Kruegelet al.[91] consider the use

Kruegelet al.[91] consider the use of intrusiondetection to identify forged origin announcements, andpropose several metrics used to identify bogus announce-ments (e.g., strange aggregation and tracking of historicalassociations between prefixes and ASes). One interestingaspect of this work is its dependence on operational issues:the detection criteria are not derived from the BGPspecification, but arise from the evaluation of commonconfigurations and AS behavior. In particular, the methodobserves ownership over time. Any departure from normalownership behavior (a new AS begins to announce theaddress, or a new MOAS occurs) is considered to bemalicious and is flagged. The results show the number ofincorrect alerts is relatively small, on the order of 20 perday compared to over 5 million UPDATE messagesprocessed per day. However, the prefix ownership listsare pre-computed and not dynamic in nature, requiringrebuilding of the network model if a topology changeoccurs in the network

Kruegel
et al.
[91] xem xét việc sử dụng các xâm nhập
phát hiện để xác định nguồn gốc thông báo giả mạo, và
đề xuất một số liệu được sử dụng để xác định announce- giả
ments (ví dụ, tập hợp kỳ lạ và theo dõi các di tích lịch sử
liên quan giữa tiền tố và các AS). Một trong những thú
khía cạnh của công việc này là sự phụ thuộc vào vấn đề hoạt động:
các tiêu chí phát hiện là không có nguồn gốc từ các BGP
đặc điểm kỹ thuật, nhưng phát sinh từ việc đánh giá chung
cấu hình và AS hành vi. Đặc biệt, phương pháp
quan sát sở hữu theo thời gian. Bất cứ từ bình thường
hành vi sở hữu (một AS mới bắt đầu để thông báo
địa chỉ, hoặc một MOAS mới xảy ra) được coi là
độc hại và có gắn cờ. Kết quả cho thấy số lượng
các cảnh báo không chính xác là tương đối nhỏ, vào thứ tự của 20 mỗi
ngày so với hơn 5 triệu tin nhắn CẬP NHẬT
chế biến mỗi ngày. Tuy nhiên, danh sách sở hữu tiền tố
được tính toán trước và không năng động trong tự nhiên, đòi hỏi phải
xây dựng lại mô hình mạng nếu sự thay đổi cấu trúc liên kết
xảy ra trong mạng