«Ростелеком» стал причиной крупного сбоя в работе известных финансовых сервисов

Госкорпорация «Ростелеком» в течение нескольких дней вызывала проблемы в работе нескольких известных финансовых сервисов и организаций, включая Visa, MasterCard, Альфа-банк, HSBC. Причина сбоя пока что неясна, а сам он заключается в том, что «Ростелеком» перенаправлял трафик ряда сервисов и сайтов в свою внутреннюю сеть. Поэтому сами сервисы могли быть недоступными не только для абонентов «Ростелекома», но и других компаний, пишет ^[1] «Коммерсант».

Первым тревогу забил сервис BGPmon, который отслеживает информацию о маршрутах трафика по всему мира. Специалисты компании сообщают, что «Ростелеком» вольно или невольно совершил «BGP-перехват». Другими словами, госорганизация проанонсировала по сети Интернет некорректные данные о маршрутизации до различных ресурсов. Компания Qrator Labs, по словам ее главы Александра Лямина, зафиксировала пять таких сбоев в течение нескольких дней. Первый сбой случился 18 апреля, его продолжительность составила около минуты. Затем повторный сбой случился днем 25 апреля, после чего подержался несколько часов, а потом еще несколько таких сбоев, которые проходили несколько раз за ночь 26-27 апреля.

Сам «Ростелеком» проблему признает, утверждая, что сбой был, но его локализовали в течение семи минут. Причиной, по заявлению сотрудников «Ростелекома», стал сбой маршрутизатора: «Из-за сбоя ПО маршрутизатора некорректно отработали фильтры, которые не пропускают во внешние сети анонсы внутренних статических маршрутов. При этом у ряда внешних операторов отсутствовали фильтры, проверяющие легитимность анонсов, в связи с чем неверная информация разошлась по интернету и нарушила маршрутизацию».

Специалисты по информационной безопасности пока обсуждают случившееся, стараясь понять, что именно произошло. Некоторые эксперты считают, что корень случившегося следует искать в ошибках в конфигурации ряда сервисов. В «Ростелекоме» говорят, что такие сбои случались и раньше, в сетях других операторов. Например, в 2008 году бразильская компания заблокировала почти всю глобальную паутину, поскольку ей было нужно оптимизировать хождение трафика через свою сеть. Но это было сделано некорректно, поэтому в глобальной сети были замечены масштабные сбои в работе.

Но ряд особенностей недавних неполадок, как говорят эксперты, не позволяют считать случившееся обычной оптимизацией трафика. «Если это была фактически попытка перенаправить трафик для некоторых из этих финансовых учреждений, это было сделано очень заметным и масштабным образом и поэтому, наверное, не слишком вероятно. С другой стороны, учитывая число префиксов из одной категории — финансовые учреждения и процессоры кредитных карт,— это кажется чем-то большим, чем просто невинный случайный перехват», — заявил руководитель компании сервиса BGPmon.

Источник: РБК

Скорее всего, «Ростелеком» пропустил различные маршруты трафика через один узел за определенное время. Специалисты по кибербезопасности утверждают, что случившееся могло стать результатом учений: «Поскольку „Ростелеком“ сам или через дочерние компании присутствует на территории всей страны, в один узел собирался трафик маршрутов со всей России. Это могло понадобиться, чтобы проверить, какой объем трафика может прокачать один узел в случае отключения, изоляции российского сегмента сети, как, например, в случае с Северной Кореей».

Кстати, ранее BGP-переход использовали некоторые провайдеры других стран для блокировки различных ресурсов. В качестве примера можно привести Pakistan Telecom, телекоммуникационную компанию из Ирана. Когда ее руководство решило заблокировать YouTube, трафик многих пользователей всемирной сети случайным образом был перенаправлен в Пакистан. Как результат — YouTube недоступен.

Что касается аномалий с «Ростелекомом», то за последние несколько дней Qrator.Radar зафиксировал с ним несколько событий такого типа:

• 2017-04-18 23:02:00 — 2017-04-18 23:03:00
• 2017-04-26 22:37:00 — 2017-04-26 22:50:00
• 2017-04-27 01:06:00 — 2017-04-27 02:20:00
• 2017-04-27 03:21:00 — 2017-04-27 04:26:00

Цифры, приведенные выше, показывают дату и время начала аномалии, и, соответственно, дату и время ее завершения. Это те MOAS, которые показал сервис BGPStream. Кроме них, был еще один, более значительный инцидент route leak на 933 пострадавших префикса.

Схема, визуализирующая изменения, вызванные «Ростелекомом».

«Я бы классифицировал этот случай, как довольно подозрительный. Обычно проблемы вроде этой более масштабны и носят случайных характер. В этом же случае идет речь о целенаправленном воздействии на финансовые организации… Выглядит странно, что кто-то ограничил трафик в своей сети лишь в отношении сетей финансовых организаций», — заявил глава компании Dyn Дуг Мэдори (Doug Madory).

Трафик, которым управляют подобным образом, можно расшифровать. В первую очередь, это касается данных, которые и не были зашифрованы. Но и зашифрованные данные можно раскодировать, если использовать атаки вроде Logjam ^[2] и DROWN ^[3].

В целом, сбой в сети «Ростелекома» (никто не утверждает наверняка, что это было сделано целенаправленно, называя проблему «сбоем») затронул сети 36 организаций. Префиксы этих организаций с указанием владельцев перечислены ниже.

Пока что «Ростелеком» не дал подробных комментариев о том, что произошло на самом деле.

Автор: marks

Источник ^[4]