頭辞の不一致接頭辞の不一致が、意図せずハイジャックを引き起こしたり、意図的なハイジャックをより成功させたりする理由を探ります。
動機悪意のあるハッカーが意図的にプレフィックスを乗っ取る動機を理解する。

BGPハイジャックの基本を理解する 

BGPは、すべてのBGP「スピーカー」が真実を語っているという前提で設計されているため、BGPルートハイジャックは驚くほど簡単です。大規模なISPネットワークを管理している場合、インターネットを麻痺させる可能性のあるコマンドをいくつか発行するだけで済むというのは、実に驚くべきことです。 

このリスクを軽減するために何ができるかを理解するには、まずBGPプレフィックスアドバタイズメントとBGPハイジャックの仕組みを理解することが重要です。 

BGPがプレフィックスをアドバタイズする方法

BGPはインターネットをAS（自律システム）に分割します。各ASは複数のルーターで構成され、その境界内に特定のプレフィックス（経路）を保持しており、それを近隣のASに通知します。BGPルーターはこれらのプレフィックスをインターネット全体に伝播し、様々なASを経由して宛先への経路を維持します。各ASは、自身が所有し、内部に保持するプレフィックスを近隣のASに通知する責任を負います。

その結果、各BGPルータ内にBGPテーブルが作成され、そのテーブルには特定のプレフィックスに到達するために経由しなければならないASのパスが格納される。

例えば、インターネットルーティングに関する次の図を考えてみましょう。

BGPにおけるプレフィックスの広告表示。点線はBGP広告を表しており、ユーザトラフィックを表しているわけではないことに注意してください。

AS 100 は、自身のプレフィックスである 195.25.0.0/23 を近隣の AS にアドバタイズしています。その情報が AS 170 に到達すると、次のように表示されます。

  • プレフィックス: 195.25.0.0/23
  • AS_PATH: AS100 AS190

さて、AS 170は、赤い点線で示されているように、異なる経路のアドバタイズメントからこのプレフィックスを受信します。しかし、以前のBGP属性がすべて同じであると仮定すると、これらの経路はより長いため、つまりより多くのASを経由するため、緑の点線で示された経路が優先されます。これがハイジャックにおいてなぜ重要なのかは、後ほど説明します。

図に示されているASは、多数のルータで構成されていることを覚えておいてください。ASのエッジに位置し、他のASのBGPルータとピアリングを形成するルータは、外部BGPルータ（eBGPルータ）と呼ばれます。eBGPルータは、他のASにプレフィックスを通知する役割を担います。

 BGPルートハイジャックとは何ですか？

BGPルートハイジャックは、「敵対的な」ASが自身のものではないプレフィックスをアドバタイズしようとしたときに発生します。例えば、次の図では、AS 140がAS 100と同じプレフィックスを不正にアドバタイズしています。

AS 140 内の悪意のあるハイジャッカーが、自身の AS に属さないプレフィックスを、あたかも自身のものであるかのように宣伝しています。

何が起こるでしょうか？他のすべてのASは、同じプレフィックスの異なる2つのアドバタイズメントを受信します。BGPテーブルにどちらを追加するかは、BGP属性によって決まります。 

BGPハイジャックにおけるAS_PATH長さ属性の役割

この決定において重要な役割を果たす属性の一つがAS_PATHです。これまでの属性がすべて同じであると仮定すると、AS_PATHが最も短いルートがインストールされます。AS_PATHが同じ場合は、最古のパスやルーターIDなどの他の属性がタイブレーカーとして機能し、予測不可能なルーティングにつながります。

上記の図の場合、195.25.0.0/23プレフィックスへの正しいルーティングが保証されているのはAS 190のみです。他のASは、宛先がAS 140になるか、AS_PATHのタイブレーカーによって予測不可能な結果になります。

さらに、ハイジャッカーはAS_PATH偽造と呼ばれる行為を行うことがあります。これは、宛先のAS_PATHを改ざんし、問題の経路宛てのトラフィックがローカルASを経由するようにするものです。このような場合、トラフィックを不正なASに誘導しながら、ハイジャックの検出を困難にするために、正規のASがAS_PATHに含まれます。

プレフィックスの不一致とBGPハイジャック

BGPにおける「プレフィックス」という用語は、特定のルートを指す場合を含め、さまざまな意味で使用されます。厳密に言えば、プレフィックスとは、アドバタイズされるIPアドレスの実際のサイズと範囲を指定する「/」表記（CIDR表記とも呼ばれる）のサブネットマスクのことです。BGPは、/8から/24までのサイズのプレフィックスをアドバタイズできます。

あるASが147.52.0.0/24というプレフィックスを所有しているにもかかわらず、誤って147.52.0.0/23という誤ったプレフィックスでアドバタイズした場合、そのASは自身に属さないアドレス空間をアドバタイズし始めることになる。

同様に、悪意のある BGP ハイジャックの前の例では、ハイジャッカーが以下に示すように /24 のプレフィックスを使用することにした場合、195.25.0.0/24 ネットワーク内のすべてのトラフィックを自分自身に誘導することができます。

AS 140内の悪意のあるハイジャッカーが、ネットワークの正当な発信元よりも具体的なプレフィックスをアドバタイズしているため、アドバタイズを受信したすべてのASでルートがハイジャックされる。

BGPは常に、より具体的なプレフィックスをルーティングテーブルに登録することを優先することを覚えておいてください。その結果、これらのアドバタイズメントを受信した他のすべてのASは、AS 140を195.25.0.0/24ネットワークの所有者と認識し、それに応じてトラフィックをルーティングします。

なぜハイジャック犯はハイジャックを行うのか？

攻撃者がBGPルートハイジャックを実行する理由は複数あります。この記事の冒頭で挙げたAmazonの例は、金銭的な動機による典型的な例です。攻撃者がBGPルートハイジャックを実行するその他の理由としては、以下のようなものがあります。

  • 特定のオンラインサービスに対するサービス拒否。
  • 偽のウェブページにトラフィックを誘導し、認証情報、クレジットカード番号、その他の機密情報をフィッシングで盗み出す。
  • 特定のサービスに過負荷をかける目的でトラフィックをリダイレクトする。
  • 混乱そのものを目的とする攻撃者もおり、単に攻撃できるからという理由で攻撃を実行する者もいる。

BGPルートハイジャックから身を守る方法

ご覧のとおり、ハイジャックはインターネット上のルーティングの正常な動作に対する非常に現実的な脅威です。そのため、このような攻撃や事故から保護するために、適切なメカニズムと設定を採用することが重要です。

BGPルートハイジャックを防ぐにはどうすればよいですか？

簡潔に言うと、不可能です。BGPルーターを設定して、意図的であろうと偶発的であろうと、ルートを乗っ取ることを完全に防ぐ方法はありません。ハイジャックに対処するための技術は、不正なルートの検出、軽減、および伝播の制限に関するものです。これらの技術については、以下で説明します。

プレフィックスフィルタリング

ISPはBGPアドバタイズメントをフィルタリングし、正当なプレフィックスを含むもののみをそれ以上の経路に伝播させるべきである。IPアドバタイズメントはそのまま受け入れるべきではなく、ハイジャックを検出し正当性を検証するアルゴリズムを用いたフィルタリング処理を経るべきである。

同様に、ほとんどの場合、BGPルーターはプレフィックスをインターネット全体ではなく、特定のネットワークにのみ通知するべきです。通知を制限することで、設定ミスや事故によって発生する可能性のあるハイジャックを防ぐことができます。

プレフィックスフィルタリングは有用ではあるものの、それだけでは不十分です。管理者は常に、追加の対策を講じる必要があります。

BGPハイジャックの検出

ハイジャックの検出にはいくつかの方法があります。まず、ベースラインのパフォーマンスの変化、例えばレイテンシの増加、トラフィックの誤送信、あるいはパフォーマンス全般の低下などは、何らかのハイジャックを示唆する初期兆候です。さらに、広告の監視や、ルートの可用性とダウンタイムの記録も、ハイジャックの発見において重要な要素となります。

より高度なシステムでは、近隣のASからアドバタイズされたASを分析して、ハイジャックされたプレフィックスがアドバタイズに含まれているかどうかを確認したり、プレフィックスの不一致を特定したり、パス分析を使用して正しいルーティングを確保したりすることが、ほぼリアルタイムで可能になります。

BGPのセキュリティ確保

BGPは1989年に初めて開発されました。それ以来、開発が進められ、大幅に改良されてきました。しかし、セキュリティは改良の対象には含まれていませんでした。2017年にBGPsecが導入され、セキュリティを組み込む試みはいくつか行われましたが、本格的な普及には至っていません。そのため、30年以上もの歴史を持つこのプロトコルは、依然として本質的に脆弱であり、その安全性を確保するには、ある程度複雑な監視メカニズムが必要となります。

BGPルートハイジャック対策に役立つ可能性のある要素の一つに、ルートオリジン認証（ROA）の使用があります。ROAは暗号署名されたオブジェクトであり、特定のプレフィックスが正当なASから発信されたものかどうかを検証するために使用できます。ROAは、各AS所有者が地域インターネットレジストリ（RIR）と協力して作成します。RIRは、ROAの生成に必要なRPKIインフラストラクチャを提供します。詳細については、以下を参照してください。 アメリカインターネット番号登録局（ARIN）のウェブサイト。

結論

BGPのような重要な技術が、悪意のある攻撃や偶発的な設定ミスに対してこれほど脆弱であるというのは稀なことです。しかしながら、BGPは、ルートハイジャックの影響を確実に検知し軽減する適切な監視ソリューションや可観測性ソリューションと組み合わせることで、インターネットが必要とするルーティングサービスを提供するのに十分すぎるほどの性能を発揮します。

章

    ニュースレター

    最新情報のメール配信を登録

    最新のブログ、ホワイトペーパー、電子ガイドなどを直接受信ボックスにお届けします。

    シェア

    攻撃者が悪用する前に、BGPの異常を検知する。

    LogicMonitorのネットワーク監視機能は、ルーティングの変更や異常をリアルタイムで可視化し、不正なプレフィックスアナウンスを検出してトラフィックがリダイレクトされる前に対応できるように支援します。

    よくあるご質問

    BGPハイジャックとは何ですか？

     BGPハイジャック（プレフィックスハイジャックまたはルートハイジャックとも呼ばれる）は、自律システム（AS）が他組織に属するIPプレフィックスを不正にアナウンスする際に発生します。BGPルーターはピアからのルートアナウンスを所有権を確認せずに受け入れるため、他のASが不正なルートを世界中に拡散します。これにより、インターネットトラフィックが正当な宛先から逸れ、盗聴、トラフィック傍受、またはサービスの中断につながる可能性があります。

    BGPハイジャックとルートリークの違いは何ですか？

    どちらも経路伝播の誤りを伴いますが、原因は異なります。経路漏洩は通常偶発的に発生し、ASが意図せずあるピアから受信した経路を別のピアに伝播し、ルーティングポリシーに違反します。BGPハイジャックは意図的なもので、ASが所有していないプレフィックスの発信元であると偽って主張します。経路漏洩も悪用される可能性がありますが、その違いは意図とメカニズムにあります。

    RPKIはどのようにしてBGPハイジャックを防ぐのですか？

    RPKI（リソース公開鍵基盤）は、IPアドレス保有者が、特定のプレフィックスをアナウンスする権限を持つASを指定するルート発信元認証（ROA）に暗号署名することを可能にします。RPKI検証が有効になっているBGPルーターは、受信したルートアナウンスをROAデータベースと照合し、検証に失敗したルート（無効な発信元ASまたはプレフィックス長）を拒否できます。RPKIはすべてのハイジャックシナリオを排除するものではありませんが、不正なアナウンスに対するハードルを大幅に引き上げます。

    自分のプレフィックスがBGPハイジャックされていないか監視するにはどうすればよいですか？

    最も効果的な方法は、自社ルーターだけでなく、複数の外部BGP監視ポイントから自社プレフィックスを監視することです。RIPE NCCのルーティング情報サービス（RIS）やRouteViewsなどの公開データソースは、世界中の数百ものピアからBGPデータを提供しています。予期しない発信元ASによるプレフィックスのアナウンス、予期しないAS_PATHの変更、または自社が管理していないASからのより具体的な（サブプレフィックス）アドレス空間のアナウンスがあった場合は、アラートを発信するようにしてください。

    デントン千倉著

    テクニカルライター

    デントン・チクラは、テクニカルライターであり、長年にわたりオブザーバビリティを推進してきた人物です。彼は、サイト信頼性エンジニアやエンジニアリングチームがインターネットの回復力を強化するツールや機能を発見できるよう支援することに注力しています。監視、パフォーマンス、インフラストラクチャの交差点で活動し、複雑なシステムをより理解しやすく使いやすいものにすることで、高度な技術的詳細と実際の運用とのギャップを埋めています。彼の目標は、チームがより迅速に構築し、問題を早期に発見し、よりスマートに復旧できるよう支援し、最終的にはインターネットをすべての人にとってより良く、より信頼性の高い場所にすることです。

    免責事項: このブログで述べられている見解は著者の見解であり、LogicMonitor またはその関連会社の見解を必ずしも反映するものではありません。

    © LogicMonitor 2026 | 無断複写・転載を禁じます。 | ここで言及されているすべての商標、商号、サービス マーク、およびロゴは、それぞれの会社に帰属します。