Internet Engineering Task Force (IETF) K. Moriarty
Request for Comments: 6045 EMC
Category: Informational November 2010
ISSN: 2070-1721
Real-time Inter-network Defense (RID)
Abstract
抽象
Network security incidents, such as system compromises, worms, viruses, phishing incidents, and denial of service, typically result in the loss of service, data, and resources both human and system. Network providers and Computer Security Incident Response Teams need to be equipped and ready to assist in communicating and tracing security incidents with tools and procedures in place before the occurrence of an attack. Real-time Inter-network Defense (RID) outlines a proactive inter-network communication method to facilitate sharing incident handling data while integrating existing detection, tracing, source identification, and mitigation mechanisms for a complete incident handling solution. Combining these capabilities in a communication system provides a way to achieve higher security levels on networks. Policy guidelines for handling incidents are recommended and can be agreed upon by a consortium using the security recommendations and considerations.
このようなシステムの妥協、ワーム、ウイルス、フィッシングインシデント、およびサービスの拒否などのネットワークセキュリティインシデントは、典型的には、ヒトおよびシステムの両方のサービス、データ、及びリソースの損失をもたらします。ネットワークプロバイダやコンピュータセキュリティインシデント対応チームは、通信や攻撃が発生する前の場所にツールと手順でセキュリティインシデントを追跡するのを支援するために装備して準備する必要があります。リアルタイムインターネットワーク防衛（RID）は、完全なインシデント処理溶液のための既存の検出、トレース、ソース識別、および緩和機構を統合しながら、データを扱う共有入射を容易にするために、積極的なネットワーク間の通信方法を概説します。通信システムでこれらの機能を組み合わせることで、ネットワーク上で高いセキュリティレベルを達成するための方法を提供します。事件を処理するための政策ガイドラインが推奨されており、セキュリティ勧告および注意事項を使用したコンソーシアムが合意することができます。
RID has found use within the international research communities, but has not been widely adopted in other sectors. This publication provides the specification to those communities that have adopted it, and communities currently considering solutions for real-time inter-network defense. The specification may also accelerate development of solutions where different transports or message formats are required by leveraging the data elements and structures specified here.
RIDは、国際的な研究コミュニティ内での使用を発見しましたが、広く他の分野で採用されていません。この出版物は、それを採用したそれらのコミュニティに仕様を提供し、地域社会は現在、リアルタイムのネットワーク間の防衛のためのソリューションを検討します。仕様は、異なるトランスポートまたはメッセージフォーマットはここで指定されたデータ要素と構造を活用して必要とされるソリューションの開発を加速することができます。
Status of This Memo
このメモのステータス
This document is not an Internet Standards Track specification; it is published for informational purposes.
このドキュメントはインターネット標準化過程仕様ではありません。それは、情報提供の目的のために公開されています。
This document is a product of the Internet Engineering Task Force (IETF). It represents the consensus of the IETF community. It has received public review and has been approved for publication by the Internet Engineering Steering Group (IESG). Not all documents approved by the IESG are a candidate for any level of Internet Standard; see Section 2 of RFC 5741.
このドキュメントはインターネットエンジニアリングタスクフォース（IETF）の製品です。これは、IETFコミュニティの総意を表しています。これは、公開レビューを受けており、インターネットエンジニアリング運営グループ（IESG）によって公表のために承認されています。 IESGによって承認されていないすべての文書がインターネットStandardのどんなレベルの候補です。 RFC 5741のセクション2を参照してください。
Information about the current status of this document, any errata, and how to provide feedback on it may be obtained at http://www.rfc-editor.org/info/rfc6045.
このドキュメントの現在の状態、任意の正誤表、そしてどのようにフィードバックを提供するための情報がhttp://www.rfc-editor.org/info/rfc6045で取得することができます。
Copyright Notice
著作権表示
Copyright (c) 2010 IETF Trust and the persons identified as the document authors. All rights reserved.
著作権（C）2010 IETF信託とドキュメントの作成者として特定の人物。全著作権所有。
This document is subject to BCP 78 and the IETF Trust's Legal Provisions Relating to IETF Documents (http://trustee.ietf.org/license-info) in effect on the date of publication of this document. Please review these documents carefully, as they describe your rights and restrictions with respect to this document. Code Components extracted from this document must include Simplified BSD License text as described in Section 4.e of the Trust Legal Provisions and are provided without warranty as described in the Simplified BSD License.
この文書では、BCP 78と、この文書の発行日に有効なIETFドキュメント（http://trustee.ietf.org/license-info）に関連IETFトラストの法律の規定に従うものとします。彼らは、この文書に関してあなたの権利と制限を説明するように、慎重にこれらの文書を確認してください。コードコンポーネントは、トラスト法規定のセクションで説明4.eおよび簡体BSDライセンスで説明したように、保証なしで提供されているよう簡体BSDライセンスのテキストを含める必要があり、この文書から抽出されました。
Table of Contents
目次
1. Introduction ....................................................4
1.1. Normative and Informative ..................................6
1.2. Terminology ................................................6
1.3. Attack Types and RID Messaging .............................6
2. RID Integration with Network Provider Technologies ..............8
3. Characteristics of Attacks ......................................9
3.1. Integrating Trace Approaches ..............................11
3.2. Superset of Packet Information for Traces .................11
4. Communication between Network Providers ........................12
4.1. Inter-Network Provider RID Messaging ......................14
4.2. RID Network Topology ......................................16
4.3. Message Formats ...........................................17
4.3.1. RID Data Types .....................................17
4.3.1.1. Boolean ...................................17
4.3.2. RID Messages and Transport .........................18
4.3.3. IODEF-RID Schema ...................................19
4.3.3.1. RequestStatus Class .......................21
4.3.3.2. IncidentSource Class ......................23
4.3.3.3. RIDPolicy Class ...........................24
4.3.4. RID Namespace ......................................29
4.4. RID Messages ..............................................29
4.4.1. TraceRequest .......................................29
4.4.2. RequestAuthorization ...............................30
4.4.3. Result .............................................31
4.4.4. Investigation Request ..............................33
4.4.5. Report .............................................35
4.4.6. IncidentQuery ......................................36
4.5. RID Communication Exchanges ...............................37
4.5.1. Upstream Trace Communication Flow ..................39
4.5.1.1. RID TraceRequest Example ..................40
4.5.1.2. RequestAuthorization Message Example ......44
4.5.1.3. Result Message Example ....................44
4.5.2. Investigation Request Communication Flow ...........47
4.5.2.1. Investigation Request Example .............48
4.5.2.2. RequestAuthorization Message Example ......50
4.5.3. Report Communication ...............................51
4.5.3.1. Report Example ............................51
4.5.4. IncidentQuery Communication Flow ...................54
4.5.4.1. IncidentQuery Example .....................54
5. RID Schema Definition ..........................................55
6. Security Considerations ........................................60
6.1. Message Transport .........................................62
6.2. Message Delivery Protocol - Integrity and Authentication ..63
6.3. Transport Communication ...................................63
6.4. Authentication of RID Protocol ............................64
6.4.1. Multi-Hop TraceRequest Authentication ..............65
6.5. Consortiums and Public Key Infrastructures ................66
6.6. Privacy Concerns and System Use Guidelines ................67
7. IANA Considerations ............................................72
8. Summary ........................................................72
9. References .....................................................73
9.1. Normative References ......................................73
9.2. Informative References ....................................74
Acknowledgements ..................................................75
Sponsor Information ...............................................75
Incident handling involves the detection, reporting, identification, and mitigation of an attack, whether it be a system compromise, socially engineered phishing attack, or a denial-of-service (DoS) attack. When an attack is detected, the response may include simply filing a report, notification to the source of the attack, a request for mitigation, or the request to locate the source. One of the more difficult cases is that in which the source of an attack is unknown, requiring the ability to trace the attack traffic iteratively upstream through the network for the possibility of any further actions to take place. In cases when accurate records of an active session between the victim system and the attacker or source system are available, the source is easy to identify. The problem of tracing incidents becomes more difficult when the source is obscured or spoofed, logs are deleted, and the number of sources is overwhelming. If the source of an attack is known or identified, it may be desirable to request actions be taken to stop or mitigate the effects of the attack.
入射処理は、システムの妥協、社会工学フィッシング攻撃またはサービス拒否（DoS）攻撃であるかどうか、攻撃の検出、報告、識別、および緩和を含みます。攻撃が検出された場合、応答は単に、攻撃、緩和の要求、またはソースを検索する要求の送信元に通知するレポートを提出含むことができます。より困難な例の一つは、場所を取るために更なる行動の可能性を、ネットワークを介して繰り返し上流の攻撃トラフィックをトレースする能力を必要とし、ここで攻撃の発生源が不明であることです。被害者のシステムと、攻撃者またはソースシステムとの間のアクティブセッションの正確な記録が利用可能である場合には、ソースは識別が容易です。ソースが隠されたり偽装され、ログが削除され、ソースの数が圧倒的であるされている場合、トレース事件の問題はより困難になります。攻撃のソースが知られている、または識別された場合、攻撃の影響を停止または軽減するためにとるべき措置を要求することが望ましい場合があります。
Current approaches to mitigating the effects of security incidents are aimed at identifying and filtering or rate-limiting packets from attackers who seek to hide the origin of their attack by source address spoofing from multiple locations. Measures can be taken at network provider (NP) edge routers providing ingress, egress, and broadcast filtering as a recommended best practice in [RFC2827].
セキュリティインシデントの影響を緩和するために、現在のアプローチは、複数の場所からの送信元アドレスのスプーフィングによって彼らの攻撃の発信元を隠すために模索攻撃者からのパケットを識別し、フィルタリングやレート制限を目的としています。対策は[RFC2827]に推奨されるベストプラクティスとして、入口、出口、およびブロードキャスト・フィルタリングを提供するネットワークプロバイダ（NP）エッジルータで採取することができます。
Network providers have devised solutions, in-house or commercial, to trace attacks across their backbone infrastructure to either identify the source on their network or on the next upstream network in the path to the source. Techniques such as collecting packets as traffic traverses the network have been implemented to provide the capability to trace attack traffic after an incident has occurred. Other methods use packet-marking techniques or flow-based traffic analysis to trace traffic across the network in real time. The single-network trace mechanisms use similar information across the individual networks to trace traffic. Problems may arise when an attempt is made to have a trace continued through the next upstream network since the trace mechanism and management may vary.
ネットワークプロバイダーは自社のネットワーク上やソースへのパスの次のアップストリームネットワーク上のソースを特定のいずれかに自分の基幹インフラストラクチャ全体攻撃をトレースする、社内または商用、解決策を考案しました。そのようなトラフィックがネットワークを横断するときに、パケットを集めるなどの技術は、事件が発生した後に攻撃トラフィックを追跡する機能を提供するために実装されています。他の方法は、リアルタイムでネットワーク上のトラフィックをトレースするパケットマーキング技術またはフローベースのトラフィック分析を使用しています。単一のネットワーク・トレース・メカニズムは、トラフィックを追跡するために、個々のネットワークを介して同様の情報を使用します。トレース機構と管理が変化することができるので、試みは次の上流のネットワークを介して継続トレースを有するように構成されているときに問題が生じる可能性があります。
In the case in which the traffic traverses multiple networks, there is currently no established communication mechanism for continuing the trace. If the next upstream network has been identified, a phone call might be placed to contact the network administrators in an attempt to have them continue the trace. A communication mechanism is needed to facilitate the transfer of information to continue traces accurately and efficiently to upstream networks. The communication mechanism described in this paper, Real-time Inter-network Defense (RID), takes into consideration the information needed by various single-network trace implementations and the requirement for network providers to decide if a TraceRequest should be permitted to continue. The data in RID messages is represented in an Extensible Markup Language (XML) [XML1.0] document using the Incident Object Description Exchange Format (IODEF) and RID. By following this model, integration with other aspects of the network for incident handling is simplified. Finally, methods are incorporated into the communication system to indicate what actions need to be taken closest to the source in order to halt or mitigate the effects of the attack at hand. RID is intended to provide a method to communicate the relevant information between Computer Security Incident Response Teams (CSIRTs) while being compatible with a variety of existing and possible future detection tracing and response approaches.
トラフィックが複数のネットワークを横断する場合には、トレースを継続するための確立された通信機構は現在存在しません。次のアップストリームネットワークが識別されている場合は、電話は、彼らがトレースを続けているしようとする試みでネットワーク管理者に連絡して配置される場合があります。通信機構は、上流ネットワークへの正確かつ効率的にトレースを継続するための情報の転送を容易にするために必要とされます。このホワイトペーパーで説明した通信メカニズム、リアルタイムインターネットワーク防衛（RID）は、考慮に様々な単一のネットワーク・トレースの実装とTraceRequestを継続することが許可されなければならない場合は、ネットワークプロバイダが決定するための要件が必要とする情報を取ります。 RIDメッセージ内のデータは、入射オブジェクト説明交換フォーマット（IODEF）とRIDを使用して、拡張マークアップ言語（XML）[XML1.0]文書に示されています。このモデルに従うことによって、インシデント処理のためのネットワークの他の側面との統合が簡素化されます。最後に、この方法は、アクションが停止したり、手での攻撃の影響を軽減するために、ソースに最も近い撮影するために必要なものを示すために、通信システムに組み込まれています。 RIDは、既存および将来の検出トレースと応答種々のアプローチと互換性がありながらコンピュータセキュリティインシデント対応チーム（のCSIRT）の間で関連情報を通信する方法を提供することを目的とします。
At this point, RID has found use within the international research communities, but has not been widely adopted in other sectors. This publication provides the specification to those communities that have adopted it, and communities currently considering solutions for real-time inter-network defense. The specification may also accelerate development of solutions where different transports or message formats are required by leveraging the data elements and structures specified here.
この時点で、RIDは、国際的な研究コミュニティ内での使用を発見しましたが、広く他の分野で採用されていません。この出版物は、それを採用したそれらのコミュニティに仕様を提供し、地域社会は現在、リアルタイムのネットワーク間の防衛のためのソリューションを検討します。仕様は、異なるトランスポートまたはメッセージフォーマットはここで指定されたデータ要素と構造を活用して必要とされるソリューションの開発を加速することができます。
Security and privacy considerations are of high concern since potentially sensitive information may be passed through RID messages. RID messaging takes advantage of XML security and privacy policy information set in the RID schema. The RID schema acts as an XML envelope to support the communication of IODEF documents for exchanging or tracing information regarding security incidents. RID messages are encapsulated for transport, which is defined in a separate document [RFC6046]. The authentication, integrity, and authorization features each layer has to offer are used to achieve a necessary level of security.
潜在的な機密情報がRIDメッセージを通過させることができるので、セキュリティとプライバシーの考慮事項は、高懸念されます。 RIDメッセージングはRIDスキーマに設定されたXMLセキュリティとプライバシーポリシー情報を利用しています。 RIDスキーマは、セキュリティインシデントに関する情報を交換するか、トレースするためのIODEF文書の通信をサポートするために、XMLエンベロープとして機能します。 RIDメッセージは、別の文書[RFC6046]で定義されているトランスポートのためにカプセル化されます。認証、整合性、および認可機能各層は、セキュリティの必要なレベルを達成するために使用されて提供しています。
The XML schema [XMLschema] and transport requirements contained in this document are normative; all other information provided is intended as informative. More specifically, the following sections of this document are intended as informative: Sections 1, 2, and 3; and the sub-sections of 4 including the introduction to 4, 4.1, and 4.2. The following sections of this document are normative: The sub-sections of 4 including 4.3, 4.4, and 4.5; Section 5; and Section 6.
本文書に含まれているXMLスキーマ[XMLSCHEMA]と輸送の要件は規範的です。提供他のすべての情報は、情報提供を目的としています。より具体的には、この文書の次のセクションは、有益として意図されている：セクション1、2、及び3。及び4、4.1、および4.2への導入を含む、4のサブセクション。本文書の以下のセクションでは、規範的である：4のサブセクションでは、4.3、4.4、および4.5を含みます。第5節;そして第6節。
The key words "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY", and "OPTIONAL" in this document are to be interpreted as described in [RFC2119].
この文書のキーワード "MUST"、 "MUST NOT"、 "REQUIRED"、、、、 "べきではない" "べきである" "ないもの" "ものとし"、 "推奨"、 "MAY"、および "OPTIONAL" はあります[RFC2119]に記載されているように解釈されます。
RID messaging is intended for use in coordinating incident handling to locate the source of an attack and stop or mitigate the effects of the attack. The attack types include system or network compromises, denial-of-service attacks, or other malicious network traffic. RID is essentially a messaging system coordinating attack detection, tracing mechanisms, and the incident handling responses to locate the source of traffic. If a source address is spoofed, a more detailed trace of a packet (RID TraceRequest) would be required to locate the true source. If the source address is valid, the incident handling may only involve the use of routing information to determine what network provider is closest to the source (RID Investigation request) and can assist with the remediation. The type of RID message used to locate a source is determined by the validity of the source address. RID message types are discussed in Section 4.3.
RIDメッセージングは、攻撃の源を見つけ、停止または攻撃の影響を緩和するためにインシデント処理を調整して使用することを意図しています。攻撃タイプは、システムやネットワークの妥協、サービス拒否攻撃、またはその他の悪質なネットワークトラフィックが含まれます。 RIDは、本質的に攻撃検知、トレース機構、及びトラフィックのソースを検索する応答を処理するインシデントを調整メッセージングシステムです。送信元アドレスが詐称されている場合は、パケット（RID TraceRequest）のより詳細なトレースが本当の原因を突き止めるために必要とされるであろう。ソースアドレスが有効であれば、入射処理が唯一の供給源（RID調査要求）に最も近いものネットワークプロバイダを決定するためにルーティング情報の使用を含み得るおよび修復を支援することができます。ソースを検索するために使用されるRIDメッセージのタイプは、ソースアドレスの有効性によって決定されます。 RIDメッセージタイプは、4.3節で議論されています。
DoS [DoS] attacks are characterized by large amounts of traffic destined for particular Internet locations and can originate from a single or multiple sources. An attack from multiple sources is known as a distributed denial-of-service (DDoS) attack. Because DDoS attacks can originate from multiple sources, tracing such an attack can be extremely difficult or nearly impossible. Many TraceRequests may be required to accomplish the task and may require the use of dedicated network resources to communicate incident handling information to prevent a DoS attack against the RID system and network used for tracing and remediation. Provisions are suggested to reduce the load and prevent the same trace from occurring twice on a single-network backbone discussed in Section 4 on communication between NPs. The attacks can be launched from systems across the Internet unified in their efforts or by compromised systems enlisted as "zombies" that are controlled by servers, thereby providing anonymity to the controlling server of the attack. This scenario may require multiple RID traces, one to locate the zombies and an additional one to locate the controlling server. DDoS attacks do not necessarily spoof the source of an attack since there are a large number of source addresses, which make it difficult to trace anyway. DDoS attacks can also originate from a single system or a subset of systems that spoof the source address in packet headers in order to mask the identity of the attack source. In this case, an iterative trace through the upstream networks in the path of the attack traffic may be required.
DoS攻撃[DoS攻撃]攻撃は、特定のインターネット場所宛てのトラフィックの大量によって特徴づけられる単一又は複数のソースに由来することができます。複数のソースからの攻撃は、分散サービス拒否（DDoS攻撃）攻撃として知られています。 DDoS攻撃は、複数のソースから発信することができますので、このような攻撃をトレースすることは極めて困難またはほとんど不可能することができます。多くTraceRequestsは、タスクを達成するために必要とされてもよく、追跡および修復のために使用されるRIDシステムとネットワークに対するDoS攻撃を防止するために、インシデント処理情報を通信するための専用ネットワーク・リソースの使用を必要とし得ます。引当金は、負荷を軽減し、NPの間の通信に第4節で述べた単一のネットワークバックボーン上の二回の発生から同じトレースを防ぐことが示唆されています。攻撃は彼らの努力で統一、インターネットを介してシステムから起動または危険にさらさシステムによって、それによって攻撃の制御サーバーへの匿名性を提供する、サーバによって制御されている「ゾンビ」として入隊することができます。このシナリオでは、1つのゾンビと制御サーバーを検索するための追加のものを見つけるために、複数のRIDトレースを必要とするかもしれません。それが困難とにかくトレースする作る元アドレスの数が多いため、DDoS攻撃は、必ずしも攻撃の発信元を偽装していません。 DDoS攻撃は、単一のシステムまたは攻撃源の身元を隠すために、パケットヘッダのソースアドレスをスプーフィングシステムのサブセットに由来することができます。この場合、攻撃トラフィックの経路の上流のネットワークを介して繰り返しトレースが必要とされ得ます。
RID traces may also be used to locate a system used in an attack to compromise another system. Compromising a system can be accomplished through one of many attack vectors, using various techniques from a remote host or through local privilege escalation attempts. The attack may exploit a system or application level vulnerability that may be the result of a design flaw or a configuration issue. A compromised system, as described above, can be used to later attack other systems. A single RID Investigation request may be used in this case since it is probable that the source address is valid. Identifying the sources of system compromises may be difficult since an attacker may access the compromised system from various sources. The attacker may also take measures to hide their tracks by deleting log files or by accessing the system through a series of compromised hosts. Iterative RID traces may be required for each of the compromised systems used to obscure the source of the attack. If the source address is valid, an Investigation request may be used in lieu of a full RID TraceRequest.
RIDトレースはまた、他のシステムを侵害する攻撃で使用されるシステムを見つけるために使用されてもよいです。システムを妥協すると、リモートホストから、またはローカル権限昇格試行を通して様々な技術を用いて、多くの攻撃ベクトルの1つを介して達成することができます。攻撃は設計上の欠陥や構成の問題の結果である可能性があり、システムやアプリケーションレベルの脆弱性を悪用する可能性があります。上記のように感染したシステムは、後の攻撃他のシステムに使用することができます。送信元アドレスが有効である可能性が高いことから、単一のRID調査要求はこの場合に使用することができます。攻撃者は、様々なソースから感染したシステムにアクセスすることができるので、システムの妥協の源を特定することは困難であってもよいです。攻撃者はまた、ログファイルを削除するか、妥協したホストの一連のシステムにアクセスすることにより、彼らのトラックを非表示にする措置をとることができます。反復RIDトレースは、攻撃のソースを不明瞭にするために使用される危険にさらさシステムの各々のために必要とされ得ます。送信元アドレスが有効であれば、調査依頼は完全なRID TraceRequestの代わりに使用することができます。
Once an attack has been reported, CSIRTs may want to query other CSIRTs if they have detected an attack or simply report that one has taken place. The Report message can be used to file a report without an action taken, and an IncidentQuery can be used to ask if an attack has been seen by another CSIRT.
攻撃が報告されていたら、のCSIRTは、彼らが攻撃を検出したか、単に1が行われたことを報告している場合は、他のCSIRTを照会することもできます。レポートメッセージが実行されたアクションせずにレポートを提出するために使用することができ、かつIncidentQueryは、攻撃が別のCSIRTで見られているかどうか尋ねるために使用することができます。
System compromises may result from other security incident types such as worms, Trojans, or viruses. It is often the case that an incident goes unreported even if valid source address information is available because it is difficult to take any action to mitigate or stop the attack. Incident handling is a difficult task for an NP and even at some client locations due to network size and resource limitations.
システム妥協は、ワーム、トロイの木馬、またはウイルスのような他のセキュリティインシデントの種類から生じ得ます。これは、インシデントが、攻撃を軽減または停止するために、任意のアクションを取ることは困難であるため、有効な送信元アドレス情報が利用可能な場合であっても報告されていない行くことが多い場合です。インシデントハンドリングは、NPのため、さらにはネットワークサイズとリソース制限のために、いくつかのクライアントの場所で困難な作業です。
For the purpose of this document, a network provider (NP) shall be defined as a backbone infrastructure manager of a network. The network provider's Computer Security Incident Response Team shall be referred to as the CSIRT. The backbone may be that of an organization providing network (Internet or private) access to commercial, personal, government, or educational institutions, or the backbone provider of the connected network. The connected network provider is an extension meant to include Intranet and Extranet providers as well as instances such as a business or educational institute's private network.
本文書の目的のために、ネットワークプロバイダ（NP）は、ネットワークのバックボーン・インフラストラクチャ・マネージャとして定義されなければなりません。ネットワークプロバイダのコンピュータセキュリティインシデント対応チームは、CSIRTと呼ぶことにします。バックボーンは、組織のネットワークを提供（インターネットまたはプライベート）、商業、個人、政府へのアクセス、または教育機関、または接続されたネットワークのバックボーンプロバイダのものであってもよいです。接続されたネットワークプロバイダは、拡張子がイントラネットやエクストラネットプロバイダならびにビジネスや教育機関のプライベートネットワークとしてのインスタンスを含むことを意味します。
NPs typically manage and monitor their networks through a centralized network management system (NMS). The acronym "NMS" will be used to generically represent management systems on a network used for the management of network resources. An incident handling system (IHS) is used to communicate RID messages and may be integrated with an NMS as well as other components of the network. The components of the network that may be integrated through the RID messaging system include attack or event detection, network tracing, and network devices to stop the effects of an attack.
NPは、典型的に管理し、集中ネットワーク管理システム（NMS）を通じてネットワークを監視します。頭字語「NMSは、」一般的に、ネットワークリソースの管理に使用されるネットワーク上の管理システムを表すために使用されます。インシデントハンドリングシステム（IHS）はRIDメッセージを通信するために使用され、NMS並びにネットワークの他のコンポーネントと統合されてもよいです。 RIDメッセージング・システムを介して一体化することができるネットワークの構成要素は、攻撃の影響を停止する攻撃またはイベント検出、ネットワークトレース、およびネットワークデバイスを含みます。
The detection of security incidents may rely on manual reporting, automated intrusion detection tools, and variations in traffic types or levels on a network. Intrusion detection systems (IDSs) may be integrated into the IHS to create IODEF documents or RID messages to facilitate security incident handling. Detection of a security incident is outside the scope of this paper; however, it should be possible to integrate detection methods with RID messaging.
セキュリティインシデントの検出は、マニュアル、レポート、自動化された侵入検知ツール、およびネットワーク上のトラフィックタイプやレベルの変化に依拠することができます。侵入検知システム（IDS;侵入）は、セキュリティインシデントハンドリングを容易にするために、IODEF文書またはRIDのメッセージを作成するために、IHSに統合することができます。セキュリティインシデントの検出は、この論文の範囲外です。しかし、RIDメッセージングとの検出方法を統合することが可能なはずです。
RID messaging in an IHS is intended to be flexible in order to accommodate various traceback systems currently in use as well as those that may evolve with technology. RID is intended to communicate the necessary information needed by a trace mechanism to the next upstream NP in the path of a trace. Therefore, a RID message must carry the superset of data required for all tracing systems. If possible, the trace may need to inspect packets to determine a pattern, which could assist reverse path identification. This may be accomplished by inspecting packet header information such as the source and destination IP addresses, ports, and protocol flags to determine if there is a way to distinguish the packets being traced from other packets. A description of the incident along with any available automated trace data should trigger an alert to the NP's CSIRT for further investigation. The various technologies used to trace traffic across a network are described in Section 3.1.
IHSでRIDメッセージは技術とともに進化することができるものと同様に、現在使用中の様々なトレースバック・システムに対応するために柔軟であることが意図されています。 RIDは、トレースの経路における次の上流のNPへのトレース機構が必要とする必要な情報を伝えることを意図しています。このため、RIDメッセージは、すべてのトレースシステムに必要なデータのスーパーセットを運ばなければなりません。可能な場合、トレースは逆の経路識別を支援する可能性のパターンを決定するためにパケットを検査する必要があるかもしれません。これは、他のパケットからトレースされたパケットを区別する方法があるかどうかを決定するために、ソースおよび宛先IPアドレス、ポート、およびプロトコルフラグとしてパケットヘッダ情報を検査することによって達成することができます。すべての入手可能な自動トレースデータと一緒に事件の説明は、さらなる調査のためのNPのCSIRTにアラートをトリガーする必要があります。ネットワーク上のトラフィックを追跡するために使用される様々な技術は、セクション3.1で説明されています。
Another area of integration is the ability to mitigate or stop attack traffic once a source has been located. Any automated solution should consider the possible side effects to the network. A change control process or a central point for configuration management might be used to ensure that the security of the network and necessary functionality are maintained and that equipment configuration changes are documented. Automated solutions may depend upon the capabilities and current configuration management solutions on a particular network. The solutions may be based on HTTP/TLS (Transport Layer Security) or an appropriate protocol defined in the transport specification.
統合の別の領域は、ソースが置かれていたら、攻撃トラフィックを軽減または停止する機能です。任意の自動化ソリューションは、ネットワークへの副作用の可能性を検討すべきです。変更管理プロセスや構成管理のための中心点は、ネットワークのセキュリティと必要な機能が維持され、その機器構成変更が文書化されていることを確認するために使用されるかもしれません。自動化されたソリューションは、特定のネットワーク上の機能と現在構成管理ソリューションに依存し得ます。溶液は、HTTP / TLS（トランスポート層セキュリティ）またはトランスポート仕様で定義された適切なプロトコルに基づくことができます。
The goal of tracing a security incident may be to identify the source or to find a point on the network as close to the origin of the incident as possible. A security incident may be defined as a system compromise, a worm or Trojan infection, or a single- or multiple-source denial-of-service attack. Incident tracing can be used to identify the source(s) of an attack in order to halt or mitigate the undesired behavior. The communication system, RID, described in this paper can be used to trace any type of security incident and allows for actions to be taken when the source of the attack or a point closer to the source is known or has been identified. The purpose of tracing an attack would be to halt or mitigate the effects of the attack through methods such as filtering or rate-limiting the traffic close to the source or by using methods such as taking the host or network offline. Care must also be taken to ensure that the system is not abused and to use proper analysis in determining if attack traffic is, in fact, attack traffic at each NP along the path of a trace.
セキュリティインシデントを追跡の目的は、ソースを識別するために、または可能な限りインシデントの原点に近いネットワーク上の点を見つけることであってもよいです。セキュリティインシデントは、システムの妥協、ワームまたはトロイの木馬感染、または一または複数のソースサービス拒否攻撃として定義することができます。入射トレースは、望ましくない動作を停止又は軽減するために、攻撃のソース（S）を同定するために用いることができます。この論文に記載された通信システム、RIDは、セキュリティインシデントの任意のタイプを追跡するために使用され、近いソースへの攻撃やポイントのソースが知られている、または識別されたときにアクションが取られるため可能となることができます。攻撃を追跡する目的は、近いソースへ、あるいはホストまたはネットワークをオフラインにするなどの方法を使用することによって、このようなフィルタリングや速度制限などの方法でトラフィックを攻撃の影響を停止または軽減することです。ケアは、システムが虐待されていないことを確認するために、攻撃トラフィックがある場合、トレースの経路に沿った各NPで、実際には、決定する際に攻撃トラフィックを適切な分析を使用するように注意する必要があります。
Tracing security incidents can be a difficult task since attackers go to great lengths to obscure their identity. In the case of a security incident, the true source might be identified through an existing established connection to the attacker's point of origin. However, the attacker may not connect to the compromised system for a long period of time after the initial compromise or may access the system through a series of compromised hosts spread across the network. Other methods of obscuring the source may include targeting the host with the same attack from multiple sources using both valid and spoofed source addresses. This tactic can be used to compromise a machine and leave the difficult task of locating the true origin for the administrators. Security incidents, including DDoS attacks, can be difficult or nearly impossible to trace because of the nature of the attack. Some of the difficulties in tracing attacks include the following: o the attack originates from multiple sources;
攻撃者は自分のアイデンティティを不明瞭に偉大な長さに行くので、セキュリティインシデントをトレースすることは困難な作業になることができます。セキュリティインシデントの場合には、真の源は、起源の攻撃者のポイントへの既存の確立された接続を介して識別される可能性があります。しかし、攻撃者は、最初の妥協の後に長期間にわたって感染したシステムに接続できないか、ネットワークにまたがって妥協したホストの一連のシステムにアクセスすることができます。ソースを不明瞭にする他の方法は、有効と偽装された両方のソースアドレスを使用して、複数のソースからの同じ攻撃で宿主を標的含むことができます。この戦術は、マシンを侵害し、管理者のための真の起源を見つけるのは困難な作業を残すために使用することができます。 DDoS攻撃などのセキュリティインシデントは、理由は攻撃の性質の追跡が困難またはほとんど不可能することができます。攻撃をトレースする際の困難の中には、次のものがあります。攻撃は、複数のソースから発信oを。
o the attack may include various types of traffic meant to consume server resources, such as a SYN flood attack without a significant increase in bandwidth utilization;
Oの攻撃は、帯域幅の利用が大幅に増加せずにSYNフラッド攻撃などのサーバリソースを消費することを意図したトラフィックの様々なタイプを含むこともできます。
o the type of traffic could include valid destination services, which cannot be blocked since they are essential services to business, such as DNS servers at an NP or HTTP requests sent to an organization connected to the Internet;
Oトラフィックの種類は、彼らは、インターネットに接続され、組織に送らNPまたはHTTPリクエストのDNSサーバなどのビジネスに不可欠なサービスを、であるため、ブロックすることはできません有効な宛先サービスを含めることができます。
o the attack may utilize varying types of packets including TCP, UDP, ICMP, or other IP protocols;
攻撃oをTCP、UDP、ICMP、または他のIPプロトコルを含むパケットの様々なタイプを利用することができます。
o the attack may be from "zombies", which then require additional searches to locate a controlling server as the true origin of the attack;
O攻撃は、攻撃の真の原点と制御サーバーを見つけるために、追加の検索を必要とし、「ゾンビ」からのものであってもよいです。
o the attack may use a very small number of packets from any particular source, thus making a trace after the fact nearly impossible.
Oの攻撃は、このように事後トレースはほぼ不可能、任意の特定のソースからのパケットの非常に小さな数を使用することができます。
If the source(s) of the attack cannot be determined from IP address information or tracing the increased bandwidth utilization, it may be possible to trace the traffic based on the type of packets seen by the client. In the case of packets with spoofed source addresses, it is no longer a trivial task to identify the source of an attack. In the case of an attack using valid source addresses, methods such as the traceroute utility can be used to fairly accurately identify the path of the traffic between the source and destination of an attack. If the true source has been identified, actions should be taken to halt or mitigate the effects of the attack by reporting the incident to the NP or the upstream NP closest to the source. In the case of a spoofed source address, other methods can be used to trace back to the source of an attack. The methods include packet filtering, packet hash comparisons, IP marking techniques, ICMP traceback, and packet flow analysis. As in the case of attack detection, tracing traffic across a single network is a function that can be used with RID in order to provide the network with the ability to trace spoofed traffic to the source, while RID provides all the necessary information to accommodate the approach used on any single network to accomplish this task. RID can also be used to report attack traffic close to the source where the IP address used was determined to be valid or simply to report that an incident occurred.
攻撃のソース（S）は、IPアドレス情報から決定または増加した帯域幅の利用を追跡することができない場合は、クライアントから見たパケットのタイプに基づいてトラフィックを追跡することが可能です。偽装された送信元アドレスを持つパケットの場合には、もはや、攻撃の発生源を特定するための簡単な作業ではありません。有効な送信元アドレスを用いて攻撃する場合に、このようなトレースルートユーティリティのような方法は、かなり正確に攻撃のソースと宛先との間のトラフィックの経路を識別するために使用することができます。本当の原因が特定された場合は、アクションが停止またはNPまたは上流のソースに最も近いNPへの入射を報告することによって、攻撃の影響を緩和するために取られるべきです。スプーフィングされた送信元アドレスの場合には、他の方法は、攻撃のソースに戻って追跡するために使用することができます。方法は、パケットフィルタリング、パケットのハッシュの比較、IPマーキング技術、ICMPトレースバック、及びパケットフロー分析を含みます。攻撃検知の場合のように、単一のネットワークを介してトラフィックを追跡するRIDを収容するために必要なすべての情報を提供しながら、ソースに偽装されたトラフィックを追跡する能力を有するネットワークを提供するために、RIDと共に使用することができる機能でありますこのタスクを達成するために、任意の単一のネットワーク上で使用されるアプローチ。 RIDも近い使用されるIPアドレスが有効であること、または単に事件が発生したことを報告することを決定したソースへの攻撃トラフィックを報告するために使用することができます。
There have been many separate research initiatives to solve the problem of tracing upstream packets to detect the true source of attack traffic. Upstream packet tracing is currently confined to the borders of a network or an NP's network. Traces require access to network equipment and resources, thus potentially limiting a trace to a specific network. Once a trace reaches the boundaries of a network, the network manager or NP adjacent in the upstream trace must be contacted in order to continue the trace. NPs have been working on individual solutions to accomplish upstream tracing within their own network environments. The tracing mechanisms implemented thus far have included proprietary or custom solutions requiring specific information such as IP packet header data, hash values of the attack packets, or marked packets. Hash values are used to compare a packet against a database of packets that have passed through the network as described in "Hash-Based IP Traceback" [HASH-IPtrace]. Other research solutions involve marking packets as explained in "ICMP Traceback Messages" [ICMPtrace], "Practical network support for IP traceback" [NTWK-IPtrace], the IP Flow Information eXport (IPFIX) protocol [RFC3917], and IP marking [IPtrace]. The single-network traceback solutions were considered in developing RID to determine the information needed to accomplish an inter-network trace where different solutions may be in place.
攻撃トラフィックの真のソースを検出するために、アップストリームパケットをトレースする問題を解決するために、多くの独立した研究イニシアティブがありました。上流のパケットトレースは、現在のネットワークの境界線やNPのネットワークに限定されています。トレースは、このように潜在的に特定のネットワークへのトレースを制限し、ネットワーク機器やリソースにアクセスする必要があります。トレースは、ネットワークの境界に到達すると、上流のトレース内の隣接するネットワーク管理者またはNPは、トレースを継続するために連絡する必要があります。 NPは、独自のネットワーク環境内の上流トレースを達成するために、個々のソリューションに取り組んでいます。これまで実現トレースメカニズムは、IPパケットのヘッダデータ、攻撃パケットのハッシュ値、またはマーキングされたパケットのような特定の情報を必要とする独自またはカスタムソリューションを含んでいました。ハッシュ値は「ハッシュベースのIPトレースバック」[HASH-IPtrace]に記載されているようにネットワークを通過したパケットのデータベースに対してパケットを比較するために使用されます。 「ICMPトレースバックメッセージ」[ICMPtrace]、[NTWK-IPtrace]、IPフロー情報のエクスポート（IPFIX）プロトコル[RFC3917]、およびIPマーキング[IPtrace「IPトレースバックのための実用的なネットワークサポート」で説明したように、他の研究のソリューションは、パケットをマーキング伴います]。シングルネットワークトレースバック・ソリューションは、さまざまなソリューションが所定の位置にあってもよい間ネットワークトレースを達成するために必要な情報を決定するRIDの開発に考慮されました。
In order for network traffic to be traced across a network, an example packet from the attack must be sent along with the TraceRequest or Investigation request. According to the research for hash-based IP traceback, all of the non-changing fields of an IP header along with 8 bytes of payload are required to provide enough information to uniquely trace the path of a packet. The non-changing fields of the packet header and the 8 bytes of payload are the superset of data required by most single-network tracing systems used; limiting the shared data to the superset of the packet header and 8 bytes of payload prevents the need for sharing potentially sensitive information that may be contained in the data portion of a packet.
ネットワークを介して追跡するネットワークトラフィックのために、攻撃の例パケットはTraceRequestまたは調査要求とともに送信されなければなりません。ハッシュベースのIPトレースバックのための研究によれば、ペイロードの8つのバイトと共にIPヘッダの非変化するフィールドのすべてが一意のパケットの経路をトレースするのに十分な情報を提供するために必要とされます。パケットヘッダの非変更フィールド及びペイロードの8つのバイトが使用されるほとんどの単一ネットワークトレーシングシステムが必要とするデータのスーパーセットです。パケットヘッダとペイロードの8バイトのスーパーセットに共有データを制限するパケットのデータ部分に含まれ得る潜在的な機密情報を共有する必要性を防止します。
The RecordItem class in the IODEF is used to store a hexadecimal formatted packet including all packet header information plus 8 bytes of payload, or the entire packet contents. The above trace systems do not require a full packet, but it may be useful in some cases, so the option is given to allow a full packet to be included in the data model.
IODEFにおけるRecordItemクラスは、すべてのパケットのヘッダ情報に加えてペイロードの8バイト、または、パケット全体の内容を含む進フォーマットされたパケットを格納するために使用されます。上記のトレースシステムは、完全なパケットを必要としませんが、オプションは、完全なパケットがデータモデルに含まれることができるように与えられているので、それは、いくつかのケースで有用である可能性があります。
If a subset of a packet is used, the research presented in "Hash-Based IP Traceback" [HASH-IPtrace] provides guidelines to establish a minimum requirement for distinguishing packets. The full packet and content SHOULD be provided, but the minimum requirement MUST be provided. The research from [HASH-IPtrace] found that the first 28 invariant bytes of a packet (masked IP header plus the first 8 bytes of the payload) are sufficient to differentiate almost all non-identical IPv4 packets. RID requires the first 28 invariant bytes of an IPv4 packet in order to perform a trace. RID requires the first 48 invariant bytes for an IPv6 packet in order to distinguish the packet in a trace. Reference [HASH-IPtrace] for additional details.
パケットのサブセットを使用する場合、研究は「ハッシュベースのIPトレースバック」で提示[HASH-IPtrace]は、パケットを区別するための最低限の要件を確立するためのガイドラインを提供します。完全なパケットとコンテンツが提供されるべきであるが、最低限の要件を提供しなければなりません。 [ハッシュIPtrace]からの研究は、パケットの最初の28バイト不変（マスクされたIPヘッダーとペイロードの最初の8バイト）は、ほぼすべての非同一IPv4パケットを区別するのに十分であることを見出しました。 RIDは、トレースを実行するためにIPv4パケットの最初の28不変バイトを必要とします。 RIDは、トレースに、パケットを区別するために、IPv6パケットの最初の48回の不変のバイトが必要です。追加の詳細については、リファレンス[HASH-IPtrace]。
The input mechanism for packets to be traced should be flexible to allow intrusion detection systems or packet sniffers to provide the information. The system creating the RID message should also use the packet information to populate the Incident class information in order to avoid human error and also allow a system administrator to override the automatically populated information.
追跡されるパケットのための入力機構は、情報を提供するために、侵入検知システムまたはパケットスニファを可能にするために柔軟であるべきです。 RIDメッセージを作成するシステムは、また、ヒューマンエラーを回避し、また、システム管理者が自動的に設定情報を上書きすることを可能にするために、インシデントクラス情報を移入するためにパケット情報を使用する必要があります。
Note: The Introduction, and Sub-sections 4.1 and 4.2, are informative, with the exception of references to IODEF/RID Transport [RFC6046]. Sub-sections 4.3, 4.4, and 4.5 are normative.
注：はじめに、サブセクション4.1および4.2は、IODEF / RID輸送[RFC6046]への参照を除いて、有益です。サブセクション4.3、4.4、および4.5は規範的です。
Expediting the communication between CSIRTs is essential when responding to a security-related incident, which may cross network access points (Internet backbones) between providers. As a result of the urgency involved in this inter-NP security incident communication, there must be an effective system in place to facilitate the interaction. This communication policy or system should involve multiple means of communication to avoid a single point of failure. Email is one way to transfer information about the incident, packet traces, etc. However, email may not be received in a timely fashion or be acted upon with the same urgency as a phone call or other communication mechanism.
プロバイダ間のネットワークアクセスポイント（インターネットバックボーン）を横断することができるセキュリティ関連の事故に応答するときのCSIRTとの間の通信を促進することが不可欠です。このインターNPセキュリティインシデントの通信に関与する緊急性の結果として、相互作用を容易にする代わりに、効果的なシステムが存在しなければなりません。この通信政策やシステムは、単一障害点を回避するために、複数の通信手段を関与させるべきです。メール事件、パケットトレース、などしかし、電子メールがタイムリーに受信できなかったり、電話や他の通信機構と同じ緊急性に作用することについての情報を転送するための一つの方法です。
Each NP should dedicate a phone number to reach a member of their respective CSIRT. The phone number could be dedicated to inter-NP incident communications and must be a hotline that provides a 24x7 live response. The phone line should reach someone who would have the authority, expertise, and the means to expedite the necessary action to investigate the incident. This may be a difficult policy to establish at smaller NPs due to resource limitations, so another solution may be necessary. An outside group may be able to serve this function if given the necessary access to the NP's network. The outside resource should be able to mitigate or alleviate the financial limitations and any lack of experienced resource personnel.
各NPは、それぞれのCSIRTのメンバーに到達するために電話番号を専用にする必要があります。電話番号は、インター-NPの入射通信に専念することができ、24時間365日のライブの応答を提供ホットラインでなければなりません。電話回線は、権限を持っている誰か、専門知識、および事件を調査するために必要な行動を促進するための手段に到達する必要があります。これは、リソースの制限に小さいのNPで確立するために、困難な政策であってもよいし、その別の解決策が必要になることがあります。外部のグループは、NPのネットワークに必要なアクセス権を与えられている場合、この機能を果たすことができるかもしれません。外部のリソースは、金融の制限と経験豊富な資源要員の不足を緩和または軽減することができるはずです。
A technical solution to trace traffic across a single NP may include homegrown or commercial systems for which RID messaging must accommodate the input requirements. The IHS used on the NP's backbone by the CSIRT to coordinate the trace across the single network requires a method to accept and process RID messages and relay TraceRequests to the system, as well as to wait for responses from the system to continue the RID request process as appropriate. In this scenario, each NP would maintain its own RID/IHS and integrate with a management station used for network monitoring and analysis. An alternative for NPs lacking sufficient resources may be to have a neutral third party with access to the NP's network resources who could be used to perform the incident handling functions. This could be a function of a central organization operating as a CSIRT for the Internet as a whole or within a consortium that may be able to provide centralized resources. Consortiums would consist of a group of NPs and/or CSIRTs that agree to participate in the RID communication protocol with an agreed-upon policy and communication protocol facilitating the secure transport of IODEF/RID XML documents. Transport for RID messages is specified in the IODEF/RID Transport [RFC6046] document.
単一NP間でトラフィックをトレースする技術的な解決策は、RIDメッセージングが入力要件に対応しなければならないために自社開発または商業用システムを含むことができます。 IHSは、単一のネットワークを介してトレースを調整するCSIRTによってNPのバックボーン上で使用されるRID要求処理を継続するために、システムからの応答を待つために受け入れて処理RIDメッセージを、システムにTraceRequestsを中継する方法が必要で、だけでなく、適切に。このシナリオでは、各NPは、それ自身のRID / IHSを維持するネットワーク監視および分析のために使用される管理ステーションと統合します。十分な資源を欠いたNPのための代替は、機能インシデント処理を実行するために使用することができNPのネットワークリソースへのアクセスを中立的な第三者を持っているかもしれません。これは、全体として、または集中リソースを提供することができるかもしれコンソーシアム内のインターネットのためのCSIRTとして動作中央組織の機能である可能性があります。コンソーシアムは、NPのおよび/またはIODEF / RID XML文書の安全な輸送を促進する合意された政策と通信プロトコルとのRID通信プロトコルに参加することに同意のCSIRTのグループで構成されます。 RIDのメッセージの転送は、IODEF / RID輸送[RFC6046]文書に指定されています。
One goal of RID is to prevent the need to permit access to other networks' equipment through the use of a standard messaging mechanism to enable IHSs to communicate incident handling information to other networks in a consortium or in neighboring networks. The third party mentioned above may be used in this technical solution to assist in facilitating incident handling and possibly traceback through smaller NPs. The RID messaging mechanism may be a logical or physical out-of-band network to ensure that the communication is secure and unaffected by the state of the network under attack. The two management methods would accommodate the needs of larger NPs to maintain full management of their network, and the third-party option could be available to smaller NPs who lack the necessary human resources to perform incident handling operations. The first method enables the individual NPs to involve their network operations staff to authorize the continuance of a trace or other necessary response to a RID communication request through their network via a notification and alerting system. The out-of-band logical solution for messaging may be permanent virtual circuits configured with a small amount of bandwidth dedicated to RID communications between NPs.
RIDの目標の1つは、コンソーシアム内または近隣のネットワークに他のネットワークにインシデントハンドリングの情報を通信するIHSSを可能にするために、標準のメッセージング・メカニズムを使用して他のネットワークの機器へのアクセスを許可する必要性を防ぐためです。上記第三者が取り扱いおよびおそらく小さいNPを介してトレースバックの入射を容易にするのを助けるために、この技術的な解決策に使用することができます。 RIDメッセージングメカニズムは、通信が安全で攻撃を受けたネットワークの状態によって影響を受けないことを保証するために、論理的または物理的なアウトオブバンドネットワークであってもよいです。 2つの管理方法は、ネットワークの完全な管理を維持するために、より大きなNPのニーズに対応するだろう、とサードパーティのオプションは、インシデントハンドリング操作を実行するために必要な人材が不足している小さいのNPに利用可能である可能性があります。第一の方法は、通知および警告システムを介して、そのネットワークを介してRID通信要求にトレースまたは他の必要な応答の継続を許可するために、ネットワーク運用スタッフに関与する個々のNPを可能にします。メッセージングのためのアウトオブバンド論理溶液は、NPの間の通信を取り除くために専用の帯域幅の少量で構成永久仮想回路であってもよいです。
The network used for the communication should consist of out-of-band or protected channels (direct communication links) or encrypted channels dedicated to the transport of RID messages. The communication links would be direct connections between network peers who have agreed-upon use and abuse policies through the use of a consortium. Consortiums might be linked through policy comparisons and additional agreements to form a larger web or iterative network of peers that correlates to the traffic paths available over the larger web of networks. The maintenance of the individual links is the responsibility of the two network peers hosting the link. Contact information, IP addresses of RID systems, and other information must be coordinated between bilateral peers by a consortium and may use existing databases, such as the Routing Arbiter. The security, configuration, and Confidence rating schemes of the RID messaging peers must be negotiated by peers and must meet certain overall requirements of the fully connected network (Internet, government, education, etc.) through the peering and/or a consortium-based agreement.
通信に使用されるネットワークは、RIDメッセージの輸送に専用の帯域外または保護されたチャネル（直接通信リンク）、または暗号化されたチャネルから成るべきです。通信リンクは、合意されている使用と乱用政策コンソーシアムを使用して、ネットワークのピア間の直接接続になります。コンソーシアムは、ネットワークの大きなウェブ上で利用可能なトラフィックパスに相関大きいウェブまたはピアの反復ネットワークを形成するために、ポリシーの比較および追加契約を介して結合されるかもしれません。個々のリンクのメンテナンスは、リンクをホストしている2つのネットワークピアの責任です。連絡先情報、RIDシステムのIPアドレス、およびその他の情報は、コンソーシアムで、二国間のピア間で調整しなければならないと、このようなルーティングアービタなどの既存のデータベースを使用することができます。 RIDメッセージングピアのセキュリティ、構成、および信頼の評価方式は、ピアによって交渉しなければならないとピアリングおよび/またはコンソーシアムベースによって完全に接続されたネットワーク（インターネット等、政府、教育、）の一定の全体的な要件を満たす必要があります。契約。
RID messaging established with clients of an NP may be negotiated in a contract as part of a value-added service or through a service level agreement (SLA). Further discussion is beyond the scope of this document and may be more appropriately handled in network peering or service level agreements.
NPのクライアントと確立RIDメッセージングは、付加価値サービスの一部として、またはサービスレベルアグリーメント（SLA）を介して、契約で交渉されてもよいです。さらなる議論は、この文書の範囲を超えて、より適切にネットワークピアリングまたはサービス・レベル・アグリーメントに処理することができます。
Procedures for incident handling need to be established and well known by anyone that may be involved in incident response. The procedures should also contain contact information for internal escalation procedures, as well as for external assistance groups such as a CSIRT, CERT Coordination Center (CERT/CC), Global Information Assurance Certification (GIAC), and the FBI or other assisting government organization in the country of the investigation.
事件処理のための手順は、インシデント対応に関与している可能性が誰によって確立された、よく知られてする必要があります。手順はまた、内部エスカレーション手順のため、ならびにこのようなCSIRT、CERTコーディネーションセンター（CERT / CC）、グローバル情報保証証明（GIAC）、およびFBIやその他の支援政府機関のような外部の支援グループの連絡先情報が含まれている必要があります調査の国。
In order to implement a messaging mechanism between RID communication systems or IHSs, a standard protocol and format is required to ensure inter-operability between vendors. The messages would have to meet several requirements in order to be meaningful as they traverse multiple networks. RID provides the framework necessary for communication between networks involved in the incident handling, possible traceback, and mitigation of a security incident. Several message types described in Section 4.3 are necessary to facilitate the handling of a security incident. The message types include the Report, IncidentQuery, TraceRequest, RequestAuthorization, Result, and the Investigation request message. The Report message is used when an incident is to be filed on a RID system or associated database, where no further action is required. An IncidentQuery message is used to request information on a particular incident. A TraceRequest message is used when the source of the traffic may have been spoofed. In that case, each network provider in the upstream path who receives a TraceRequest will issue a trace across the network to determine the upstream source of the traffic. The RequestAuthorization and Result messages are used to communicate the status and result of a TraceRequest or Investigation request. The Investigation request message would only involve the RID communication systems along the path to the source of the traffic and not the use of network trace systems. The Investigation request leverages the bilateral relationships or a consortium's interconnections to mitigate or stop problematic traffic close to the source. Routes could determine the fastest path to a known source IP address in the case of an Investigation request. A message sent between RID systems for a TraceRequest or an Investigation request to stop traffic at the source through a bordering network would require the information enumerated below:
RID通信システムまたはIHSS間のメッセージング・メカニズムを実装するために、標準的なプロトコルおよび形式はベンダー間の相互運用性を確保するために必要とされます。メッセージは、彼らが複数のネットワークを横断する意味のあるものにするために、いくつかの要件を満たさなければならないでしょう。 RIDは、セキュリティインシデントのインシデント処理、可能トレースバック、及び緩和に関与するネットワーク間の通信のために必要なフレームワークを提供します。セクション4.3で説明したいくつかのメッセージタイプは、セキュリティインシデントの取り扱いを容易にするために必要です。メッセージの種類は、レポート、IncidentQuery、TraceRequest、RequestAuthorization、結果、及び調査要求メッセージが含まれます。報告メッセージは、入射さらなるアクションが必要とされないRIDシステムまたは関連するデータベース、に出願する際に使用されます。 IncidentQueryメッセージは、特定のインシデントに関する情報を要求するために使用されます。トラフィックの送信元が詐称されている可能性があり際TraceRequestメッセージが使用されています。その場合、TraceRequestを受信するアップストリームパス中の各ネットワーク・プロバイダは、トラフィックの上流のソースを決定するために、ネットワークを介してトレースを発行します。 RequestAuthorizationと結果メッセージはTraceRequest又は調査依頼のステータス、結果を通信するために使用されます。調査要求メッセージは、トラフィックだけではなくネットワークトレースシステムの使用のソースへのパスに沿ってRIDの通信システムを伴うだろう。調査依頼は近いソースに問題のあるトラフィックを軽減または停止し、二国間関係やコンソーシアムの相互接続を利用しています。ルートは調査依頼の場合で知られている送信元IPアドレスへの最速の経路を決定することができます。 TraceRequest又は縁取り網を介してソースでトラフィックを停止する調査依頼用RIDシステム間で送信されるメッセージは、以下に列挙する情報を必要とするであろう。
1. Enough information to enable the network administrators to make a decision about the importance of continuing the trace.
1.十分な情報には、トレースを継続することの重要性についての決定を行うために、ネットワーク管理者を有効にします。
2. The incident or IP packet information needed to carry out the trace or investigation.
2.インシデントまたはトレースまたは調査を行うために必要なIPパケット情報。
3. Contact information of the origin of the RID communication. The contact information could be provided through the Autonomous System Number (ASN) [RFC1930] or Network Information Center (NIC) handle information listed in the Registry for Internet Numbers or other Internet databases.
RID通信の起源の3連絡先情報。連絡先情報は、自律システム番号（ASN）[RFC1930]またはネットワークインフォメーションセンター（NIC）は、インターネット番号や他のインターネットのデータベースのレジストリに記載されている取り扱う情報を通じて提供することができます。
4. Network path information to help prevent any routing loops through the network from perpetuating a trace. If a RID system receives a TraceRequest containing its own information in the path, the trace must cease and the RID system should generate an alert to inform the network operations staff that a tracing loop exists.
4.ネットワークパス情報は、トレースを永続からネットワークを介して任意のルーティングのループを防ぐために。 RIDシステムがパスに独自の情報を含むTraceRequestを受信した場合、トレースは中止しなければならないとRIDシステムが追跡ループが存在するネットワークの運用スタッフに通知するアラートを生成する必要があります。
5. A unique identifier for a single attack. This identifier should be used to correlate traces to multiple sources in a DDoS attack.
5.単一の攻撃のためのユニークな識別子。この識別子は、DDoS攻撃で複数のソースへのトレースを相関させるために使用されるべきです。
Use of the communication network and the RID protocol must be for pre-approved, authorized purposes only. It is the responsibility of each participating party to adhere to guidelines set forth in both a global use policy for this system and one established through the peering agreements for each bilateral peer or agreed-upon consortium guidelines. The purpose of such policies is to avoid abuse of the system; the policies shall be developed by a consortium of participating entities. The global policy may be dependent on the domain it operates under; for example, a government network or a commercial network such as the Internet would adhere to different guidelines to address the individual concerns. Privacy issues must be considered in public networks such as the Internet. Privacy issues are discussed in the Security Considerations section, along with other requirements that must be agreed upon by participating entities.
通信ネットワークとRIDプロトコルの使用は、事前に承認、認可のみを目的としなければなりません。これは、各参加当事者の責任はそれぞれ二国間ピアのピアリング契約を通じて確立または合意されたコンソーシアムのガイドライングローバルに使用するこのシステムのポリシーと1の両方に記載されたガイドラインを遵守することです。そのような政策の目的は、システムの乱用を避けるためです。ポリシーは、参加事業体のコンソーシアムによって開発されなければなりません。グローバルポリシーは、それがもとで動作し、ドメインに依存することができます。例えば、インターネットなどの政府のネットワークや商用ネットワークは、個々の懸念に対処するために別のガイドラインに準拠します。プライバシーの問題は、インターネットなどの公衆網に考慮されなければなりません。プライバシーの問題は、参加事業体が合意しなければならない他の要件とともに、セキュリティの考慮事項のセクションで説明されています。
RID requests must be legitimate security-related incidents and not used for purposes such as sabotage or censorship. An example of such abuse of the system would include a request to rate-limit legitimate traffic to prevent information from being shared between users on the Internet (restricting access to online versions of papers) or restricting access from a competitor's product in order to sabotage a business.
RIDの要求は、このような破壊行為や検閲などの目的のために使用され、正当なセキュリティ関連の事件やないでなければなりません。システムのこうした虐待の例は、インターネット上のユーザー間で共有されることから情報を防止するための正当なトラフィック（論文のオンライン版へのアクセスを制限する）、または妨害するために、競合他社の製品からのアクセスを制限する制限に評価するための要求が含まれるであろうビジネス。
The RID system should be configurable to either require user input or automatically continue traces. This feature would enable a network manager to assess the available resources before continuing a trace. A trace initiated from a TraceRequest may cause adverse effects on a network. If the Confidence rating is low, it may not be in the NP's best interest to continue the trace. The Confidence ratings must adhere to the specifications for selecting the percentage used to avoid abuse of the system. TraceRequests must be issued by authorized individuals from the initiating network, set forth in policy guidelines established through peering or SLA.
RIDシステムは、ユーザの入力を必要とするか、または自動的にトレースを続けるのいずれかに設定可能でなければなりません。この機能は、トレースを続行する前に、利用可能なリソースを評価するために、ネットワーク管理を可能にします。 TraceRequestから開始されたトレースは、ネットワーク上の悪影響を及ぼすことがあります。信頼度の評価が低い場合には、トレースを継続するNPの最善の利益にないかもしれません。信頼評価システムの乱用を避けるために使用される割合を選択するための仕様に準拠する必要があります。 TraceRequestsは、ピアリングやSLAを介して確立政策ガイドラインに記載された発信側ネットワークから認可された個人、によって発行されなければなりません。
The most basic topology for communicating RID systems would be a direct connection or a bilateral relationship as illustrated below.
RIDシステムを通信するための最も基本的なトポロジーは、直接接続、または以下に示すような二国間の関係であろう。
___________ __________
| | | |
| RID |__________-------------___________| RID |
|_________| | NP Border | |________|
-------------
Figure 1. Direct Peer Topology
図1.直接ピアトポロジ
Within the consortium model, several topologies might be agreed upon and used. One would leverage bilateral network peering relationships of the members of the consortium. The peers for RID would match that of routing peers, and the logical network borders would be used. This approach may be necessary for an iterative trace where the source is unknown. The model would look like the above diagram; however, there may be an extensive number of interconnections of bilateral relationships formed. Also within a consortium model, it may be useful to establish an integrated mesh of networks to pass RID messages. This may be beneficial when the source address is known, and an interconnection may provide a faster route to reach the closest upstream peer to the source of the attack traffic. An example is illustrated below.
コンソーシアムのモデルの中で、いくつかのトポロジは、合意して使用される可能性があります。一つは、コンソーシアムのメンバーのピアリング関係国間のネットワークを活用します。 RIDのためのピアは、ルーティングピアのものと一致し、論理ネットワークの境界が使用されます。このアプローチは、ソースが不明である反復トレースのために必要な場合があります。モデルは、上の図のようになります。しかしながら、形成された二国間の関係の相互接続の広範な数が存在してもよいです。また、コンソーシアムのモデルの中で、RIDメッセージを渡すためにネットワークの統合されたメッシュを確立することが有用であり得ます。ソースアドレスが知られており、配線が攻撃トラフィックのソースに最も近い上流のピアに到達するためのより高速なルートを提供することができる場合に有益であり得ます。例を以下に示します。
_______ _______ _______
| | | | | |
__| RID |____-------------____| RID |____-------------____| RID |__
|_____| | NP Border | |_____| | NP Border | |_____|
| ------------- ------------- |
|_______________________________________________________|
Direct connection to network that is not an immediate network peer
即時ネットワークピアではありませんネットワークに直接接続
Figure 2. Mesh Peer Topology
図2.メッシュピアトポロジ
By using a fully meshed model in a consortium, broadcasting RID requests would be possible, but not advisable. By broadcasting a request, RID peers that may not have carried the attack traffic on their network would be asked to perform a trace for the potential of decreasing the time in which the true source was identified. As a result, many networks would have utilized unnecessary resources for a TraceRequest that may have also been unnecessary.
コンソーシアムでは完全なメッシュモデルを使用することにより、RIDの要求を放送することは可能であってもよいが、得策ではないでしょう。リクエストをブロードキャストすることによって、そのネットワーク上の攻撃トラフィックを実施していない可能性がありRIDピアは、本当の原因が特定された時間を減少させる可能性のためのトレースを実行するように求められます。その結果、多くのネットワークも不要だったかもしれTraceRequestため、不要なリソースを活用しているだろう。
Section 4.3.2 describes the six RID message types, which are based on the IODEF model [RFC5070]. The messages are generated and received on RID communication systems on the NP's network. The messages may originate from IODEF messages from intrusion detection servers, CSIRTs, analysts, etc. A RID message uses the IODEF framework with the RID extension, which is encapsulated for transport [RFC6046]. Each RID message type, along with an example, is described in the following sections. The IODEF-RID schema is introduced in Section 4.3.3 to support the RID message types in Section 4.3.2.
セクション4.3.2 IODEFモデル[RFC5070]に基づいて6つのRIDメッセージタイプを、記載されています。メッセージが生成され、NPのネットワーク上のRID通信システムで受信されています。メッセージは、RIDメッセージは、トランスポート[RFC6046]のためにカプセル化されているRID拡張とIODEFフレームワークを使用IODEF侵入検知サーバからのメッセージ、のCSIRT、アナリスト、等に由来してもよいです。各RIDメッセージタイプは、例えばと共に、以下のセクションに記載されています。 IODEF-RIDスキーマは、セクション4.3.2にRIDメッセージタイプをサポートするために、4.3.3で導入されました。
RID is derived from the IODEF data model and inherits all of the data types defined in the IODEF model. One data type is added by RID: BOOLEAN.
RIDは、IODEFデータモデルに由来し、IODEFモデルで定義されたデータ型のすべてを継承しています。 BOOLEAN：一つのデータ型は、RIDによって追加されます。
A boolean value is represented by the BOOLEAN data type.
ブール値ブールデータ型で表現されます。
The BOOLEAN data type is implemented as "xs:boolean" [XMLschema] in the schema.
[XMLスキーマ]スキーマ内：Booleanデータ型は、「ブールXS」として実装されます。
The six RID message types follow:
6つのRIDメッセージの種類は、次のとおりです。
1. TraceRequest. This message is sent to the RID system next in the upstream trace. It is used to initiate a TraceRequest or to continue a TraceRequest to an upstream network closer to the source address of the origin of the security incident. The TraceRequest would trigger a traceback on the network to locate the source of the attack traffic.
1. TraceRequest。このメッセージは、上流のトレース内の次のRIDシステムに送信されます。 TraceRequestを開始するか、または近いセキュリティインシデントの起源のソースアドレスに上流ネットワークへTraceRequestを継続するために使用されます。 TraceRequestは、攻撃トラフィックの送信元を突き止めるために、ネットワーク上のトレースバックをトリガします。
2. RequestAuthorization. This message is sent to the initiating RID system from each of the upstream NPs' RID systems to provide information on the request status in the current network.
2. RequestAuthorization。このメッセージは、現在のネットワーク内の要求ステータスに関する情報を提供するために、上流のNP RIDシステムのそれぞれから開始RIDシステムに送信されます。
3. Result. This message is sent to the initiating RID system through the network of RID systems in the path of the trace as notification that the source of the attack was located. The Result message is also used to provide the notification of actions taken for an Investigation request.
3.結果。このメッセージは、攻撃のソースが置かれたことを通知としてトレースの経路内RIDシステムのネットワークを介して開始RIDシステムに送信されます。結果メッセージはまた、調査依頼のために取られた行動の通知を提供するために使用されます。
4. Investigation. This message type is used when the source of the traffic is believed not to be spoofed. The purpose of the Investigation request message is to leverage the existing peer relationships in order to notify the network provider closest to the source of the valid traffic of a security-related incident for any necessary actions to be taken.
4.調査。トラフィックの送信元を詐称してはならないと考えられている場合に、このメッセージタイプが使用されています。調査要求メッセージの目的は、必要なアクションが取られるため、セキュリティ関連のインシデントの有効なトラフィックのソースに最も近いネットワークプロバイダに通知するために、既存のピア関係を活用することです。
5. Report. This message is used to report a security incident, for which no action is requested. This may be used for the purpose of correlating attack information by CSIRTs, statistics and trending information, etc.
5.レポート。このメッセージは、何もアクションが要求されていないため、セキュリティインシデントを、報告するために使用されます。これは、など、のCSIRT、統計およびトレンド情報により、攻撃情報を相関する目的で使用することができます
6. IncidentQuery. This message is used to request information about an incident or incident type from a trusted RID system. The response is provided through the Report message.
6. IncidentQuery。このメッセージは、信頼RIDシステムから入射またはインシデントの種類に関する情報を要求するために使用されます。応答は、レポートメッセージを介して提供されます。
When a system receives a RID message, it must be able to determine the type of message and parse it accordingly. The message type is specified in the RIDPolicy class. The RIDPolicy class may also be used by the transport protocol to facilitate the communication of security incident data to trace, investigate, query, or report information regarding security incidents.
システムは、RIDメッセージを受信すると、メッセージのタイプを判別し、それに応じてそれを解析することができなければなりません。メッセージタイプがRIDPolicyクラスで指定されています。 RIDPolicyクラスは、追跡調査、照会、またはセキュリティインシデントに関する情報を報告するために、セキュリティインシデントデータの通信を容易にするために、トランスポートプロトコルによって使用されてもよいです。
There are three classes included in the RID extension required to facilitate RID communications. The RequestStatus class is used to indicate the approval status of a TraceRequest or Investigation request; the IncidentSource class is used to report whether or not a source was found and to identify the source host(s) or network(s); and the RIDPolicy class provides information on the agreed-upon policies and specifies the type of communication message being used.
RIDの通信を容易にするために必要なRID拡張に含まれる3つのクラスがあります。 RequestStatusクラスはTraceRequestや調査依頼の承認ステータスを示すために使用されます。 IncidentSourceクラスは、ソースが見つかったかどうかを報告するために、ソースホスト（単数または複数）、ネットワーク（複数可）を識別するために使用されます。そして、RIDPolicyクラスは、合意されたポリシーに関する情報を提供し、使用されている通信メッセージの種類を指定します。
The RID schema acts as an envelope for the IODEF schema to facilitate RID communications. The intent in maintaining a separate schema and not using the AdditionalData extension of IODEF is the flexibility of sending messages between RID hosts. Since RID is a separate schema that includes the IODEF schema, the RID information acts as an envelope, and then the RIDPolicy class can be easily extracted for use by the transport protocol. The security requirements of sending incident information across the network include the use of encryption. The RIDPolicy information is not required to be encrypted, so separating out this data from the IODEF extension removes the need for decrypting and parsing the entire IODEF and RID document to determine how it should be handled at each RID host.
RIDスキーマは、RIDの通信を容易にするためにIODEFスキーマ用封筒として機能します。別のスキーマを維持し、IODEFのAdditionalData拡張を使用しないで意図はRIDホスト間でメッセージを送信するの柔軟性です。 RIDは、IODEFスキーマを含む別個のスキーマであるため、RID情報は、エンベロープとして作用し、そして次いでRIDPolicyクラスが容易にトランスポート・プロトコルで使用するために抽出することができます。ネットワーク経由でインシデント情報を送信するセキュリティ要件は、暗号化の使用を含みます。 RIDPolicy情報は暗号化することが必要なので、IODEFの拡張からこのデータを分離することは、各RIDホストでどのように処理すべきかを決定するために全体のIODEFやRID文書を復号化し、解析するための必要性を削除していません。
The purpose of the RIDPolicy class is to specify the message type for the receiving host, facilitate the policy needs of RID, and provide routing information in the form of an IP address of the destination RID system.
RIDPolicyクラスの目的は、受信側ホストのメッセージタイプを指定するRIDのポリシーの必要性を容易にし、宛先RIDシステムのIPアドレスの形式でルーティング情報を提供することです。
The policy information and guidelines are discussed in Section 6.6. The policy is defined between RID peers and within or between consortiums. The RIDPolicy is meant to be a tool to facilitate the defined policies. This MUST be used in accordance with policy set between clients, peers, consortiums, and/or regions. Security, privacy, and confidentiality MUST be considered as specified in this document.
ポリシー情報とガイドラインについては、セクション6.6で説明されています。ポリシーは、RIDピア間及び内またはコンソーシアムとの間に画定されます。 RIDPolicyは、定義されたポリシーを容易にするためのツールであることを意味しています。これは、クライアント、ピア、コンソーシアム、および/または領域の間に設定されたポリシーに従って使用されなければなりません。この文書で指定されているセキュリティ、プライバシー、機密性を考えなければなりません。
The RID schema is defined as follows:
次のようにRIDスキーマが定義されています。
+------------------+
| RID |
+------------------+
| ANY |
| |<>---{0..1}----[ RIDPolicy ]
| ENUM restriction |
| ENUM type |<>---{0..1}----[ RequestStatus ]
| STRING meaning |
| |<>---{0..1}----[ IncidentSource ]
+------------------+
Figure 3. The RID Schema
図3. RIDスキーマ
The aggregate classes that constitute the RID schema in the iodef-rid namespace are as follows:
次のようにIODEF-RID名前空間内のRIDのスキーマを構成する集約クラスは次のとおりです。
RIDPolicy
RIDPolicy
Zero or One. The RIDPolicy class is used by all message types to facilitate policy agreements between peers, consortiums, or federations, as well as to properly route messages.
0または1。 RIDPolicyクラスは、ピア、コンソーシアム、または連合、ならびに適切にルートメッセージ間のポリシー契約を容易にするために、すべてのメッセージ・タイプで使用されています。
RequestStatus
RequestStatus
Zero or One. The RequestStatus class is used only in RequestAuthorization messages to report back to the originating RID system if the trace will be continued by each RID system that received a TraceRequest in the path to the source of the traffic.
0または1。 RequestStatusクラスは、トレースがトラフィックの送信元へのパスでTraceRequestを受け、各RIDシステムによって継続される場合は元のRIDシステムに報告するだけRequestAuthorizationメッセージで使用されています。
IncidentSource
IncidentSource
Zero or One. The IncidentSource class is used in the Result message only. The IncidentSource provides the information on the identified source host or network of an attack trace or investigation.
0または1。 IncidentSourceクラスのみが結果メッセージで使用されています。 IncidentSourceは、攻撃の痕跡や捜査の識別されたソースホストまたはネットワーク上の情報を提供します。
Each of the three listed classes may be the only class included in the RID class, hence the option for zero or one. In some cases, RIDPolicy MAY be the only class in the RID definition when used by the transport protocol [RFC6046], as that information should be as small as possible and may not be encrypted. The RequestStatus message MUST be able to stand alone without the need for an IODEF document to facilitate the communication, limiting the data transported to the required elements per [RFC6046].
3つのリストされたクラスの各々は、RIDクラスに含まれる唯一のクラス、ゼロまたは1つのために、従ってオプションであってもよいです。トランスポートプロトコル[RFC6046]で使用される場合、その情報ができるだけ小さくあるべきであり、暗号化されなくてもよいようにいくつかのケースでは、RIDPolicyは、RID定義で唯一のクラスであるかもしれ。 RequestStatusメッセージは、[RFC6046]あたりの必要な要素に伝送されるデータを制限し、通信を容易にするためにIODEF文書を必要とせずに単独で立つことができなければなりません。
The RequestStatus class is an aggregate class in the RID class.
RequestStatusクラスはRIDクラスの集約クラスです。
+--------------------------------+
| RequestStatus |
+--------------------------------+
| |
| ENUM restriction |
| ENUM AuthorizationStatus |
| ENUM Justification |
| STRING ext-AuthorizationStatus |
| STRING ext-Justification |
| |
+--------------------------------+
Figure 4. The RequestStatus Class
図4. RequestStatusクラス
The RequestStatus class has five attributes:
RequestStatusクラスには、5つの属性があります。
restriction
制限
OPTIONAL. ENUM. This attribute indicates the disclosure guidelines to which the sender expects the recipient to adhere. This guideline provides no real security since it is the choice of the recipient of the document to honor it. This attribute follows the same guidelines as "restriction" used in IODEF.
オプション。 ENUM。この属性は、送信者は受信者が付着する予定先の開示ガイドラインを示します。それはそれを尊重するために、文書の受信者の選択であるため、このガイドラインには、実際のセキュリティを提供しません。この属性は、IODEFで使用される「制限」と同じガイドラインに従います。
AuthorizationStatus
AuthorizationStatus
REQUIRED. ENUM. The listed values are used to provide a response to the requesting CSIRT of the status of a TraceRequest in the current network.
必須。 ENUM。列挙された値は、現在のネットワークにおけるTraceRequestのステータスの要求CSIRTへの応答を提供するために使用されます。
1. Approved. The trace was approved and will begin in the current NP.
1.承認されました。トレースが承認され、現在のNPに開始されます。
2. Denied. The trace was denied in the current NP. The next closest NP can use this message to filter traffic from the upstream NP using the example packet to help mitigate the effects of the attack as close to the source as possible. The RequestAuthorization message must be passed back to the originator and a Result message used from the closest NP to the source to indicate actions taken in the IODEF History class.
2.拒否されました。トレースは、現在のNPに拒否されました。次に近いNPは、可能な限りソースに近い攻撃の影響を軽減するために例のパケットを使用して、上流NPからのトラフィックをフィルタリングするために、このメッセージを使用することができます。 RequestAuthorizationメッセージが発信元とIODEF歴史の授業で行われるアクションを示すために、ソースに最も近いNPから使用結果メッセージに戻さなければなりません。
3. Pending. Awaiting approval; a timeout period has been reached, which resulted in this Pending status and RequestAuthorization message being generated.
3.保留中。承認待ち;タイムアウト時間は、生成され、このPending状態とRequestAuthorizationメッセージをもたらした、達しています。
4. ext-value. An escape value used to extend this attribute. See IODEF [RFC5070], Section 5.1.
4. EXT-値。この属性を拡張するために使用するエスケープ値。 IODEF [RFC5070]、セクション5.1を参照してください。
Justification
正当化
OPTIONAL. ENUM. Provides a reason for a Denied or Pending message.
オプション。 ENUM。拒否または保留中のメッセージの理由を提供します。
1. SystemResource. A resource issue exists on the systems that would be involved in the request.
1. SystemResource。リソースの問題は、リクエストに関与していることでしょうシステム上に存在します。
2. Authentication. The enveloped digital signature [RFC3275] failed to validate.
2.認証。エンベロープデジタル署名[RFC3275]は検証に失敗しました。
3. AuthenticationOrigin. The detached digital signature for the original requestor on the IP packet failed to validate.
3.認証起源。 IPパケットに元の要求者のために取り外されたデジタル署名が検証に失敗しました。
5. Other. There were other reasons this request could not be processed.
5.その他。この要求を処理することができませんでした他の理由がありました。
6. ext-value. An escape value used to extend this attribute. See IODEF [RFC5070], Section 5.1.
6. EXT-値。この属性を拡張するために使用するエスケープ値。 IODEF [RFC5070]、セクション5.1を参照してください。
AuthorizationStatus-ext
AuthorizationStatus-EXT
OPTIONAL. STRING. A means by which to extend the AuthorizationStatus attribute. See IODEF [RFC5070], Section 5.1.
オプション。 STRING。 AuthorizationStatus属性を拡張する手段。 IODEF [RFC5070]、セクション5.1を参照してください。
Justification-ext
正当化-EXT
OPTIONAL. STRING. A means by which to extend the Justification attribute. See IODEF [RFC5070], Section 5.1.
オプション。 STRING。正当化属性を拡張する手段。 IODEF [RFC5070]、セクション5.1を参照してください。
The IncidentSource class is an aggregate class in the RID class.
IncidentSourceクラスはRIDクラスの集約クラスです。
+-------------------+
| IncidentSource |
+-------------------+
| |
| ENUM restriction |
| |<>-------------[ SourceFound ]
| |
| |<>---{0..*}----[ Node ]
| |
+-------------------+
Figure 5. The IncidentSource Class
図5. IncidentSourceクラス
The elements that constitute the IncidentSource class follow:
IncidentSourceクラスのフォローを構成する要素：
SourceFound
SourceFound
One. BOOLEAN. The Source class indicates if a source was identified. If the source was identified, it is listed in the Node element of this class.
1。 BOOLEAN。ソースが確認された場合はSourceクラスを示します。ソースが確認された場合は、このクラスのNode要素にリストされています。
True. Source of incident was identified. False. Source of incident was not identified.
真。事件のソースが確認されました。偽。事件の原因は特定されませんでした。
Node
ので
One. The Node class is used to identify a host or network device, in this case to identify the system communicating RID messages.
1。 Nodeクラスは、RIDメッセージを通信システムを識別するために、この場合には、ホストまたはネットワーク機器を識別するために使用されます。
The base definition of this class is reused from the IODEF specification [RFC5070], Section 3.16.
このクラスの基本定義は、IODEF仕様[RFC5070]、セクション3.16から再利用されます。
The IncidentSource class has one attribute:
IncidentSourceクラスは、1つの属性があります。
restriction
制限
OPTIONAL. ENUM. This attribute indicates the disclosure guidelines to which the sender expects the recipient to adhere. This guideline provides no real security since it is the choice of the recipient of the document to honor it. This attribute follows the same guidelines as "restriction" used in IODEF.
オプション。 ENUM。この属性は、送信者は受信者が付着する予定先の開示ガイドラインを示します。それはそれを尊重するために、文書の受信者の選択であるため、このガイドラインには、実際のセキュリティを提供しません。この属性は、IODEFで使用される「制限」と同じガイドラインに従います。
The RIDPolicy class facilitates the delivery of RID messages and is also referenced for transport in the transport document [RFC6046].
RIDPolicyクラスは、RIDメッセージの配信を容易にし、また、運送書類[RFC6046]での輸送のために参照されます。
+------------------------+
| RIDPolicy |
+------------------------+
| |
| ENUM restriction |<>-------------[ Node ]
| ENUM MsgType |
| ENUM MsgDestination |<>---{0..1}----[ IncidentID ]
| ENUM ext-MsgType |
| ENUM ext-MsgDestination|<>---{1..*}----[ PolicyRegion ]
| |
| |<>---{1..*}----[ TrafficType ]
| |
+------------------------+
Figure 6. The RIDPolicy Class
図6. RIDPolicyクラス
The aggregate elements that constitute the RIDPolicy class are as follows:
次のようにRIDPolicyクラスを構成する骨材要素は次のとおりです。
Node
ので
One. The Node class is used to identify a host or network device, in this case to identify the system communicating RID messages.
1。 Nodeクラスは、RIDメッセージを通信システムを識別するために、この場合には、ホストまたはネットワーク機器を識別するために使用されます。
The base definition of this class is reused from the IODEF specification [RFC5070], Section 3.16.
このクラスの基本定義は、IODEF仕様[RFC5070]、セクション3.16から再利用されます。
IncidentID
IncidentID
Zero or one. Global reference pointing back to the IncidentID defined in the IODEF data model. The IncidentID includes the name of the CSIRT, an incident number, and an instance of that incident. The instance number is appended with a dash separating the values and is used in cases for which it may be desirable to group incidents. Examples of incidents that may be grouped would be botnets, DDoS attacks, multiple hops of compromised systems found during an investigation, etc.
ゼロまたは1つ。バックIODEFデータモデルで定義されIncidentIDを指すグローバル参照。 IncidentIDはCSIRT、インシデント数、およびその事件のインスタンスの名前を含みます。インスタンス番号は、値を隔てるダッシュが付加され、それがグループインシデントに望ましいかもしれないいる場合に使用されます。グループ化することができる事件の例には、ボットネット、DDoS攻撃、調査中に発見された妥協システムの複数のホップであろう
PolicyRegion
PolicyRegion
One or many. REQUIRED. The values for the attribute "region" are used to determine what policy area may require consideration before a trace can be approved. The PolicyRegion may include multiple selections from the attribute list in order to fit all possible policy considerations when crossing regions, consortiums, or networks.
一つまたは多数。必須。属性「地域」の値は、トレースが承認される前に、政策領域は考慮が必要かもしれないものを決定するために使用されています。 PolicyRegionは地域、コンソーシアム、またはネットワークを横断するとき、すべての可能な政策の考慮事項を合わせるために属性リストから複数選択を含むことができます。
region
領域
One. ENUM.
1。 ENUM。
2. NPToClient. An NP passed a RID request to a client or an enterprise attached network to the NP based on the service level agreements.
2. NPToClient。 NPは、サービス・レベル・アグリーメントに基づくNPにクライアントに対してRID要求またはエンタープライズ接続されたネットワークを通過しました。
3. IntraConsortium. A trace that should have no restrictions within the boundaries of a consortium with the agreed-upon use and abuse guidelines.
3. IntraConsortium。合意された使用や乱用ガイドラインにコンソーシアムの境界内に制限はありません必要がありますトレース。
4. PeerToPeer. A trace that should have no restrictions between two peers but may require further evaluation before continuance beyond that point with the agreed-upon use and abuse guidelines.
4. PeerToPeer。 2つのピア間の制限はありませんべきであるが、合意された使用や乱用ガイドラインにそのポイントを超えて継続する前に、さらなる評価が必要な場合がありますトレース。
5. BetweenConsortiums. A trace that should have no restrictions between consortiums that have established agreed-upon use and abuse guidelines.
5. BetweenConsortiums。合意された使用や乱用のガイドラインを確立しているコンソーシアムとの間に制限はありません必要がありますトレース。
6. AcrossNationalBoundaries. This selection must be set if the trace type is anything but a trace of attack traffic with malicious intent. This must also be set if the traffic request is based upon regulations of a specific nation that would not apply to all nations. This is different from the "BetweenConsortiums" setting since it may be possible to have multiple nations as members of the same consortium, and this option must be selected if the traffic is of a type that may have different restrictions in other nations.
6. AcrossNationalBoundaries。トレースタイプは何もなく、悪意を持った攻撃トラフィックのトレースがある場合は、この選択は設定する必要があります。トラフィック要求は、すべての国に適用されない特定の国の法令に基づいている場合にも設定する必要があります。同じコンソーシアムのメンバーとして、複数の国を持つことが可能であってもよく、トラフィックは他の国で異なる制約を有することができるタイプのものである場合は、このオプションを選択する必要がありますので、これは「BetweenConsortiums」の設定と異なっています。
7. ext-value. An escape value used to extend this attribute. See IODEF [RFC5070], Section 5.1.
7. EXT-値。この属性を拡張するために使用するエスケープ値。 IODEF [RFC5070]、セクション5.1を参照してください。
TrafficType
TrafficType
One or many. REQUIRED. The values for the attribute "type" are meant to assist in determining if a trace is appropriate for the NP receiving the request to continue the trace. Multiple values may be selected for this element; however, where possible, it should be restricted to one value that would most accurately describe the traffic type.
一つまたは多数。必須。属性「タイプ」の値は、トレースは、トレースを継続する要求を受信NPに適しているかどうかを判断するのに役立つことを意味しています。複数の値は、この要素のために選択することができます。ただし、可能な場合、それは最も正確トラフィックタイプを記述するでしょう1つの値に制限する必要があります。
type
タイプ
One. ENUM.
1。 ENUM。
1. Attack. This option should only be selected if the traffic is related to a network-based attack. The type of attack MUST also be listed in more detail in the IODEF Method and Impact classes for further clarification to assist in determining if the trace can be continued ([RFC5070], Sections 3.9 and 3.10.1).
1.攻撃。トラフィックがネットワークベースの攻撃に関連している場合のみ、このオプションを選択する必要があります。攻撃の種類もトレースを継続することができるかどうかを決定するのを助けるためにさらに明確化のためにIODEF方法および影響クラスでより詳細に記載されている必要があり（[RFC5070]、セクション3.9及び3.10.1）。
2. Network. This option MUST only be selected when the trace is related to NP network traffic or routing issues.
2.ネットワーク。トレースがNPネットワーク・トラフィックまたはルーティングの問題に関連しているときのみ、このオプションを選択する必要があります。
3. Content. This category MUST be used only in the case in which the request is related to the content and regional restrictions on accessing that type of content exist. This is not malicious traffic but may include determining what sources or destinations accessed certain materials available on the Internet, including, but not limited to, news, technology, or inappropriate content.
3.コンテンツ。このカテゴリは、要求だけがコンテンツとコンテンツの種類が存在するのアクセスに関する地域の制限に関連している場合に使用しなければなりません。これは、悪意のあるトラフィックではなく、ソースまたは宛先は、インターネット上の特定の材料が利用できるアクセスかを決定含め、しかし、ニュース、技術、または不適切なコンテンツ、これらに限定されないを含むことができます。
4. OfficialBusiness. This option MUST be used if the traffic being traced is requested or is affiliated with any government or other official business request. This would be used during an investigation by government authorities or other government traces to track suspected criminal or other activities.
4. OfficialBusiness。トレースされるトラフィックが要求されたり、政府や他の正式なビジネス要求と提携している場合は、このオプションを使用しなければなりません。このことは、疑いのある犯罪者や他の活動を追跡するために、政府当局またはその他の政府トレースで調査中に使用されます。
5. Other. If this option is selected, a description of the traffic type MUST be provided so that policy decisions can be made to continue or stop the trace. The information should be provided in the IODEF message in the Expectation class or in the History class using a HistoryItem log.
5.その他。このオプションが選択されている場合は政策決定がトレースを続行するか、停止させることができるように、トラフィックタイプの説明が提供されなければなりません。情報はHistoryItemログを使用して期待クラスや歴史の授業でIODEFメッセージ内で提供されるべきです。
6. ext-value. An escape value used to extend this attribute. See IODEF [RFC5070], Section 5.1.
6. EXT-値。この属性を拡張するために使用するエスケープ値。 IODEF [RFC5070]、セクション5.1を参照してください。
The RIDPolicy class has five attributes:
RIDPolicyクラスには、5つの属性があります。
restriction
制限
OPTIONAL. ENUM. This attribute indicates the disclosure guidelines to which the sender expects the recipient to adhere. This guideline provides no real security since it is the choice of the recipient of the document to honor it. This attribute follows the same guidelines as "restriction" used in IODEF.
オプション。 ENUM。この属性は、送信者は受信者が付着する予定先の開示ガイドラインを示します。それはそれを尊重するために、文書の受信者の選択であるため、このガイドラインには、実際のセキュリティを提供しません。この属性は、IODEFで使用される「制限」と同じガイドラインに従います。
MsgType
MsgType
REQUIRED. ENUM. The type of RID message sent. The six types of messages are described in Section 4.3.2 and can be noted as one of the six selections below.
必須。 ENUM。 RIDメッセージのタイプを送信しました。メッセージの6種類は、セクション4.3.2に記載されており、以下の6つの選択肢の一つとして注目され得ます。
1. TraceRequest. This message may be used to initiate a TraceRequest or to continue a TraceRequest to an upstream network closer to the source address of the origin of the security incident.
1. TraceRequest。このメッセージはTraceRequestを開始するか、近いセキュリティインシデントの起源のソースアドレスに上流ネットワークへTraceRequestを継続するために使用されてもよいです。
2. RequestAuthorization. This message is sent to the initiating RID system from each of the upstream RID systems to provide information on the request status in the current network.
2. RequestAuthorization。このメッセージは、現在のネットワーク内の要求ステータスに関する情報を提供するために、上流のRIDシステムのそれぞれから開始RIDシステムに送信されます。
3. Result. This message indicates that the source of the attack was located and the message is sent to the initiating RID system through the RID systems in the path of the trace.
3.結果。このメッセージは、攻撃のソースが位置していたことを示すメッセージが、トレースの経路にRIDシステムを通じて開始RIDシステムに送信されます。
4. Investigation. This message type is used when the source of the traffic is believed to be valid. The purpose of the Investigation request is to leverage the existing peer or consortium relationships in order to notify the NP closest to the source of the valid traffic that some event occurred, which may be a security-related incident.
4.調査。トラフィックの送信元が有効であると考えられているときに、このメッセージタイプが使用されています。調査依頼の目的は、セキュリティ関連の事故であってもよい、いくつかのイベントが発生した正当なトラフィックのソースに最も近いNPに通知するために、既存のピアまたはコンソーシアム関係を活用することです。
5. Report. This message is used to report a security incident, for which no action is requested in the IODEF Expectation class. This may be used for the purpose of correlating attack information by CSIRTs, statistics and trending information, etc.
5.レポート。このメッセージは、何もアクションがIODEFの期待クラスで要求されていないため、セキュリティインシデントを、報告するために使用されます。これは、など、のCSIRT、統計およびトレンド情報により、攻撃情報を相関する目的で使用することができます
6. IncidentQuery. This message is used to request information from a trusted RID system about an incident or incident type.
6. IncidentQuery。このメッセージは、インシデントまたはインシデントの種類に関する信頼RIDシステムからの情報を要求するために使用されます。
Additionally, there is an extension attribute to add new enumerated values:
さらに、新しい列挙値を追加するための拡張属性があります：
- ext-value. An escape value used to extend this attribute. See IODEF [RFC5070], Section 5.1.
- EXT-値。この属性を拡張するために使用するエスケープ値。 IODEF [RFC5070]、セクション5.1を参照してください。
MsgDestination
メッセージの送信先
REQUIRED. ENUM. The destination required at this level may either be the RID messaging system intended to receive the request, or, in the case of an Investigation request, the source of the incident. In the case of an Investigation request, the RID system that can help stop or mitigate the traffic may not be known, and the message may have to traverse RID messaging systems by following the routing path to the RID system closest to the source of the attack traffic. The Node element lists either the RID system or the IP address of the source, and the meaning of the value in the Node element is determined by the MsgDestination element.
必須。 ENUM。このレベルで必要な宛先のどちらか調査要求、インシデントのソースの場合には、要求を受信し、又はように意図RIDメッセージングシステムであってもよいです。調査依頼の場合には、トラフィックを停止または軽減することができるRIDシステムが知られていないかもしれない、そしてメッセージは、最も近い攻撃のソースにRIDシステムへのルーティング経路に従うことによってRIDメッセージングシステムを横断する必要がある可能性がありトラフィック。 Node要素は、RIDシステムまたはソースのIPアドレスのいずれかを一覧表示し、ノード要素の値の意味はMsgDestination要素によって決定されます。
1. RIDSystem. The address listed in the Node element of the RIDPolicy class is the next upstream RID system that will receive the RID message.
1. RIDSystem。 RIDPolicyクラスのノード要素に記載されているアドレスは、RIDメッセージを受信する次の上流RIDシステムです。
2. SourceOfIncident. The address listed in the Node element of the RIDPolicy class is the incident source. The IP address is used to determine the path of RID systems that will be used to find the closest RID system to the source of an attack in which the IP address used by the source is believed to be valid and an Investigation request message is used. This is not to be confused with the IncidentSource class, as the defined value here is from an initial trace or Investigation request, not the source used in a Result message.
2. SourceOfIncident。 RIDPolicyクラスのノード要素に記載されているアドレスは、入射光源です。 IPアドレスは、ソースによって使用されるIPアドレスが有効であると考えられているとの調査要求メッセージが使用されている攻撃の源に最も近いRIDシステムを見つけるために使用されるRIDシステムのパスを決定するために使用されます。ここで定義された値が初期トレースまたは調査要求ではなく、結果メッセージに使用されるソースからのものであるので、これは、IncidentSourceクラスと混同されるべきではありません。
3. ext-value. An escape value used to extend this attribute. See IODEF [RFC5070], Section 5.1.
3. EXT-値。この属性を拡張するために使用するエスケープ値。 IODEF [RFC5070]、セクション5.1を参照してください。
MsgType-ext
MsgType-EXT
OPTIONAL. STRING. A means by which to extend the MsgType attribute. See IODEF [RFC5070], Section 5.1.
オプション。 STRING。 MsgType属性を拡張する手段。 IODEF [RFC5070]、セクション5.1を参照してください。
MsgDestination-ext
MsgDestination-EXT
OPTIONAL. STRING. A means by which to extend the MsgDestination attribute. See IODEF [RFC5070], Section 5.1.
オプション。 STRING。 MsgDestination属性を拡張する手段。 IODEF [RFC5070]、セクション5.1を参照してください。
The RID schema declares a namespace of "iodef-rid-1.0" and registers it per [XMLnames]. Each IODEF-RID document MUST use the "iodef-rid-1.0" namespace in the top-level element RID-Document. It can be referenced as follows:
RIDスキーマは、「IODEF-RID-1.0」の名前空間を宣言し、[XMLNAMES]ごとに登録します。各IODEF-RID文書では、最上位の要素RID-文書で「IODEF-RID-1.0」の名前空間を使用しなければなりません。これは次のように参照することができます。
<RID-Document version="1.00" lang="en-US" xmlns:iodef-rid="urn:ietf:params:xml:ns:iodef-rid-1.0" xsi:schemaLocation=http://www.iana.org/assignments/xml-registry/ schema/iodef-rid-1.0.xsd">
<RID-ドキュメントバージョン= "1.00" LANG = "EN-US" のxmlns：IODEF-RID = "壷：IETF：のparams：XML：NS：IODEF-RID-1.0" のxsi：schemaLocationの=のhttp：//www.iana .ORG /割り当て/ XML-レジストリ/スキーマ/ IODEF-RID-1.0.xsd ">
The IODEF model is followed as specified in [RFC5070] for each of the RID message types. The RID schema is used in combination with IODEF documents to facilitate RID communications. Each message type varies slightly in format and purpose; hence, the requirements vary and are specified for each. All classes, elements, attributes, etc., that are defined in the IODEF-Document are valid in the context of a RID message; however, some listed as optional in IODEF are mandatory for RID as listed for each message type. The IODEF model MUST be fully implemented to ensure proper parsing of all RID messages.
RIDメッセージタイプごとに[RFC5070]で指定されるようにIODEFモデルが続きます。 RIDスキーマは、RIDの通信を容易にするためにIODEF文書との組み合わせで使用されています。各メッセージタイプは、形式及び目的にわずかに変化します。したがって、要件が異なり、それぞれに指定されています。 IODEF-文書で定義されているすべてのクラス、要素、属性などは、RIDメッセージのコンテキストで有効です。各メッセージタイプにリストされているようしかし、IODEFにオプションとして記載され、いくつかは、RIDのために必須です。 IODEFモデルは完全にすべてのRIDメッセージの適切な解析を確実にするために実装しなければなりません。
Note: The implementation of the RID system may obtain some of the information needed to fill in the content required for each message type automatically from packet input to the system or default information such as that used in the EventData class.
注：RIDシステムの実装は、EventDataのクラスで使用されるようなシステム又はデフォルト情報へパケット入力から自動的に各メッセージタイプのために必要なコンテンツを埋めるために必要な情報の一部を取得してもよいです。
Description: This message or document is sent to the network management station next in the upstream trace once the upstream source of the traffic has been identified.
説明：トラフィックの上流のソースが識別された後、このメッセージまたは文書は、上流トレース内の次のネットワーク管理ステーションに送信されます。
The following information is required for TraceRequest messages and is provided through:
次の情報はTraceRequestメッセージのために必要とされて提供されます。
RID Information:
RID情報：
RIDPolicy RID message type, IncidentID, and destination policy information
RIDPolicy RIDメッセージタイプ、IncidentID、および宛先ポリシー情報
IODEF Information:
IODEF情報：
Time Stamps (DetectTime, StartTime, EndTime, ReportTime).
タイムスタンプ（DetectTime、のStartTime、終了時間、ReportTime）。
Incident Identifier (Incident class, IncidentID). Trace number - used for multiple traces of a single incident; must be noted.
インシデント識別子（入射クラス、IncidentID）。トレース番号 - 単入射の複数のトレースに使用されます。注意しなければなりません。
Confidence rating of security incident (Impact and Confidence class).
セキュリティインシデント（インパクトと信頼クラス）の信頼格付け。
System class is used to list both the Source and Destination Information used in the attack and must note if the traffic is spoofed, thus requiring an upstream TraceRequest in RID.
Systemクラスは、攻撃に使用される送信元と宛先の両方の情報を一覧表示するために使用され、トラフィックがこのようにRIDの上流TraceRequestを必要とし、詐称されている場合に注意しなければなりません。
Expectation class should be used to request any specific actions to be taken close to the source.
期待クラスは、近い筋に取られる特定のアクションを要求するために使用する必要があります。
Path information of nested RID systems, beginning with the request originator used in the trace using IODEF EventData with category set to "infrastructure".
「インフラ」に設定されたカテゴリでIODEF EventDataのを使用して、トレースに使用する要求元で始まるネストされたRIDシステムのパス情報。
Event, Record, and RecordItem classes to include example packets and other information related to the incident. Note: Event information included here requires a second instance of EventData in addition to that used to convey NP path contact information.
イベントは、録音、及びRecordItemクラスは、例えば、パケットおよびインシデントに関連する他の情報を含むことができます。注意：ここに含まイベント情報はNPパスの連絡先情報を伝えるために使用されたものに加えて、EventDataの2番目のインスタンスが必要です。
Standards for encryption and digital signatures [RFC3275], [XMLsig]:
暗号化とデジタル署名のための規格[RFC3275]、[XMLsig]：
Digital signature from initiating RID system, passed to all systems in upstream trace using XML digital signature.
デジタル署名は、RIDシステムを開始するから、XMLデジタル署名を使用して、上流トレース内のすべてのシステムに渡されます。
A DDoS attack can have many sources, resulting in multiple traces to locate the sources of the attack. It may be valid to continue multiple traces for a single attack. The path information would enable the administrators to determine if the exact trace had already passed through a single network. The Incident Identifier must also be used to identify multiple TraceRequests from a single incident. If a single TraceRequest results in divergent paths of TraceRequests, a separate instance number MUST be used under the same IncidentID. The IncidentID instance number of IODEF can be used to correlate related incident data that is part of a larger incident.
DDoS攻撃は、攻撃のソースを見つけるために複数のトレースが得られ、多くのソースを有することができます。単一の攻撃のための複数のトレースを継続するために有効です。パス情報は、正確なトレースがすでに単一のネットワークを通過したかどうかを判断するために、管理者を可能にします。インシデント識別子はまた、単一の入射から複数TraceRequestsを識別するために使用されなければなりません。 TraceRequestsの発散経路における単一TraceRequest結果場合、別のインスタンスの数が同じIncidentID下で使用しなければなりません。 IODEFのIncidentIDインスタンス番号は、より大きな入射の一部である関連するインシデントデータを相関させるために使用することができます。
Description: This message is sent to the initiating RID system from the next upstream NP's RID system to provide information on the request status in the current network.
説明：このメッセージは、現在のネットワーク内の要求の状態に関する情報を提供するために、次のアップストリームNPのRIDシステムから開始RIDシステムに送信されます。
The following information is required for RequestAuthorization messages and is provided through:
次の情報はRequestAuthorizationメッセージのために必要とされて提供されます。
RID Information:
RID情報：
RIDPolicy RID message type, IncidentID, and destination policy information
RIDPolicy RIDメッセージタイプ、IncidentID、および宛先ポリシー情報
Status of TraceRequest RequestStatus class in RID schema
RIDスキーマ内TraceRequest RequestStatusクラスのステータス
Standards for encryption and digital signatures [RFC3275], [XMLsig]:
暗号化とデジタル署名のための規格[RFC3275]、[XMLsig]：
Digital signature of responding NP for authenticity of Trace Status Message, from the NP creating this message using XML digital signature.
XMLデジタル署名を使用してこのメッセージを作成NPから、トレースステータスメッセージの信憑性のためのNP応答のデジタル署名。
A message is sent back to the initiating RID system of the trace as status notification. This message verifies that the next RID system in the path has received the message from the previous system in the path. This message also verifies that the trace is now continuing, has stopped, or is pending in the next upstream RID system. The Pending status would be automatically generated after a 2-minute timeout without system-predefined or administrator action taken to approve or disapprove the trace continuance. If a Request is denied, the originator and sending peer (if they are not the same) MUST both receive the message. This enables the sending peer the option to take action to stop or mitigate the traffic as close to the source as possible.
メッセージがステータス通知などの微量の開始RIDシステムに送り返されます。このメッセージは、経路内の次のRIDシステムがパスに以前のシステムからメッセージを受信したことを検証します。このメッセージは、トレースが現在停止している、または次の上流RIDシステムに保留され、継続されていることを確認します。 Pending状態は、自動的にシステム・事前定義またはトレース継続を承認または却下するために取ら管理者の操作なしで2分のタイムアウトの後に生成されるであろう。要求が拒否された場合は、発信元と送信側ピアは、（それらが同じでない場合）の両方のメッセージを受信する必要があります。これは、送信側ピア停止または可能な限りソースに近いトラフィックを軽減するための行動を取るためのオプションを有効にします。
Description: This message indicates that the trace or investigation has been completed and provides the result. The Result message includes information on whether or not a source was found and the source information through the IncidentSource class. The Result information MUST go back to the originating RID system that began the investigation or trace. An NP may use any number of incident handling data sources to ascertain the true source of an attack. All of the possible information sources may or may not be readily tied into the RID communications system.
説明：このメッセージは、トレースまたは調査が完了したことを示し、その結果を提供します。結果メッセージはIncidentSourceクラスを介してソースが見つかったか否かに関する情報、ソース情報を含みます。結果情報は、調査や追跡を開始した元のRIDシステムに戻って行かなければなりません。 NPは、攻撃の真のソースを確認するためにインシデント処理のデータソースの任意の数を使用することができます。可能な情報源の全てが、または容易にRID通信システムに関連付けられてもしなくてもよいです。
The following information is required for Result messages and will be provided through:
以下の情報は、結果のメッセージのために必要とされて提供されます。
RID Information:
RID情報：
RIDPolicy RID message type, IncidentID, and destination policy information
RIDPolicy RIDメッセージタイプ、IncidentID、および宛先ポリシー情報
Incident Source The IncidentSource class of the RID schema is used to note if a source was identified and provide the source address(es).
RIDスキーマの事件出典ザ・IncidentSourceクラスは、ソースが確認された場合は注意して、ソースアドレスを提供するために使用されます。
IODEF Information:
IODEF情報：
Time Stamps (DetectTime, StartTime, EndTime, ReportTime).
タイムスタンプ（DetectTime、のStartTime、終了時間、ReportTime）。
Incident Identifier (Incident class, IncidentID). Trace number - used for multiple traces of a single incident; must be noted.
インシデント識別子（入射クラス、IncidentID）。トレース番号 - 単入射の複数のトレースに使用されます。注意しなければなりません。
Confidence rating of security incident (Impact and Confidence class).
セキュリティインシデント（インパクトと信頼クラス）の信頼格付け。
System class is used to list both the Source and Destination Information used in the attack and must note if the traffic is spoofed, thus requiring an upstream TraceRequest in RID.
Systemクラスは、攻撃に使用される送信元と宛先の両方の情報を一覧表示するために使用され、トラフィックがこのようにRIDの上流TraceRequestを必要とし、詐称されている場合に注意しなければなりません。
History class "atype" attribute is used to note any actions taken.
歴史の授業「ATYPE」属性が取られた行動を注意するために使用されます。
History class also notes any other background information including notes about the confidence level or rating of the result information.
歴史の授業も、結果情報の信頼度や評価に関するメモを含め、他の背景情報を指摘しています。
Path information of nested RID systems, beginning with the request originator used in the trace using IODEF EventData with category set to "infrastructure". The last NP listed is the NP that located the source of the traffic (the NP sending the Result message).
「インフラ」に設定されたカテゴリでIODEF EventDataのを使用して、トレースに使用する要求元で始まるネストされたRIDシステムのパス情報。記載されている最後のNPは、トラフィックの送信元（結果メッセージを送るNP）に位置NPです。
Event, Record, and RecordItem classes to include example packets and other information related to the incident (optional). Note: Event information included here requires a second instance of EventData in addition to that used to convey NP path contact information.
例えば、パケット及び入射（オプション）に関連する他の情報を含むイベント、レコード、およびRecordItemクラス。注意：ここに含まイベント情報はNPパスの連絡先情報を伝えるために使用されたものに加えて、EventDataの2番目のインスタンスが必要です。
Standards for encryption and digital signatures [RFC3275]:
暗号化とデジタル署名のための規格[RFC3275]：
Digital signature of source NP for authenticity of Result Message, from the NP creating this message using XML digital signature.
XMLデジタル署名を使用してこのメッセージを作成NPから結果メッセージの信憑性のためのソースNPのデジタル署名。
A message is sent back to the initiating RID system to notify the associated CSIRT that the source has been located. The actual source information may or may not be included, depending on the policy of the network in which the client or host is attached. Any action taken by the NP to act upon the discovery of the source of a trace should be included. The NP may be able to automate the adjustment of filters at their border router to block outbound access for the machine(s) discovered as a part of the attack. The filters may be comprehensive enough to block all Internet access until the host has taken the appropriate action to resolve any security issues or to rate-limit the ingress traffic as close to the source as possible.
メッセージは、ソースが配置されている関連CSIRTを通知する開始RIDシステムに返送されます。実際のソース情報は、またはクライアントまたはホストが接続されているネットワークのポリシーに応じて、含まれていてもいなくてもよいです。トレースのソースの発見に作用するNPで撮影した任意のアクションが含まれなければなりません。 NPは、攻撃の一部として発見されたマシン（複数可）のためのアウトバウンドアクセスをブロックするために彼らの境界ルータでフィルタの調整を自動化することができるかもしれません。ホストはできるだけ元に近い入力トラフィックをレート制限任意のセキュリティ問題を解決したりするための適切な措置を取ったまでのフィルタは、すべてのインターネットアクセスをブロックするのに十分な包括的かもしれません。
Security and privacy considerations discussed in Section 6 MUST be taken into account.
第6節で議論セキュリティとプライバシーの考慮事項を考慮に入れなければなりません。
Note: The History class has been expanded in IODEF to accommodate all of the possible actions taken as a result of a RID TraceRequest or Investigation request using the "iodef:atype", or action type, attribute. The History class should be used to note all actions taken close to the source of a trace or incident using the most appropriate option for the type of action along with a description. The "atype" attribute in the Expectation class can also be used to request an appropriate action when a TraceRequest or Investigation request is made.
注：「：ATYPE IODEF」、またはアクションの種類、属性歴史クラスが使用してRID TraceRequestや調査依頼の結果として採用可能なアクションのすべてに対応するためにIODEFに拡張されました。歴史の授業は、説明と一緒にアクションの種類に最も適したオプションを使用してトレースまたはインシデントの発生源に近い撮影したすべてのアクションを注意するために使用する必要があります。期待クラスの「ATYPE」属性もTraceRequestや調査要求が行われたときに適切なアクションを要求するために使用することができます。
Description: This message type is used when the source of the traffic is believed not to be spoofed. The purpose of the Investigation request message is to leverage the existing bilateral peer relationships in order to notify the network provider closest to the source of the valid traffic that some event occurred, which may be a security-related incident.
説明：トラフィックの送信元を詐称してはならないと考えられている場合に、このメッセージタイプが使用されています。調査要求メッセージの目的は、セキュリティ関連の事故であってもよい、いくつかのイベントが発生した正当なトラフィックのソースに最も近いネットワーク・プロバイダに通知するために、既存の二国間のピア関係を活用することです。
The following information is required for Investigation request messages and is provided through:
以下の情報は、調査要求メッセージのために必要とされて提供されます。
RID Information:
RID情報：
RID Policy RID message type, IncidentID, and destination policy information
RIDポリシーRIDメッセージタイプ、IncidentID、および宛先ポリシー情報
IODEF Information:
IODEF情報：
Time Stamps (DetectTime, StartTime, EndTime, ReportTime).
タイムスタンプ（DetectTime、のStartTime、終了時間、ReportTime）。
Incident Identifier (Incident class, IncidentID). Trace number - used for multiple traces of a single incident; must be noted.
インシデント識別子（入射クラス、IncidentID）。トレース番号 - 単入射の複数のトレースに使用されます。注意しなければなりません。
Confidence rating of security incident (Impact and Confidence class).
セキュリティインシデント（インパクトと信頼クラス）の信頼格付け。
System class is used to list both the Source and Destination Information used in the attack and must note if the traffic is spoofed, thus requiring an upstream TraceRequest in RID.
Systemクラスは、攻撃に使用される送信元と宛先の両方の情報を一覧表示するために使用され、トラフィックがこのようにRIDの上流TraceRequestを必要とし、詐称されている場合に注意しなければなりません。
Expectation class should be used to request any specific actions to be taken close to the source.
期待クラスは、近い筋に取られる特定のアクションを要求するために使用する必要があります。
Path information of nested RID systems, beginning with the request originator used in the trace using IODEF EventData with category set to "infrastructure".
「インフラ」に設定されたカテゴリでIODEF EventDataのを使用して、トレースに使用する要求元で始まるネストされたRIDシステムのパス情報。
Event, Record, and RecordItem classes to include example packets and other information related to the incident. Note: Event information included here requires a second instance of EventData in addition to that used to convey NP path contact information.
イベントは、録音、及びRecordItemクラスは、例えば、パケットおよびインシデントに関連する他の情報を含むことができます。注意：ここに含まイベント情報はNPパスの連絡先情報を伝えるために使用されたものに加えて、EventDataの2番目のインスタンスが必要です。
Standards for encryption and digital signatures [RFC3275]:
暗号化とデジタル署名のための規格[RFC3275]：
Digital signature from initiating RID system, passed to all systems in upstream trace using XML digital signature.
デジタル署名は、RIDシステムを開始するから、XMLデジタル署名を使用して、上流トレース内のすべてのシステムに渡されます。
Security considerations would include the ability to encrypt [XMLencrypt] the contents of the Investigation request message using the public key of the destination RID system. The incident number would increase as if it were a TraceRequest message in order to ensure uniqueness within the system. The relaying peers would also append their Autonomous System (AS) or RID system information as the request message was relayed along the web of network providers so that the Result message could utilize the same path as the set of trust relationships for the return message, thus indicating any actions taken. The request would also be recorded in the state tables of both the initiating and destination NP RID systems. The destination NP is responsible for any actions taken as a result of the request in adherence to any service level agreements or internal policies. The NP should confirm that the traffic actually originated from the suspected system before taking any action and confirm the reason for the request. The request may be sent directly to a known RID system or routed by the source address of the attack using the message destination of RIDPolicy, SourceOfIncident.
セキュリティの考慮事項は、先RIDシステムの公開鍵を使用して、[XMLencrypt]調査要求メッセージの内容を暗号化する機能が含まれます。それはシステム内で一意性を保証するためにTraceRequestメッセージであるかのように入射番号が増加するであろう。結果メッセージは、このように、リターン・メッセージの信頼関係のセットとして同じパスを利用することができるように、要求メッセージがネットワークプロバイダのウェブに沿って中継されたとして、中継ピアはまた、彼らの自律システム（AS）またはRIDシステム情報を追加します撮影したすべてのアクションを示しています。要求は、両方の開始および宛先NP RIDシステムの状態テーブルに記録されることになります。先NPは、任意のサービスレベルアグリーメントまたは内部ポリシーの遵守に要求の結果として取られた行動の原因です。 NPは、トラフィックが実際にどんな行動をとる前に疑いのシステムに由来することを確認し、要求の理由を確認する必要があります。要求は、既知のRIDシステムに直接送信又はRIDPolicy、SourceOfIncidentのメッセージ宛先を使用して、攻撃のソースアドレスによりルーティングすることができます。
Note: All intermediate parties must be able to view RIDPolicy information in order to properly direct RID messages.
注：すべての中間当事者が適切に直接RIDメッセージに順にRIDPolicy情報を表示することができなければなりません。
Description: This message or document is sent to a RID system to provide a report of a security incident. This message does not require any actions to be taken, except to file the report on the receiving RID system or associated database.
説明：このメッセージやドキュメントは、セキュリティインシデントの報告を提供するために、RIDシステムに送信されます。このメッセージは、受信RIDシステムまたは関連するデータベースに関する報告書を提出する以外の任意のアクションが、取られる必要はありません。
The following information is required for Report messages and will be provided through:
以下の情報は、レポートメッセージのために必要とされて提供されます。
RID Information:
RID情報：
RID Policy RID message type, IncidentID, and destination policy information
RIDポリシーRIDメッセージタイプ、IncidentID、および宛先ポリシー情報
The following data is recommended if available and can be provided through:
以下のデータが利用できる場合に推奨されて提供することができます。
IODEF Information:
IODEF情報：
Time Stamps (DetectTime, StartTime, EndTime, ReportTime).
タイムスタンプ（DetectTime、のStartTime、終了時間、ReportTime）。
Incident Identifier (Incident class, IncidentID). Trace number - used for multiple traces of a single incident; must be noted.
インシデント識別子（入射クラス、IncidentID）。トレース番号 - 単入射の複数のトレースに使用されます。注意しなければなりません。
Confidence rating of security incident (Impact and Confidence class).
セキュリティインシデント（インパクトと信頼クラス）の信頼格付け。
System class is used to list both the Source and Destination Information used in the attack.
Systemクラスは、攻撃に使用される送信元と宛先の両方の情報を一覧表示するために使用されます。
Event, Record, and RecordItem classes to include example packets and other information related to the incident (optional).
例えば、パケット及び入射（オプション）に関連する他の情報を含むイベント、レコード、およびRecordItemクラス。
Standards for encryption and digital signatures [RFC3275]:
暗号化とデジタル署名のための規格[RFC3275]：
Digital signature from initiating RID system, passed to all systems receiving the report using XML digital signature.
RIDシステムを開始することから、デジタル署名は、XMLデジタル署名を使用してレポートを受信するすべてのシステムに渡されます。
Security considerations would include the ability to encrypt [XMLencrypt] the contents of the Report message using the public key of the destination RID system. Senders of a Report message should note that the information may be used to correlate security incident information for the purpose of trending, pattern detection, etc., and may be shared with other parties unless otherwise agreed upon with the receiving RID system. Therefore, sending parties of a Report message may obfuscate or remove destination addresses or other sensitive information before sending a Report message. A Report message may be sent either to file an incident report or in response to an IncidentQuery, and data sensitivity must be considered in both cases. The NP path information is not necessary for this message, as it will be communicated directly between two trusted RID systems.
セキュリティの考慮事項は、先RIDシステムの公開鍵を使用して、[XMLencrypt]レポートメッセージの内容を暗号化する機能が含まれます。報告メッセージの送信者は、情報が等傾向、パターン検出の目的のために、セキュリティインシデント情報を相関させるために使用することができ、そうでなければ受信RIDシステムに合意しない限り、他の関係者と共有することができることに注意すべきです。そのため、レポートメッセージの送信者がレポートメッセージを送信する前に宛先アドレスやその他の機密情報を難読化または削除することができます。報告メッセージは、インシデントレポートをファイルまたはIncidentQueryに応答するか送信されてもよいし、データの機密性は、両方の場合に考慮しなければなりません。それは、2つの信頼RIDシステム間で直接通信するようにNP経路情報は、このメッセージのために必要ではありません。
Description: The IncidentQuery message is used to request incident information from a trusted RID system. The request can include the incident number, if known, or detailed information about the incident. If the incident number is known, the Report message containing the incident information can easily be returned to the trusted requestor using automated methods. If an example packet or other unique information is included in the IncidentQuery, the return report may be automated; otherwise, analyst intervention may be required.
説明：IncidentQueryメッセージが信頼RIDシステムからの入射情報を要求するために使用されます。既知の、またはインシデントに関する詳細な情報場合、要求は、インシデント番号を含むことができます。インシデント番号が分かっている場合は、インシデント情報を含むレポートメッセージを簡単に自動化された方法を使用して、信頼要求元に戻すことができます。例えば、パケットまたはその他の固有情報がIncidentQueryに含まれている場合は、戻り値のレポートを自動化することができます。それ以外の場合は、アナリストの介入が必要になることがあります。
The following information must be used for an IncidentQuery message and is provided through:
以下の情報はIncidentQueryメッセージのために使用されなければならないとを介して提供されます。
RID Information:
RID情報：
RID Policy RID message type, IncidentID, and destination policy information
RIDポリシーRIDメッセージタイプ、IncidentID、および宛先ポリシー情報
IODEF Information (optional):
IODEF情報（オプション）：
Time Stamps (DetectTime, StartTime, EndTime, ReportTime).
タイムスタンプ（DetectTime、のStartTime、終了時間、ReportTime）。
Incident Identifier (Incident class, IncidentID). Trace number - used for multiple traces of a single incident; must be noted.
インシデント識別子（入射クラス、IncidentID）。トレース番号 - 単入射の複数のトレースに使用されます。注意しなければなりません。
Confidence rating of security incident (Impact and Confidence class).
セキュリティインシデント（インパクトと信頼クラス）の信頼格付け。
System class is used to list both the Source and Destination Information used in the attack.
Systemクラスは、攻撃に使用される送信元と宛先の両方の情報を一覧表示するために使用されます。
Event, Record, and RecordItem classes to include example packets and other information related to the incident (optional).
例えば、パケット及び入射（オプション）に関連する他の情報を含むイベント、レコード、およびRecordItemクラス。
Standards for encryption and digital signatures [RFC3275]:
暗号化とデジタル署名のための規格[RFC3275]：
Digital signature from initiating RID system, passed to all systems receiving the IncidentQuery using XML digital signature. If a packet is not included, the signature may be based on the RIDPolicy class.
RIDシステムを開始することから、デジタル署名は、XMLデジタル署名を使用してIncidentQueryを受けるすべてのシステムに渡されます。パケットが含まれていない場合、署名はRIDPolicyクラスに基づいてもよいです。
The proper response to the IncidentQuery message is a Report message. Multiple incidents may be returned for a single query if an incident type is requested. In this case, the receiving system would send an IODEF document containing multiple incidents or all instances of an incident. The system sending the reply may pre-set a limit to the number of documents returned in one report. The recommended limit is 5, to prevent the documents from becoming too large. Other transfer methods may be suited better than RID for large transfers of data. The Confidence rating may be used in the IncidentQuery message to select only incidents with an equal or higher Confidence rating than what is specified. This may be used for cases when information is gathered on a type of incident but not on specifics about a single incident. Source and Destination Information may not be needed if the IncidentQuery is intended to gather data about a specific type of incident as well.
IncidentQueryメッセージへの適切な応答は、レポートメッセージです。入射型が要求された場合、複数のインシデントは単一のクエリに対して返されてもよいです。この場合、受信システムは、複数のインシデントまたはインシデントのすべてのインスタンスを含むIODEF文書を送ることになります。応答を送信システムは、1つのレポートで返されるドキュメントの数に制限事前に設定することができます。推奨制限が大きくなりすぎるからドキュメントを防ぐために、5です。他の転送方法は、大量のデータ転送のためのRIDより適してもよいです。信頼評価が指定されたものと同等またはより高い信頼評価のみインシデントを選択するIncidentQueryメッセージで使用されてもよいです。情報は、インシデントの種類ではなく、単一の事件について詳細にまとめられているときにケースに使用することができます。 IncidentQueryも同様に事件の特定のタイプに関するデータを収集するために意図されている場合送信元と送信先の情報が必要とされなくてもよいです。
The following section outlines the communication flows for RID and also provides examples of messages. The proper response to a TraceRequest is a RequestAuthorization message. The RequestAuthorization message lets the requestor know if the trace will continue through the next upstream network. If there is a problem with the request, such as a failure to validate the digital signature or decrypt the request, a RequestAuthorization message MUST be sent to the requestor and the downstream peer (if they are not one and the same) providing the reason why the message could not be processed. Assuming that the trace continued, additional TraceRequests with the response of a RequestAuthorization message would occur passing the request upstream in the path to the source of the traffic related to the incident. Once a source is found, a Result message is sent to the originator of the trace, as determined by the NP path information provided through the document instance of EventData, where contact is set to "infrastructure". The NP path information is also used when sending the RequestAuthorization messages to the first entry (the trace originator) and the last nested entry (the downstream peer). The Result message is encrypted
次のセクションでは、通信は、RIDのために流れても、メッセージの例を概説しています。 TraceRequestへの適切な応答はRequestAuthorizationメッセージです。 RequestAuthorizationメッセージは、トレースが次のアップストリームネットワークを通じて継続する場合は、要求者が知ることができます。このようなデジタル署名を検証または要求を復号化に失敗として要求に問題がある場合（これらは、同一でない場合）、RequestAuthorizationメッセージは、理由を提供要求者と下流のピアに送信する必要がありますメッセージを処理できませんでした。トレースが継続すると仮定すると、RequestAuthorizationメッセージの応答と追加TraceRequestsは、インシデントに関連するトラフィックのソースへのパスの上流要求を渡す生じます。ソースが検出されると接点が「インフラストラクチャ」に設定されているEventDataの、のドキュメント・インスタンスを介して提供さNP経路情報によって決定されるように、結果メッセージは、トレースの発信者に送信されます。最初のエントリ（トレース元）と最後のネストされたエントリ（下流ピア）にRequestAuthorizationメッセージを送信するときNPパス情報も使用されます。結果メッセージは暗号化されています
[XMLencrypt] for the originator providing information about the incident source and any actions taken. If the originator fails to decrypt or authenticate the Result message, a RequestAuthorization message is sent in response; otherwise, no return message is sent. If a RequestAuthorization message is sent with the RequestStatus set to Denied, a downstream peer receiving this message may choose to take action to stop or mitigate the traffic at that point in the network, as close to the source as possible. If the downstream peer chooses this option, it would send a Result message to the trace originator.
【XMLencrypt】発信するための入射光源と取られたアクションに関する情報を提供します。発信者が結果メッセージを復号化または認証に失敗した場合、RequestAuthorizationメッセージが応答して送信されます。そうでない場合は、ノーリターンメッセージは送信されません。 RequestStatus拒否に設定しRequestAuthorizationメッセージが送信された場合、このメッセージを受信した下流ピアはできるだけソースの近くに、停止またはネットワーク内のその時点でのトラフィックを軽減するために行動を取ることを選択してもよいです。下流ピアは、このオプションを選択した場合、それはトレース元に結果メッセージを送信します。
Note: For each example listed below, [RFC5735] addresses were used. Assume that each IP address listed is actually a separate network range held by different NPs. Addresses were used from /27 network ranges.
注：下記の各例えば、[RFC5735]アドレスを使用しました。リストされた各IPアドレスは、実際に異なるのNPに保持された別のネットワーク範囲であると仮定する。アドレスは/ 27ネットワークの範囲から使用されました。
The diagram below outlines the RID TraceRequest communication flow between RID systems on different networks tracing an attack.
以下の図は、攻撃をトレースする異なるネットワーク上のRIDシステム間RID TraceRequest通信フローを概説します。
Attack Dest NP-1 NP-2 NP-3 Attack Src
あったｃｋ でｓｔ んＰー１ んＰー２ んＰー３ あったｃｋ Ｓｒｃ
1. Attack | Attack reported | detected
1.攻撃|アタック報告|検出されました
3. Locate origin through upstream NP
3.上流NPを介して原点を探し
4. o---TraceRequest----->
5. Trace Initiated
5.トレース開始
7. Locate origin through upstream NP
7.上流NPを通じて起源を見つけ
8. o---TraceRequest--->
10. <----------RequestAuthorization----o
<---RequestAuth---o
11. Locate attack source on network X
11.ネットワークX上の攻撃元を見つけて
12. <------------Result----------------o
Figure 7. TraceRequest Communication Flow
図7. TraceRequest通信フロー
Before a trace is initiated, the RID system should verify if an instance of the trace or a similar request is not active. The traces may be resource intensive; therefore, providers need to be able to detect potential abuse of the system or unintentional resource drains. Information such as the Source and Destination Information, associated packets, and the incident may be desirable to maintain for a period of time determined by administrators.
トレースが開始される前に、微量のインスタンスまたは同様の要求がアクティブでない場合は、RIDシステムが確認する必要があります。トレースは資源集約することができます。そのため、プロバイダは、システムまたは意図しないリソースドレインの潜在的な虐待を検出できるようにする必要があります。そのようなソースおよび宛先情報などの情報、関連するパケット、およびインシデントは、管理者によって決定される時間の間維持することが望ましい場合があります。
The communication flow demonstrates that a RequestAuthorization message is sent to both the downstream peer and the original requestor. If a TraceRequest is denied, the downstream peer has the option to take an action and respond with a Result message. The originator of the request may follow up with the downstream peer of the NP involved using an Investigation request to ensure that an action is taken if no response is received. Nothing precludes the originator of the request from initiating a new TraceRequest bypassing the NP that denied the request, if a trace is needed beyond that point. Another option may be for the initiator to send an Investigation request to an NP upstream of the NP that denied the request if enough information was gathered to discern the true source of the attack traffic from the incident handling information.
通信フローはRequestAuthorizationメッセージが下流ピアと元の要求者の両方に送信されることを示します。 TraceRequestが拒否された場合、下流ピアは行動を取ると結果のメッセージで応答するためのオプションがあります。要求の発信元は、応答が受信されない場合、アクションが取られることを保証するために、調査要求を使用して関与するNPの下流ピアとフォローアップすることができます。何もトレースがそのポイントを超えて必要とされている場合は、要求を拒否しましたNPをバイパス新しいTraceRequestの開始からの要求の発信元を排除しません。別のオプションは、十分な情報が情報の取り扱いインシデントからの攻撃トラフィックの真のソースを識別するために収集された場合は、要求を拒否されたNPのNPの上流に調査要求を送信するイニシエータためのものであってもよいです。
The example listed is of a TraceRequest based on the incident report example from the IODEF document. The RID extension classes were included as appropriate for a TraceRequest message using the RIDPolicy class. The example given is that of a CSIRT reporting a DoS attack in progress to the upstream NP. The request asks the next NP to continue the trace and have the traffic mitigated closer to the source of the traffic.
列挙された例では、IODEF文書から入射報告例に基づいTraceRequestです。 RID拡張クラスはRIDPolicyクラスを使用TraceRequestメッセージに応じて含まれていました。所与の例では、上流のNPへの進行中のDoS攻撃を報告CSIRTのものです。要求は次のNPは、トレースを継続するために、トラフィックが近いトラフィックの送信元に緩和されている要求します。
In the following example, use of [XMLsig] to generate digital signatures does not currently provide digest algorithm agility, as [XMLsig] only supports SHA-1. A future version of [XMLsig] may support additional digest algorithms to support digest algorithm agility.
次の例では、デジタル署名を生成する[XMLsig]の使用は、現在[XMLsig]のみSHA-1をサポートするように、アルゴリズムの敏捷性を消化提供しません。 【XMLsig]の将来のバージョンは、アルゴリズムアジリティを消化サポートするための追加のダイジェストアルゴリズムをサポートすることができます。
<iodef-rid:RID xmlns:iodef-rid="urn:ietf:params:xml:ns:iodef-rid-1.0" xmlns:iodef="urn:ietf:params:xml:ns:iodef-1.0"> <iodef-rid:RIDPolicy MsgType="TraceRequest" MsgDestination="RIDSystem"> <iodef-rid:PolicyRegion region="IntraConsortium"/> <iodef:Node> <iodef:Address category="ipv4-addr">192.0.2.3</iodef:Address> </iodef:Node> <iodef-rid:TrafficType type="Attack"/> <iodef:IncidentID name="CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN#207-1 </iodef:IncidentID> </iodef-rid:RIDPolicy> </iodef-rid:RID>
<IODEF-RID：RIDのxmlns：IODEF-RID = "壷：IETF：のparams：XML：NS：IODEF-RID-1.0" のxmlns：IODEF = "壷：IETF：のparams：XML：NS：IODEF-1.0"> < IODEF-RID：RIDPolicyのMsgType = "TraceRequest" MsgDestination = "RIDSystem"> <IODEF-RID：PolicyRegion地域= "IntraConsortium" /> <IODEF：ノード> <IODEF：住所カテゴリ= "のIPv4-addrに"> 192.0.2.3 < / IODEF：アドレス> </ IODEF：ノード> <IODEF-RID：TrafficTypeタイプ= "アタック" /> <IODEF：IncidentID名= "CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN＃207- 1 </ IODEF：IncidentID> </ IODEF-RID：RIDPolicy> </ IODEF-RID：RID>
<!-- IODEF-Document accompanied by the above RID -->
<！ - 上記のRIDを伴うIODEF - ドキュメント - >
<iodef:IODEF-Document version="1.00" xmlns:iodef="urn:ietf:params:xml:ns:iodef-1.0"> <iodef:Incident restriction="need-to-know" purpose="traceback"> <iodef:IncidentID name="CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN#207-1 </iodef:IncidentID> <iodef:DetectTime>2004-02-02T22:49:24+00:00</iodef:DetectTime> <iodef:StartTime>2004-02-02T22:19:24+00:00</iodef:StartTime> <iodef:ReportTime>2004-02-02T23:20:24+00:00</iodef:ReportTime> <iodef:Description>Host involved in DoS attack</iodef:Description> <iodef:Assessment> <iodef:Impact severity="low" completion="failed" type="dos"/> </iodef:Assessment> <iodef:Contact role="creator" type="organization"> <iodef:ContactName>Constituency-contact for 192.0.2.35 </iodef:ContactName> <iodef:Email>Constituency-contact@192.0.2.35</iodef:Email> </iodef:Contact> <iodef:EventData> <iodef:Flow> <iodef:System category="source"> <iodef:Node> <iodef:Address category="ipv4-addr">192.0.2.35 </iodef:Address> </iodef:Node> <iodef:Service> <iodef:port>38765</iodef:port> </iodef:Service> </iodef:System> <iodef:System category="target"> <iodef:Node> <iodef:Address category="ipv4-addr">192.0.2.67 </iodef:Address> </iodef:Node> <iodef:Service> <iodef:port>80</iodef:port> </iodef:Service> </iodef:System> </iodef:Flow> <iodef:Expectation severity="high" action="rate-limit-host"> <iodef:Description> Rate-limit traffic close to source </iodef:Description> </iodef:Expectation>
<IODEF：IODEF-ドキュメントバージョン= "1.00" のxmlns：IODEF = "壷：IETF：のparams：XML：NS：IODEF-1.0"> <IODEF：インシデント制限= "知っておくべき" 目的= "トレースバック"> <IODEF：IncidentID名= "CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN＃207-1 </ IODEF：IncidentID> <IODEF：DetectTime> 2004-02-02T22：49：24 + 00： 00 </ IODEF：DetectTime> <IODEF：のStartTime> 2004-02-02T22：19：24 + 00：00 </ IODEF：のStartTime> <IODEF：ReportTime> 2004-02-02T23：20：24 + 00：00 < / IODEF：ReportTime> <IODEF：DoS攻撃</ IODEFに関与説明>ホスト：説明> <IODEF：評価> <IODEF：衝撃の重大度= "低" 完了=タイプ= "ドス" /> </ IODEFを "失敗" [担当> <IODEF：メール> Constituency-contact@192.0.2.35 </：評価> <IODEF：連絡先の役割= "生みの親" タイプ= "組織"> <IODEF：</ IODEF 192.0.2.35のための担当者名>選挙接触IODEF：メール> </ IODEF：連絡先> <IODEF：EventDataの> <IODEF：フロー> <IODEF：Systemカテゴリ= "ソース"> <IODEF：ノード> <IODEF：住所カテゴリ= "のIPv4-addrに"> 192.0.2.35 </ IODEF：アドレス> </ IODEF：ノード> <IODEF：サービス> <IODEF：ポート> 38765 </ IODEF：ポート> </ IODEF：サービス> </ IODEF：システム> <IODEF：Systemカテゴリ= "ターゲット"> <IODEF：ノード> <IODEF：住所カテゴリ= "のIPv4-addrに"> 192.0.2.67 </ IODEF：アドレス> </ IODEF：ノード> <IODEF：サービス> <IODEF：ポート> 80 </ IODEF：ポート> </ IODEF：サービス> </ IODEF：システム> </ IODEF：フロー> <IODEF：期待の重大度= "高" アクション= 「レート制限ホスト」> <IODEF：クローズソース</ IODEFに説明>レート制限トラフィック：説明> </ IODEF：期待>
<iodef:Record> <iodef:RecordData> <iodef:Description> The IPv4 packet included was used in the described attack </iodef:Description> <iodef:RecordItem dtype="ipv4-packet">450000522ad9 0000ff06c41fc0a801020a010102976d0050103e020810d9 4a1350021000ad6700005468616e6b20796f7520666f7220 6361726566756c6c792072656164696e6720746869732052 46432e0a </iodef:RecordItem> </iodef:RecordData> </iodef:Record> </iodef:EventData> <iodef:History> <iodef:HistoryItem> <iodef:DateTime>2001-09-14T08:19:01+00:00</iodef:DateTime> <iodef:IncidentID name="CSIRT-FOR-OUR-DOMAIN"> CSIRT-FOR-OUR-DOMAIN#207-1 </iodef:IncidentID> <iodef:Description> Notification sent to next upstream NP closer to 192.0.2.35 </iodef:Description> </iodef:HistoryItem> </iodef:History> </iodef:Incident> </iodef:IODEF-Document>
<IODEF：レコード> <IODEF：たRecordData> <IODEF：説明> IPv4パケットに含まれる説明攻撃で使用された</ IODEF：概要> <IODEF：RecordItem DTYPE = "IPv4のパケット"> 450000522ad9 0000ff06c41fc0a801020a010102976d0050103e020810d9 4a1350021000ad6700005468616e6b20796f7520666f7220 6361726566756c6c792072656164696e6720746869732052 46432e0a </ IODEF：RecordItem> </ IODEF：たRecordData> </ IODEF：レコード> </ IODEF：EventDataの> <IODEF：歴史> <IODEF：HistoryItem> <IODEF：日時> 2001-09-14T08：19：01 + 00：00 </ IODEF：日時> <IODEF：IncidentID名= "CSIRT-FOR-OUR-DOMAIN"> CSIRT-FOR-OUR-DOMAIN＃207-1 </ IODEF：IncidentID> <IODEF：説明>次の上流NPに送信される通知192.0.2.35に近い</ IODEF：説明> </ IODEF：HistoryItem> </ IODEF：歴史> </ IODEF：インシデント> </ IODEF：IODEF-ドキュメント>
<!-- Digital signature accompanied by above RID and IODEF -->
<！ - 上記のRIDとIODEFを伴うデジタル署名 - >
<Envelope xmlns="urn:envelope" xmlns:iodef="urn:ietf:params:xml:ns:iodef-1.0" xmlns:iodef-rid="urn:ietf:params:xml:ns:iodef-rid-1.0"> <iodef:IODEF-Document> <iodef:Incident> <iodef:EventData> <iodef:Record> <iodef:RecordData> <iodef:RecordItem type="ipv4-packet">450000522ad9 0000ff06c41fc0a801020a010102976d0050103e020810d9 4a1350021000ad6700005468616e6b20796f7520666f7220 6361726566756c6c792072656164696e6720746869732052 46432e0a </iodef:RecordItem> </iodef:RecordData> </iodef:Record> </iodef:EventData> </iodef:Incident> </iodef:IODEF-Document> <Signature xmlns="http://www.w3.org/2000/09/xmldsig#"> <SignedInfo> <CanonicalizationMethod Algorithm="http://www.w3.org/TR/2001/ REC-xml-c14n-20010315#WithComments"/> <SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#dsa-sha1"/> <Reference URI=""> <Transforms> <Transform Algorithm= "http://www.w3.org/2000/09/xmldsig#enveloped-signature"/> </Transforms> <DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/> <DigestValue>KiI5+6SnFAs429VNwsoJjHPplmo=</DigestValue> </Reference> </SignedInfo> <SignatureValue> VvyXqCzjoW0m2NdxNeToXQcqcSM80W+JMW+Kn01cS3z3KQwCPeswzg== </SignatureValue>
<封筒のxmlns = "壷：封筒" のxmlns：IODEF = "壷：IETF：のparams：XML：NS：IODEF-1.0" のxmlns：IODEF-RID = "壷：IETF：のparams：XML：NS：IODEF-RID-1.0 "> <IODEF：IODEF-文献> <IODEF：インシデント> <IODEF：EventDataの> <IODEF：レコード> <IODEF：たRecordData> <IODEF：RecordItemタイプ=" IPv4のパケット "> 450000522ad9 0000ff06c41fc0a801020a010102976d0050103e020810d9 4a1350021000ad6700005468616e6b20796f7520666f7220 6361726566756c6c792072656164696e6720746869732052 46432e0a </ IODEF。 RecordItem> </ IODEF：たRecordData> </ IODEF：レコード> </ IODEF：EventDataの> </ IODEF：インシデント> </ IODEF：IODEF-文献> <署名のxmlns = "http://www.w3.org/2000 / 09 / XMLDSIG＃ "> <たSignedInfo> <CanonicalizationMethodにアルゴリズム=" http://www.w3.org/TR/2001/ REC-XML-C14N-20010315＃WithComments "/> <のSignatureMethodアルゴリズム=" のhttp：// www.w3.org/2000/09/xmldsig#dsa-sha1 "/> <参考URI =" "> <トランスフォーム> <アルゴリズムを変革=" http://www.w3.org/2000/09/xmldsig#enveloped -signature "/> </トランスフォーム> <DigestMethodアルゴリズム=" http://www.w3.org/2000/09/xmldsig#sha1" /> <DigestValue> KII 5 + 6SnFAs429VNwsoJjHPplmo = </ DigestValue> </リファレンス> </たSignedInfo> <SignatureValue> VvyXqCzjoW0m2NdxNeToXQcqcSM80W + JMW + Kn01cS3z3KQwCPeswzg == </ SignatureValue>
<KeyInfo> <KeyValue> <DSAKeyValue> <P>/KaCzo4Syrom78z3EQ5SbbB4sF7ey80etKII864WF64B81uRpH5t9j QTxeEu0ImbzRMqzVDZkVG9xD7nN1kuFw==</P> <Q>li7dzDacuo67Jg7mtqEm2TRuOMU=</Q> <G>Z4Rxsnqc9E7pGknFFH2xqaryRPBaQ01khpMdLRQnG541Awtx/XPaF5 Bpsy4pNWMOHCBiNU0NogpsQW5QvnlMpA==</G> <Y>VFWTD4I/aKni4YhDyYxAJozmj1iAzPLw9Wwd5B+Z9J5E7lHjcAJ+bs HifTyYdnj+roGzy4o09YntYD8zneQ7lw==</Y> </DSAKeyValue> </KeyValue> </KeyInfo> </Signature> </Envelope>
<のKeyInfo> <です。KeyValue> <DSAKeyValue> <P> / KaCzo4Syrom78z3EQ5SbbB4sF7ey80etKII864WF64B81uRpH5t9j QTxeEu0ImbzRMqzVDZkVG9xD7nN1kuFw == </ P> <Q> li7dzDacuo67Jg7mtqEm2TRuOMU = </ Q> <G> Z4Rxsnqc9E7pGknFFH2xqaryRPBaQ01khpMdLRQnG541Awtx / XPaF5 Bpsy4pNWMOHCBiNU0NogpsQW5QvnlMpA == </ G> <Y> VFWTD4I / aKni4YhDyYxAJozmj1iAzPLw9Wwd5B + Z9J5E7lHjcAJ + BS HifTyYdnj + roGzy4o09YntYD8zneQ7lw == </ Y> </ DSAKeyValue> </です。KeyValue> </のKeyInfo> </署名> </エンベロープ>
The example RequestAuthorization message is in response to the TraceRequest message listed above. The NP that received the request is responding to approve the trace continuance in their network.
例えばRequestAuthorizationメッセージは、上記TraceRequestメッセージに応答します。依頼を受けたNPは、ネットワーク中の微量継続を承認する応答しています。
<iodef-rid:RID xmlns:iodef-rid="urn:ietf:params:xml:ns:iodef-rid-1.0" xmlns:iodef="urn:ietf:params:xml:ns:iodef-1.0"> <iodef-rid:RIDPolicy MsgType="RequestAuthorization" MsgDestination="RIDSystem"> <iodef-rid:PolicyRegion region="IntraConsortium"/> <iodef:Node> <iodef:Address category="ipv4-addr">192.0.2.67</iodef:Address> </iodef:Node> <iodef-rid:TrafficType type="Attack"/> <iodef:IncidentID name="CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN#207-1 </iodef:IncidentID> </iodef-rid:RIDPolicy> <iodef-rid:RequestStatus AuthorizationStatus="Approved"/> </iodef-rid:RID>
<IODEF-RID：RIDのxmlns：IODEF-RID = "壷：IETF：のparams：XML：NS：IODEF-RID-1.0" のxmlns：IODEF = "壷：IETF：のparams：XML：NS：IODEF-1.0"> < IODEF-RID：RIDPolicyのMsgType = "RequestAuthorization" MsgDestination = "RIDSystem"> <IODEF-RID：PolicyRegion地域= "IntraConsortium" /> <IODEF：ノード> <IODEF：住所カテゴリ= "のIPv4-addrに"> 192.0.2.67 < / IODEF：アドレス> </ IODEF：ノード> <IODEF-RID：TrafficTypeタイプ= "アタック" /> <IODEF：IncidentID名= "CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN＃207- 1 </ IODEF：IncidentID> </ IODEF-RID：RIDPolicy> <IODEF-RID：RequestStatus AuthorizationStatus = "承認済み" /> </ IODEF-RID：RID>
The example Result message is in response to the TraceRequest listed above. This message type only comes after a RequestAuthorization within the TraceRequest flow of messages. It may be a direct response to an Investigation request. This message provides information about the source of the attack and the actions taken to mitigate the traffic.
例えば、結果メッセージは、上記TraceRequestに応答します。このメッセージタイプは、メッセージのみのTraceRequestフロー内RequestAuthorization後に来ます。これは、調査要求に直接応答することがあります。このメッセージは、攻撃やトラフィックを軽減するために取られた行動のソースに関する情報を提供します。
<iodef-rid:RID xmlns:iodef-rid="urn:ietf:params:xml:ns:iodef-rid-1.0" xmlns:iodef="urn:ietf:params:xml:ns:iodef-1.0"> <iodef-rid:RIDPolicy MsgType="Result" MsgDestination="RIDSystem"> <iodef-rid:PolicyRegion region="IntraConsortium"/> <iodef:Node> <iodef:Address category="ipv4-addr">192.0.2.67</iodef:Address> </iodef:Node> <iodef-rid:TrafficType type="Attack"/> <iodef:IncidentID name="CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN#207-1 </iodef:IncidentID> </iodef-rid:RIDPolicy> <iodef-rid:IncidentSource> <iodef-rid:SourceFound>true</iodef-rid:SourceFound> <iodef:Node> <iodef:Address category="ipv4-addr">192.0.2.37</iodef:Address> </iodef:Node> </iodef-rid:IncidentSource> </iodef-rid:RID>
<IODEF-RID：RIDのxmlns：IODEF-RID = "壷：IETF：のparams：XML：NS：IODEF-RID-1.0" のxmlns：IODEF = "壷：IETF：のparams：XML：NS：IODEF-1.0"> < IODEF-RID：RIDPolicyのMsgType = "結果" MsgDestination = "RIDSystem"> <IODEF-RID：PolicyRegion地域= "IntraConsortium" /> <IODEF：ノード> <IODEF：住所カテゴリ= "のIPv4-addrに"> 192.0.2.67 < / IODEF：アドレス> </ IODEF：ノード> <IODEF-RID：TrafficTypeタイプ= "アタック" /> <IODEF：IncidentID名= "CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN＃207- 1 </ IODEF：IncidentID> </ IODEF-RID：RIDPolicy> <IODEF-RID：IncidentSource> <IODEF-RID：SourceFound> </ IODEF-RID：SourceFound>真<IODEF：ノード> <IODEF：住所カテゴリ=」 IPv4の-addrに "> 192.0.2.37 </ IODEF：アドレス> </ IODEF：ノード> </ IODEF-RID：IncidentSource> </ IODEF-RID：RID>
<!-- IODEF-Document accompanied by the above RID -->
<！ - 上記のRIDを伴うIODEF - ドキュメント - >
<iodef:IODEF-Document version="1.00" xmlns:iodef="urn:ietf:params:xml:ns:iodef-1.0"> <iodef:Incident restriction="need-to-know" purpose="traceback"> <iodef:IncidentID name="CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN#207-1 </iodef:IncidentID> <iodef:DetectTime>2004-02-02T22:49:24+00:00</iodef:DetectTime> <iodef:StartTime>2004-02-02T22:19:24+00:00</iodef:StartTime> <iodef:ReportTime>2004-02-02T23:20:24+00:00</iodef:ReportTime> <iodef:Description>Host involved in DoS attack</iodef:Description> <iodef:Assessment> <iodef:Impact severity="low" completion="failed" type="dos"/> </iodef:Assessment> <iodef:Contact role="creator" type="organization"> <iodef:ContactName>Constituency-contact for 192.0.2.35 </iodef:ContactName> <iodef:Email>Constituency-contact@192.0.2.35</iodef:Email> </iodef:Contact> <iodef:EventData> <iodef:Contact role="admin" type="organization"> <iodef:ContactName>Admin-contact for 192.0.2.35 </iodef:ContactName> <iodef:Email>Admin-contact@10.1.1.2</iodef:Email> </iodef:Contact>
<IODEF：IODEF-ドキュメントバージョン= "1.00" のxmlns：IODEF = "壷：IETF：のparams：XML：NS：IODEF-1.0"> <IODEF：インシデント制限= "知っておくべき" 目的= "トレースバック"> <IODEF：IncidentID名= "CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN＃207-1 </ IODEF：IncidentID> <IODEF：DetectTime> 2004-02-02T22：49：24 + 00： 00 </ IODEF：DetectTime> <IODEF：のStartTime> 2004-02-02T22：19：24 + 00：00 </ IODEF：のStartTime> <IODEF：ReportTime> 2004-02-02T23：20：24 + 00：00 < / IODEF：ReportTime> <IODEF：DoS攻撃</ IODEFに関与説明>ホスト：説明> <IODEF：評価> <IODEF：衝撃の重大度= "低" 完了=タイプ= "ドス" /> </ IODEFを "失敗" [担当> <IODEF：メール> Constituency-contact@192.0.2.35 </：評価> <IODEF：連絡先の役割= "生みの親" タイプ= "組織"> <IODEF：</ IODEF 192.0.2.35のための担当者名>選挙接触[担当> <IODEF：IODEF：メール> </ IODEF：連絡先> <IODEF：EventDataの> <IODEF：連絡先の役割= "管理者" タイプは、= "組織"> <IODEF：</ IODEF 192.0.2.35のための担当者名>管理者接触：メール> Admin-contact@10.1.1.2 </ IODEF：メール> </ IODEF：連絡先>
<iodef:Flow>
<iodef:System category="intermediate">
<iodef:Node>
<iodef:Address category="ipv4-addr">192.0.2.35
</iodef:Address>
</iodef:Node>
</iodef:System>
</iodef:Flow>
<iodef:EventData>
<iodef:Contact role="admin" type="organization">
<iodef:ContactName>Admin-contact for 192.0.2.3
</iodef:ContactName>
<iodef:Email>Admin-contact@192.0.2.3</iodef:Email>
</iodef:Contact>
<iodef:Flow>
<iodef:System category="intermediate">
<iodef:Node>
<iodef:Address category="ipv4-addr">192.0.2.3
</iodef:Address>
</iodef:Node>
</iodef:System>
</iodef:Flow>
</iodef:EventData>
</iodef:EventData>
<iodef:EventData>
<iodef:Flow>
<iodef:System category="source">
<iodef:Node>
<iodef:Address category="ipv4-addr">192.0.2.35
</iodef:Address>
</iodef:Node>
<iodef:Service>
<iodef:port>38765</iodef:port>
</iodef:Service>
</iodef:System>
<iodef:System category="target">
<iodef:Node>
<iodef:Address category="ipv4-addr">192.0.2.67
</iodef:Address>
</iodef:Node>
<iodef:Service>
<iodef:port>80</iodef:port>
</iodef:Service>
</iodef:System>
</iodef:Flow>
<iodef:Expectation severity="high" action="rate-limit-host"> <iodef:Description> Rate-limit traffic close to source </iodef:Description> </iodef:Expectation> <iodef:Record> <iodef:RecordData> <iodef:Description> The IPv4 packet included was used in the described attack </iodef:Description> <iodef:RecordItem dtype="ipv4-packet">450000522ad9 0000ff06c41fc0a801020a010102976d0050103e020810d9 4a1350021000ad6700005468616e6b20796f7520666f7220 6361726566756c6c792072656164696e6720746869732052 46432e0a </iodef:RecordItem> </iodef:RecordData> </iodef:Record> </iodef:EventData> <iodef:History> <iodef:HistoryItem> <iodef:DateTime>2004-02-02T22:53:01+00:00</iodef:DateTime> <iodef:IncidentID name="CSIRT-FOR-OUR-DOMAIN"> CSIRT-FOR-OUR-DOMAIN#207-1 </iodef:IncidentID> <iodef:Description> Notification sent to next upstream NP closer to 192.0.2.35 </iodef:Description> </iodef:HistoryItem> <iodef:HistoryItem action="rate-limit-host"> <iodef:DateTime>2004-02-02T23:07:21+00:00</iodef:DateTime> <iodef:IncidentID name="CSIRT-FOR-NP3"> CSIRT-FOR-NP3#3291-1 </iodef:IncidentID> <iodef:Description> Host rate-limited for 24 hours </iodef:Description> </iodef:HistoryItem> </iodef:History> </iodef:Incident> </iodef:IODEF-Document>
<IODEF：期待の重大度= "高" アクション= "レート制限ホスト"> <IODEF：説明>近いソースへのレート制限トラフィック</ IODEF：説明> </ IODEF：期待> <IODEF：レコード> <IODEF ：たRecordData> <IODEF：説明> IPv4パケットについて説明攻撃で使用された付属</ IODEF：概要> <IODEF：RecordItem DTYPE = "IPv4のパケット"> 450000522ad9 0000ff06c41fc0a801020a010102976d0050103e020810d9 4a1350021000ad6700005468616e6b20796f7520666f7220 6361726566756c6c792072656164696e6720746869732052 46432e0a </ IODEF：RecordItem> </ IODEF ：たRecordData> </ IODEF：レコード> </ IODEF：EventDataの> <IODEF：歴史> <IODEF：HistoryItem> <IODEF：日時> 2004-02-02T22：53：01 + 00：00 </ IODEF：日時> < IODEF：IncidentID名= "CSIRT-FOR-OUR-DOMAIN"> CSIRT-FOR-OUR-DOMAIN＃207-1 </ IODEF：IncidentID> <IODEF：説明> <近い192.0.2.35に次の上流NPに送信される通知/ IODEF：概要> </ IODEF：HistoryItem> <IODEF：HistoryItemアクション= "レート制限ホスト"> <IODEF：日時> 2004-02-02T23：07：21 + 00：00 </ IODEF：日時> <IODEF ：Incide NTID名= "CSIRT-FOR-NP3"> CSIRT-FOR-NP3の＃3291から1 </ IODEF：IncidentID> <IODEF：説明>ホスト・レートが制限された24時間</ IODEF：説明> </ IODEF：HistoryItem> </ IODEF：歴史> </ IODEF：インシデント> </ IODEF：IODEF-ドキュメント>
The diagram below outlines the RID Investigation request communication flow between RID systems on different networks for a security incident with a known source address. The proper response to an Investigation request is a Result message. If there is a problem with the request, such as a failure to validate the digital signature or decrypt the request, a RequestAuthorization message is sent to the requestor. The RequestAuthorization message should provide the reason why the message could not be processed.
以下の図は、既知の送信元アドレスとのセキュリティインシデントの異なるネットワーク上のRIDシステム間RID調査要求通信フローを概説します。調査要求への適切な応答は、結果メッセージです。このようなデジタル署名を検証または要求を復号化に失敗として要求に問題がある場合、RequestAuthorizationメッセージが要求者に送信されます。 RequestAuthorizationメッセージは、メッセージを処理できなかった理由を提供する必要があります。
Attack Dest NP-1 NP-2 Attack Src
あったｃｋ でｓｔ んＰー１ んＰー２ あったｃｋ Ｓｒｃ
1. Attack | Attack reported | detected
1.攻撃|アタック報告|検出されました
2. Determine source of security incident
2.セキュリティインシデントのソースを決定します
3. o---Investigation---->
4. Research incident and determine appropriate actions to take
4.研究の事件と取るべき適切なアクションを決定
5. <-------Result-------o
Figure 8. Investigation Communication Flow
図8.調査の通信フロー
The following example only includes the RID-specific details. The IODEF and security measures are similar to the TraceRequest information, with the exception that the source is known and the receiving RID system is known to be close to the source. The source known is indicated in the IODEF document, which allows for incident sources to be listed as spoofed, if appropriate.
次の例では、RID-具体的な詳細を含みます。 IODEFとセキュリティ対策は、ソースが知られており、受信RIDシステムはソースに近いことが知られていることを除いて、TraceRequest情報と同様です。適切な場合、偽装として入射光源を可能IODEF文書に示されている既知のソースがリストされます。
<iodef-rid:RID xmlns:iodef-rid="urn:ietf:params:xml:ns:iodef-rid-1.0" xmlns:iodef="urn:ietf:params:xml:ns:iodef-1.0"> <iodef-rid:RIDPolicy MsgType="Investigation" MsgDestination="SourceOfIncident"> <iodef-rid:PolicyRegion region="PeerToPeer"/> <iodef:Node> <iodef:Address category="ipv4-addr">192.0.2.98</iodef:Address> </iodef:Node> <iodef-rid:TrafficType type="Attack"/> <iodef:IncidentID name="CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN#208-1 </iodef:IncidentID> </iodef-rid:RIDPolicy> </iodef-rid:RID>
<IODEF-RID：RIDのxmlns：IODEF-RID = "壷：IETF：のparams：XML：NS：IODEF-RID-1.0" のxmlns：IODEF = "壷：IETF：のparams：XML：NS：IODEF-1.0"> < IODEF-RID：RIDPolicyのMsgType = "SourceOfIncident" = "調査" MsgDestination> <IODEF-RID：PolicyRegion地域= "PeerToPeer" /> <IODEF：ノード> <IODEF：住所カテゴリ= "のIPv4-addrに"> 192.0.2.98 < / IODEF：アドレス> </ IODEF：ノード> <IODEF-RID：TrafficTypeタイプ= "アタック" /> <IODEF：IncidentID名= "CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN＃208- 1 </ IODEF：IncidentID> </ IODEF-RID：RIDPolicy> </ IODEF-RID：RID>
<!-- IODEF-Document accompanied by the above RID -->
<！ - 上記のRIDを伴うIODEF - ドキュメント - >
<iodef:IODEF-Document version="1.00" xmlns:iodef="urn:ietf:params:xml:ns:iodef-1.0"> <iodef:Incident restriction="need-to-know" purpose="other"> <iodef:IncidentID name="CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN#208-1 </iodef:IncidentID> <iodef:DetectTime>2004-02-05T08:13:33+00:00</iodef:DetectTime> <iodef:StartTime>2004-02-05T08:13:31+00:00</iodef:StartTime> <iodef:EndTime>2004-02-05T08:13:33+00:00</iodef:EndTime> <iodef:ReportTime>2004-02-05T08:13:35+00:00</iodef:ReportTime> <iodef:Description>Host involved in DoS attack</iodef:Description> <iodef:Assessment> <iodef:Impact severity="low" completion="failed" type="recon"/> </iodef:Assessment> <iodef:Contact role="creator" type="organization"> <iodef:ContactName>Constituency-contact for 192.0.2.35 </iodef:ContactName> <iodef:Email>Constituency-contact@10.1.1.2</iodef:Email> </iodef:Contact> <iodef:EventData> <iodef:Flow> <iodef:System category="source"> <iodef:Node> <iodef:Address category="ipv4-addr">192.0.2.35 </iodef:Address> </iodef:Node> <iodef:Service> <iodef:port>41421</iodef:port> </iodef:Service> </iodef:System> <iodef:System category="target"> <iodef:Node> <iodef:Address category="ipv4-addr">192.0.2.67 </iodef:Address> </iodef:Node> <iodef:Service> <iodef:port>80</iodef:port> </iodef:Service> </iodef:System> </iodef:Flow> <iodef:Expectation severity="high" action="investigate"> <iodef:Description> Investigate whether source has been compromised </iodef:Description> </iodef:Expectation> </iodef:EventData>
<IODEF：IODEF-ドキュメントバージョン= "1.00" のxmlns：IODEF = "壷：IETF：のparams：XML：NS：IODEF-1.0"> <IODEF：インシデント制限= "知っておくべき" 目的= "その他"> <IODEF：IncidentID名= "CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN＃208-1 </ IODEF：IncidentID> <IODEF：DetectTime> 2004-02-05T08：13：33 + 00： 00 </ IODEF：DetectTime> <IODEF：のStartTime> 2004-02-05T08：13：31 + 00：00 </ IODEF：のStartTime> <IODEF：終了時間> 2004-02-05T08：13：33 + 00：00 < / IODEF：終了時間> <IODEF：ReportTime> 2004-02-05T08：13：35 + 00：00 </ IODEF：ReportTime> <IODEF：DoS攻撃に関与して説明>ホスト</ IODEF：概要> <IODEF：評価> <IODEF：インパクト重要度= "低" 完了=タイプは= "偵察" / "失敗"> </ IODEF：アセスメント> <IODEF：連絡先役割= "生みの親" タイプ= "組織"> <IODEF：[担当>選挙接触192.0.2.35のための</ IODEF：[担当> <IODEF：メール> Constituency-contact@10.1.1.2 </ IODEF：メール> </ IODEF：連絡先> <IODEF：EventDataの> <IODEF：フロー> <IODEF：Systemカテゴリ= "ソース"> <IODEF：ノード> <IODEF：住所カテゴリ= "のIPv4-addrに"> 192.0.2.35 </ IODEF：アドレス> </ IODEF ：ノード> <IODEF：サービス> <IODEF：ポート> 41421 </ IODEF：ポート> </ IODEF：サービス> </ IODEF：システム> <IODEF：Systemカテゴリ= "ターゲット"> <IODEF：ノード> <IODEF：住所カテゴリ= "のIPv4-addrに"> 192.0.2.67 </ IODEF：アドレス> </ IODEF：ノード> <IODEF：サービス> <IODEF：ポート> 80 </ IODEF：ポート> </ IODEF：サービス> </ IODEF ：システム> </ IODEF：フロー> <IODEF：説明> </ IODEF：期待> </ IODEF </ IODEFソースが危険にさらされていないかどうかを調べる>説明：期待の重大度= "高" のアクションは=> <IODEF "調査します" ：EventDataの>
<iodef:History> <iodef:HistoryItem> <iodef:DateTime>2004-02-05T08:19:01+00:00</iodef:DateTime> <iodef:IncidentID name="CSIRT-FOR-OUR-DOMAIN"> CSIRT-FOR-OUR-DOMAIN#208-1 </iodef:IncidentID> <iodef:Description> Investigation request sent to NP for 192.0.2.35 </iodef:Description> </iodef:HistoryItem> </iodef:History> </iodef:Incident> </iodef:IODEF-Document>
<IODEF：歴史> <IODEF：HistoryItem> <IODEF：日時> 2004-02-05T08：19：01 + 00：00 </ IODEF：日時> <IODEF：IncidentID名= "CSIRT-FOR-OUR-DOMAIN"> CSIRT-FOR-OUR-DOMAINの＃208-1 </ IODEF：IncidentID> <IODEF：説明> 192.0.2.35のためのNPに送信された調査依頼</ IODEF：説明> </ IODEF：HistoryItem> </ IODEF：歴史> < / IODEF：インシデント> </ IODEF：IODEF-ドキュメント>
The example RequestAuthorization message is in response to the Investigation request listed above. The NP that received the request was unable to validate the digital signature used to authenticate the sending RID system.
例えばRequestAuthorizationメッセージは、上記の調査要求に応答します。要求を受けたNPは、送信RIDシステムを認証するために使用されるデジタル署名を検証することができませんでした。
<iodef-rid:RID xmlns:iodef-rid="urn:ietf:params:xml:ns:iodef-rid-1.0" xmlns:iodef="urn:ietf:params:xml:ns:iodef-1.0"> <iodef-rid:RIDPolicy MsgType="RequestAuthorization" MsgDestination="RIDSystem"> <iodef-rid:PolicyRegion region="IntraConsortium"/> <iodef:Node> <iodef:Address category="ipv4-addr">192.0.2.67</iodef:Address> </iodef:Node> <iodef-rid:TrafficType type="Attack"/> <iodef:IncidentID name="CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN#208-1 </iodef:IncidentID> </iodef-rid:RIDPolicy> <iodef-rid:RequestStatus AuthorizationStatus="Denied" Justification="Authentication"/> </iodef-rid:RID>
<IODEF-RID：RIDのxmlns：IODEF-RID = "壷：IETF：のparams：XML：NS：IODEF-RID-1.0" のxmlns：IODEF = "壷：IETF：のparams：XML：NS：IODEF-1.0"> < IODEF-RID：RIDPolicyのMsgType = "RequestAuthorization" MsgDestination = "RIDSystem"> <IODEF-RID：PolicyRegion地域= "IntraConsortium" /> <IODEF：ノード> <IODEF：住所カテゴリ= "のIPv4-addrに"> 192.0.2.67 < / IODEF：アドレス> </ IODEF：ノード> <IODEF-RID：TrafficTypeタイプ= "アタック" /> <IODEF：IncidentID名= "CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN＃208- 1 </ IODEF：IncidentID> </ IODEF-RID：RIDPolicy> <IODEF-RID：RequestStatus AuthorizationStatus = "拒否" 正当化= "認証" /> </ IODEF-RID：RID>
The diagram below outlines the RID Report communication flow between RID systems on different networks.
以下の図は、異なるネットワーク上のRIDシステム間RIDレポート通信フローを概説します。
NP-1 NP-2
NP 1 NP-2
1. Generate incident information and prepare Report message
1.インシデント情報を生成し、報告メッセージを準備
2. o-------Report------->
Figure 9. Report Communication Flow
図9.レポートの通信フロー
The Report communication flow is used to provide information on specific incidents detected on the network. Incident information may be shared between CSIRTs or participating RID hosts using this format. When a report is received, the RID system must verify that the report has not already been filed. The incident number and incident data, such as the hexadecimal packet and incident class information, can be used to compare with existing database entries. The Report message typically does not have a response. If there is a problem with the Report message, such as a failure to validate the digital signature [RFC3275] or decrypt the request, a RequestAuthorization message is sent to the requestor. The RequestAuthorization message should provide the reason why the message could not be processed.
レポート通信フローは、ネットワーク上で検出された特定のインシデントに関する情報を提供するために使用されます。インシデント情報は、この形式を使用してのCSIRTまたは参加RIDホスト間で共有されてもよいです。レポートが受信されると、RIDシステムは、報告書がすでに提出されていないことを確認する必要があります。このような進パケット入射クラス情報としてインシデント数およびインシデントデータは、既存のデータベースエントリと比較するために使用することができます。レポート・メッセージは、一般的な応答を持っていません。そのようなデジタル署名[RFC3275]を検証または要求を復号化する故障報告メッセージに問題がある場合、RequestAuthorizationメッセージが要求者に送信されます。 RequestAuthorizationメッセージは、メッセージを処理できなかった理由を提供する必要があります。
The following example only includes the RID-specific details. This report is an unsolicited Report message that includes an IPv4 packet. The IODEF document and digital signature would be similar to the TraceRequest information.
次の例では、RID-具体的な詳細を含みます。このレポートでは、IPv4パケットを含んで迷惑レポートメッセージです。 IODEF文書とデジタル署名はTraceRequest情報と同様であろう。
<iodef-rid:RID xmlns:iodef-rid="urn:ietf:params:xml:ns:iodef-rid-1.0" xmlns:iodef="urn:ietf:params:xml:ns:iodef-1.0"> <iodef-rid:RIDPolicy MsgType="Report" MsgDestination="RIDSystem"> <iodef-rid:PolicyRegion region="PeerToPeer"/> <iodef:Node> <iodef:Address category="ipv4-addr">192.0.2.130</iodef:Address> </iodef:Node> <iodef-rid:TrafficType type="Attack"/> <iodef:IncidentID name="CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN#209-1 </iodef:IncidentID> </iodef-rid:RIDPolicy> </iodef-rid:RID>
<IODEF-RID：RIDのxmlns：IODEF-RID = "壷：IETF：のparams：XML：NS：IODEF-RID-1.0" のxmlns：IODEF = "壷：IETF：のparams：XML：NS：IODEF-1.0"> < IODEF-RID：RIDPolicyのMsgType = "レポート" MsgDestination = "RIDSystem"> <IODEF-RID：PolicyRegion地域= "PeerToPeer" /> <IODEF：ノード> <IODEF：住所カテゴリ= "のIPv4-addrに"> 192.0.2.130 < / IODEF：アドレス> </ IODEF：ノード> <IODEF-RID：TrafficTypeタイプ= "アタック" /> <IODEF：IncidentID名= "CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN＃209- 1 </ IODEF：IncidentID> </ IODEF-RID：RIDPolicy> </ IODEF-RID：RID>
<!-- IODEF-Document accompanied by the above RID -->
<！ - 上記のRIDを伴うIODEF - ドキュメント - >
<iodef:IODEF-Document version="1.00" xmlns:iodef="urn:ietf:params:xml:ns:iodef-1.0"> <iodef:Incident restriction="need-to-know" purpose="reporting"> <iodef:IncidentID name="CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN#209-1 </iodef:IncidentID> <iodef:DetectTime>2004-02-05T10:21:08+00:00</iodef:DetectTime> <iodef:StartTime>2004-02-05T10:21:05+00:00</iodef:StartTime> <iodef:EndTime>2004-02-05T10:35:00+00:00</iodef:EndTime> <iodef:ReportTime>2004-02-05T10:27:38+00:00</iodef:ReportTime> <iodef:Description>Host illicitly accessed admin account </iodef:Description> <iodef:Assessment> <iodef:Impact severity="high" completion="succeeded" type="admin"/> <iodef:Confidence rating="high"/> </iodef:Assessment> <iodef:Contact role="creator" type="organization"> <iodef:ContactName>Constituency-contact for 192.0.2.35 </iodef:ContactName> <iodef:Email>Constituency-contact@10.1.1.2</iodef:Email> </iodef:Contact> <iodef:EventData> <iodef:Flow> <iodef:System category="source"> <iodef:Node> <iodef:Address category="ipv4-addr">192.0.2.35 </iodef:Address> </iodef:Node>
<IODEF：IODEF-ドキュメントバージョン= "1.00" のxmlns：IODEF = "壷：IETF：のparams：XML：NS：IODEF-1.0"> <IODEF：インシデントが制限= "知っておくべき" 目的は= "報告"> <IODEF：IncidentID名= "CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN＃209-1 </ IODEF：IncidentID> <IODEF：DetectTime> 2004-02-05T10：21：08 + 00： 00 </ IODEF：DetectTime> <IODEF：のStartTime> 2004-02-05T10：21：05 + 00：00 </ IODEF：のStartTime> <IODEF：終了時間> 2004-02-05T10：35：00 + 00：00 < / IODEF：終了時間> <IODEF：ReportTime> 2004-02-05T10：27：38 + 00：00 </ IODEF：ReportTime> <IODEF：説明>ホスト不正にアクセスし、管理者アカウント</ IODEF：説明> <IODEF：アセスメント> <IODEF：インパクト重要度= "高" 完了= "成功" タイプ= "管理者" /> <IODEF：自信の評価= "高" /> </ IODEF：アセスメント> <IODEF：連絡先役割= "生みの親" タイプ=」組織 "> <IODEF：[担当> 192.0.2.35のための選挙接触</ IODEF：[担当> <IODEF：メール> Constituency-contact@10.1.1.2 </ IODEF：メール> </ IODEF：連絡先> <IODEF：EventDataの> <IODEF：フロー> <IODEF：Systemカテゴリ= "ソース"> <IODEF：ノード> <IODEF：住所猫egory = "のIPv4-addrに"> 192.0.2.35 </ IODEF：アドレス> </ IODEF：ノード>
<iodef:Service> <iodef:port>32821</iodef:port> </iodef:Service> </iodef:System> <iodef:System category="target"> <iodef:Node> <iodef:Address category="ipv4-addr">192.0.2.67 </iodef:Address> </iodef:Node> <iodef:Service> <iodef:port>22</iodef:port> </iodef:Service> </iodef:System> </iodef:Flow> </iodef:EventData> <iodef:History> <iodef:HistoryItem> <iodef:DateTime>2004-02-05T10:28:00+00:00</iodef:DateTime> <iodef:IncidentID name="CSIRT-FOR-OUR-DOMAIN"> CSIRT-FOR-OUR-DOMAIN#209-1 </iodef:IncidentID> <iodef:Description> Incident report sent to NP for 192.0.2.35 </iodef:Description> </iodef:HistoryItem> </iodef:History> </iodef:Incident> </iodef:IODEF-Document>
<IODEF：サービス> <IODEF：ポート> 32821 </ IODEF：ポート> </ IODEF：サービス> </ IODEF：システム> <IODEF：Systemカテゴリ= "ターゲット"> <IODEF：ノード> <IODEF：住所カテゴリ= "IPv4の-addrに"> 192.0.2.67 </ IODEF：アドレス> </ IODEF：ノード> <IODEF：サービス> <IODEF：ポート> 22 </ IODEF：ポート> </ IODEF：サービス> </ IODEF：システム> </ IODEF：フロー> </ IODEF：EventDataの> <IODEF：歴史> <IODEF：HistoryItem> <IODEF：日時> 2004-02-05T10：28：00 + 00：00 </ IODEF：日時> <IODEF：IncidentID名前= "CSIRT-FOR-OUR-DOMAIN"> CSIRT-FOR-OUR-DOMAIN＃209-1 </ IODEF：IncidentID> <IODEF：説明> 192.0.2.35のためのNPに送信されたインシデントレポート</ IODEF：説明> < / IODEF：HistoryItem> </ IODEF：歴史> </ IODEF：インシデント> </ IODEF：IODEF-ドキュメント>
The diagram below outlines the RID IncidentQuery communication flow between RID systems on different networks.
以下の図は、異なるネットワーク上のRIDシステム間RID IncidentQuery通信フローを概説します。
NP-1 NP-2
NP 1 NP-2
1. Generate a request for information on a specific incident number or incident type
1.特定の入射番号またはインシデントの種類に関する情報の要求を生成します
2. o---IncidentQuery--->
3. Verify policy information and determine if matches exist for requested information
3.ポリシー情報を確認し、一致が要求された情報のために存在するかどうかを判断
4. <-------Report------o
5. Associate report to request by incident number or type and file report(s).
5.関連付けレポートは、インシデント数またはタイプとファイルレポート（S）で要求します。
Figure 10. IncidentQuery Communication Flow
図10. IncidentQuery通信フロー
The IncidentQuery message communication receives a response of a Report message. If the Report message is empty, the responding host did not have information available to share with the requestor. The incident number and responding RID system, as well as the transport, assist in the association of the request and response since a report can be filed and is not always solicited. If there is a problem with the IncidentQuery message, such as a failure to validate the digital signature or decrypt the request, a RequestAuthorization message is sent to the requestor. The RequestAuthorization message should provide the reason why the message could not be processed.
IncidentQueryメッセージ通信は、レポートメッセージの応答を受け取ります。レポートメッセージが空の場合、応答のホストは、要求者と共有するために利用可能な情報を持っていませんでした。レポートを提出することができ、常に要請されていないため、入射数と応答RIDシステム、並びに輸送は、要求と応答の関連付けを助けます。そのようなデジタル署名を検証したり、要求を解読する障害などIncidentQueryメッセージに問題がある場合、RequestAuthorizationメッセージが要求者に送信されます。 RequestAuthorizationメッセージは、メッセージを処理できなかった理由を提供する必要があります。
The IncidentQuery request may be received in several formats as a result of the type of query being performed. If the incident number is the only information provided, the IODEF document and IP packet data may not be needed to complete the request. However, if a type of incident is requested, the incident number remains NULL, and the
IncidentQuery要求が実行されたクエリのタイプの結果として、いくつかの形式で受信することができます。インシデント番号が提供される唯一の情報である場合には、IODEF文書とIPパケットデータは、要求を完了するために必要とされなくてもよいです。インシデントの種類が要求された場合は、インシデント数がNULLのままで、そして
IP packet data will not be included in the IODEF RecordItem class; the other incident information is the main source for comparison. In the case in which an incident number may not be the same between CSIRTs, the incident number and/or IP packet information can be provided and used for comparison on the receiving RID system to generate (a) Report message(s).
IPパケットデータは、IODEF RecordItemクラスには含まれません。他のインシデント情報は、比較のための主要な供給源です。事件番号のCSIRT間で同じではない可能性がある場合には、インシデント番号及び/又はIPパケット情報は、（a）は、報告メッセージ（S）を生成する受信RIDシステム上の比較のために提供して使用することができます。
<iodef-rid:RID xmlns:iodef-rid="urn:ietf:params:xml:ns:iodef-rid-1.0" xmlns:iodef="urn:ietf:params:xml:ns:iodef-1.0"> <iodef-rid:RIDPolicy MsgType="IncidentQuery" MsgDestination="RIDSystem"> <iodef-rid:PolicyRegion region="PeerToPeer"/> <iodef:Node> <iodef:Address category="ipv4-addr">192.0.2.3</iodef:Address> </iodef:Node> <iodef-rid:TrafficType type="Attack"/> <iodef:IncidentID name="CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN#210-1 </iodef:IncidentID> </iodef-rid:RIDPolicy> </iodef-rid:RID>
<IODEF-RID：RIDのxmlns：IODEF-RID = "壷：IETF：のparams：XML：NS：IODEF-RID-1.0" のxmlns：IODEF = "壷：IETF：のparams：XML：NS：IODEF-1.0"> < IODEF-RID：RIDPolicyのMsgType = "RIDSystem" = "IncidentQuery" MsgDestination> <IODEF-RID：PolicyRegion地域= "PeerToPeer" /> <IODEF：ノード> <IODEF：住所カテゴリ= "のIPv4-addrに"> 192.0.2.3 < / IODEF：アドレス> </ IODEF：ノード> <IODEF-RID：TrafficTypeタイプ= "アタック" /> <IODEF：IncidentID名= "CERT-FOR-OUR-DOMAIN"> CERT-FOR-OUR-DOMAIN＃210- 1 </ IODEF：IncidentID> </ IODEF-RID：RIDPolicy> </ IODEF-RID：RID>
<?xml version="1.0" encoding="UTF-8"?> <xs:schema xmlns:iodef-rid="urn:ietf:params:xml:ns:iodef-rid-1.0" xmlns:iodef="urn:ietf:params:xml:ns:iodef-1.0" xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:ds="http://www.w3.org/2000/09/xmldsig#" targetNamespace="urn:ietf:params:xml:ns:iodef-rid-1.0" elementFormDefault="qualified" attributeFormDefault="unqualified"> <xs:import namespace="urn:ietf:params:xml:ns:iodef-1.0" schemaLocation="http://www.iana.org/assignments/xml-registry/ schema/iodef-rid-1.0.xsd"/>
<？xml version = "1.0" エンコード= "UTF-8"？> <XS：スキーマのxmlns：IODEF-RID = "壷：IETF：のparams：XML：NS：IODEF-RID-1.0" のxmlns：IODEF = "壷：IETF：のparams：XML：NS：IODEF-1.0" のxmlns：XS = "http://www.w3.org/2001/XMLSchema" のxmlns：DS = "http://www.w3.org/2000/09 / XMLDSIG＃ "のtargetNamespace = "壷：IETF：のparams：XML：NS：IODEF-RID-1.0" のelementFormDefault = "資格" attributeFormDefaultは= "非修飾">は、<XS：インポートの名前空間=" 壷：IETF：のparams：XML：NS ：IODEF-1.0" のschemaLocation = "http://www.iana.org/assignments/xml-registry/スキーマ/ IODEF-RID-1.0.xsd" />
<xs:import namespace="http://www.w3.org/2000/09/xmldsig#" schemaLocation= "http://www.w3.org/TR/xmldsig-core/xmldsig-core-schema.xsd"/>
<XS：インポート名前空間= "http://www.w3.org/2000/09/xmldsig#" のschemaLocation =「http://www.w3.org/TR/xmldsig-core/xmldsig-core-schema.xsd 「/>
<!-- **************************************************************** ********************************************************************* *** Real-time Inter-network Defense - RID XML Schema *** *** Namespace - iodef-rid, August 2006 *** *** The namespace is defined to support transport of IODEF *** *** documents for exchanging incident information. *** ********************************************************************* -->
<！ - ********************************************** ****************** ******************************** ************************************* ***リアルタイムのネットワーク間の防衛 - RID XMLスキーマ*** ***名前空間 - IODEF-RID、2006年8月*** ***名前空間がIODEFの輸送*** ***インシデント情報を交換するための文書をサポートするために定義されています。 *** *********************************************** ********************** - >
<!--RID acts as an envelope for IODEF documents to support the exchange of messages--> <!-- ====== Real-Time Inter-network Defense - RID ====== ==== Suggested definition for RID messaging ====== -->
<！ - IODEF文書は、メッセージの交換をサポートするための封筒としてRID行為 - > <！ - ======リアルタイムネットワーク間の防衛 - RID ====== ==== RIDメッセージングのための推奨定義====== - >
<xs:annotation> <xs:documentation>XML Schema wrapper for IODEF</xs:documentation> </xs:annotation> <xs:element name="RID" type="iodef-rid:RIDType"/> <xs:complexType name="RIDType"> <xs:sequence> <xs:element ref="iodef-rid:RIDPolicy" minOccurs="0"/> <xs:element ref="iodef-rid:RequestStatus" minOccurs="0"/> <xs:element ref="iodef-rid:IncidentSource" minOccurs="0"/> </xs:sequence> </xs:complexType>
<XS：注釈> <XS：ドキュメント> IODEFのためのXMLスキーマラッパー</ XS：ドキュメンテーション> </ XS：注釈> <XS：要素名= "RID" タイプ= "IODEF-RID：RIDType" /> <XS： complexTypeの名= "RIDType"> <XS：シーケンス> <XS：要素REF = "IODEF-RID：RIDPolicy" のminOccurs = "0" /> <XS：要素REF = "IODEF-RID：RequestStatus" のminOccurs = "0" /> <XS：要素REF = "IODEF-RID：IncidentSource" のminOccurs = "0" /> </ XS：配列> </ XS：complexTypeの>
<!--Used in RequestAuthorization Message for RID-->
<！ - RIDのためにRequestAuthorizationメッセージで使用されます - >
<xs:element name="RequestStatus" type="iodef-rid:RequestStatusType"/> <xs:complexType name="RequestStatusType"> <xs:attribute name="AuthorizationStatus" use="required"> <xs:simpleType> <xs:restriction base="xs:NMTOKEN"> <xs:whiteSpace value="collapse"/> <xs:enumeration value="Approved"/> <xs:enumeration value="Denied"/> <xs:enumeration value="Pending"/> <xs:enumeration value="ext-value"/> </xs:restriction> </xs:simpleType> </xs:attribute> <xs:attribute name="ext-AuthorizationStatus" type="xs:string" use="optional"/>
<XS：要素名= "RequestStatus" タイプは、= "IODEF-RID：RequestStatusType" /> <XS：complexTypeの名前= "RequestStatusType"> <XS：属性名= "AuthorizationStatus" 使用= "必要"> <XS：単純> <XS：制限ベース= "XS：NMTOKEN"> <XS：whiteSpaceの値= "崩壊" /> <XS：列挙値= "承認済み" /> <XS：列挙値= "拒否" /> <XS：列挙値= "保留" /> <XS：列挙値= "EXT-値" /> </ XS：制限> </ XS：単純> </ XS：属性> <XS：属性名= "EXT-AuthorizationStatus" タイプ= "XS：文字列" 使用= "オプション" />
<xs:attribute name="Justification"> <xs:simpleType> <xs:restriction base="xs:NMTOKEN"> <xs:whiteSpace value="collapse"/> <xs:enumeration value="SystemResource"/> <xs:enumeration value="Authentication"/> <xs:enumeration value="AuthenticationOrigin"/> <xs:enumeration value="Encryption"/> <xs:enumeration value="Other"/> <xs:enumeration value="ext-value"/> </xs:restriction> </xs:simpleType> </xs:attribute> <xs:attribute name="ext-Justification" type="xs:string" use="optional"/> <xs:attribute name="restriction" type="iodef:restriction-type"/> </xs:complexType>
<XS：属性名= "正当化"> <XS：単純> <XS：制限ベース= "XS：NMTOKEN"> <XS：whiteSpaceの値= "崩壊" /> <XS：列挙値= "SystemResource" /> < XS：列挙値= "認証" /> <XS：列挙値= "AuthenticationOrigin" /> <XS：列挙値= "暗号化" /> <XS：列挙値= "その他" /> <XS：列挙値=」 EXT-値 "/> </ XS：制限> </ XS：単純> </ XS：属性> <XS：属性名=" EXT-正当化」タイプ= "XS：文字列" 使用= "オプション" /> < XS：属性名= "制限" タイプ= "IODEF：制限型" /> </ XS：complexTypeの>
<!--Incident Source Information for Result Message-->
<！ - 結果メッセージのためのインシデントソース情報 - >
<xs:element name="IncidentSource" type="iodef-rid:IncidentSourceType"/> <xs:complexType name="IncidentSourceType"> <xs:sequence> <xs:element ref="iodef-rid:SourceFound"/> <xs:element ref="iodef:Node" minOccurs="0" maxOccurs="unbounded"/> </xs:sequence> <xs:attribute name="restriction" type="iodef:restriction-type"/> </xs:complexType> <xs:element name="SourceFound" type="xs:boolean"/>
<XS：要素名= "IncidentSource" タイプ= "IODEF-RID：IncidentSourceType" /> <XS：complexTypeの名= "IncidentSourceType"> <XS：シーケンス> <XS：要素REF = "IODEF-RID：SourceFound" /> <XS：要素REF = "IODEF：ノード" のminOccurs = "0" のmaxOccurs = "無制限" /> </ XS：配列> <XS：属性名= "制限" タイプ= "IODEF：制限型" /> < / XS：complexTypeの> <XS：要素名= "SourceFound" タイプ= "XS：ブール値" />
<!-- ====== Real-Time Inter-network Defense Policy - RIDPolicy ====== ====== Definition for RIDPolicy for messaging -->
<！ - ======リアルタイム間のネットワーク防衛政策 - RIDPolicy ====== ======メッセージングのためのRIDPolicyための定義 - >
<xs:annotation> <xs:documentation>RID Policy used for transport of messages</xs:documentation> </xs:annotation>
<XS：注釈> <XS：ドキュメント>メッセージの転送に使用RIDポリシー</ XS：ドキュメンテーション> </ XS：注釈>
<!-- RIDPolicy information with setting information listed in RID documentation -->
<！ - RIDマニュアルに記載されている情報を設定してRIDPolicy情報 - >
<xs:element name="RIDPolicy" type="iodef-rid:RIDPolicyType"/> <xs:complexType name="RIDPolicyType"> <xs:sequence> <xs:element ref="iodef-rid:PolicyRegion" maxOccurs="unbounded"/> <xs:element ref="iodef:Node"/> <xs:element ref="iodef-rid:TrafficType" maxOccurs="unbounded"/> <xs:element ref="iodef:IncidentID" minOccurs="0"/> </xs:sequence> <xs:attribute name="MsgType" use="required"> <xs:simpleType> <xs:restriction base="xs:NMTOKEN"> <xs:whiteSpace value="collapse"/> <xs:enumeration value="TraceRequest"/> <xs:enumeration value="RequestAuthorization"/> <xs:enumeration value="Result"/> <xs:enumeration value="Investigation"/> <xs:enumeration value="Report"/> <xs:enumeration value="IncidentQuery"/> <xs:enumeration value="ext-value"/> </xs:restriction> </xs:simpleType> </xs:attribute> <xs:attribute name="ext-MsgType" type="xs:string" use="optional"/> <xs:attribute name="MsgDestination" use="required"> <xs:simpleType> <xs:restriction base="xs:NMTOKEN"> <xs:whiteSpace value="collapse"/> <xs:enumeration value="RIDSystem"/> <xs:enumeration value="SourceOfIncident"/> <xs:enumeration value="ext-value"/> </xs:restriction> </xs:simpleType> </xs:attribute> <xs:attribute name="ext-MsgDestination" type="xs:string" use="optional"/> </xs:complexType>
<XS：要素名= "RIDPolicy" タイプ= "IODEF-RID：RIDPolicyType" /> <XS：complexTypeの名前= "RIDPolicyType"> <XS：シーケンス> <XS：要素REF = "IODEF-RID：PolicyRegion" のmaxOccurs = "無制限" /> <XS：要素REF = "IODEF：ノード" /> <XS：要素REF = "IODEF-RID：TrafficType" のmaxOccurs = "無制限" /> <XS：要素REF = "IODEF：IncidentID" minOccurs属性= "0" /> </ XS：配列> <XS：属性名= "のMsgType" 使用= "必要"> <XS：単純> <XS：制限ベース= "XS：NMTOKEN"> <XS：whiteSpaceの値= "崩壊" /> <XS：列挙値= "TraceRequest" /> <XS：列挙値= "RequestAuthorization" /> <XS：列挙値= "結果" /> <XS：列挙値= "調査" /> < XS：列挙値= "レポート" /> <XS：列挙値= "IncidentQuery" /> <XS：列挙値= "EXT-値" /> </ XS：制限> </ XS：単純> </ XS：属性> <XS：属性名= "EXT-のMsgType" タイプ= "XS：文字列" 使用= "オプション" /> <XS：> <XS "に必要な" 属性名= "MsgDestination" 使用=：単純> <XS：制限ベース= "XS：NMTOKEN"> <XS：whiteSpaceの値= "崩壊" /> <XS：ENU meration値= "RIDSystem" /> <XS：列挙値= "SourceOfIncident" /> <XS：列挙値= "EXT-値" /> </ XS：制限> </ XS：単純> </ XS：属性> <XS：属性名= "EXT-MsgDestination" タイプ= "XS：文字列" 使用= "オプション" /> </ XS：complexTypeの>
<xs:element name="PolicyRegion"> <xs:complexType> <xs:attribute name="region" use="required"> <xs:simpleType> <xs:restriction base="xs:NMTOKEN"> <xs:whiteSpace value="collapse"/> <xs:enumeration value="ClientToNP"/> <xs:enumeration value="NPToClient"/> <xs:enumeration value="IntraConsortium"/> <xs:enumeration value="PeerToPeer"/> <xs:enumeration value="BetweenConsortiums"/> <xs:enumeration value="AcrossNationalBoundaries"/> <xs:enumeration value="ext-value"/> </xs:restriction> </xs:simpleType> </xs:attribute> <xs:attribute name="ext-region" type="xs:string" use="optional"/> </xs:complexType> </xs:element> <xs:element name="TrafficType" default="Attack"> <xs:complexType> <xs:attribute name="type" use="required"> <xs:simpleType> <xs:restriction base="xs:NMTOKEN"> <xs:whiteSpace value="collapse"/> <xs:enumeration value="Attack"/> <xs:enumeration value="Network"/> <xs:enumeration value="Content"/> <xs:enumeration value="OfficialBusiness"/> <xs:enumeration value="Other"/> <xs:enumeration value="ext-value"/> </xs:restriction> </xs:simpleType> </xs:attribute> <xs:attribute name="ext-type" type="xs:string" use="optional"/> </xs:complexType> </xs:element> </xs:schema>
<XS：要素名= "PolicyRegion"> <XS：complexTypeの> <XS：属性名= "領域" の使用は= "必要"> <XS：単純> <XS：制限ベース= "XS：NMTOKEN"> <XS： whiteSpaceの値= "崩壊" /> <XS：列挙値= "ClientToNP" /> <XS：列挙値= "NPToClient" /> <XS：列挙値= "IntraConsortium" /> <XS：列挙値= "PeerToPeer" /> <XS：列挙値= "BetweenConsortiums" /> <XS：列挙値= "AcrossNationalBoundaries" /> <XS：列挙値= "EXT-値" /> </ XS：制限> </ XS：simpleTypeの> < / XS：属性> <XS：属性名= "EXT-領域" タイプ= "XS：文字列" 使用= "オプション" /> </ XS：complexTypeの> </ XS：要素> <XS：要素名= "TrafficType "デフォルト=" アタック "> <XS：complexTypeの> <XS：属性名=" タイプ」の使用は= "必要"> <XS：単純> <XS：制限ベース= "XS：NMTOKEN"> <XS：whiteSpaceの値= "崩壊" /> <XS：列挙値= "アタック" /> <XS：列挙値= "ネットワーク" /> <XS：列挙値= "コンテンツ" /> <XS：列挙値= "OfficialBusiness" /> < XS：列挙値= "その他" /> <XS：列挙VA LUE = "EXT-値" /> </ XS：制限> </ XS：単純> </ XS：属性> <XS：属性名= "EXT型" タイプ= "XS：文字列" 使用= "オプション" /> </ XS：complexTypeの> </ XS：要素> </ XS：スキーマ>
Communication between NPs' RID systems must be protected. RID has many security considerations built into the design of the protocol, several of which are described in the following sub-sections. For a complete view of security, considerations need to include the availability, confidentiality, and integrity concerns for the transport, storage, and exchange of information.
NPはRIDシステム間の通信を保護する必要があります。 RIDは、以下のサブセクションで説明されているそのうちのいくつかのプロトコルの設計に組み込まれた多くのセキュリティ上の考慮事項があります。セキュリティの完全なビューについては、検討事項は、可用性、機密性、および輸送、保管のための整合性の問題、および情報の交換を含める必要があります。
When considering the transport of RID messages, an out-of-band network, either logical or physical, would prevent outside attacks against RID communication. An out-of-band connection would be ideal, but not necessarily practical. Authenticated encrypted tunnels between RID systems MUST be used to provide confidentiality, integrity, authenticity, and privacy for the data. Trust relationships are based on consortiums and established trust relationships of public key infrastructure (PKI) cross-certifications of consortiums. By using RIDPolicy information, TLS, and the XML security features of encryption [XMLencrypt] and digital signatures [RFC3275], [XMLsig], RID takes advantage of existing security standards. The standards provide clear methods to ensure that messages are secure, authenticated, and authorized, and that the messages meet policy and privacy guidelines and maintain integrity.
論理的または物理的のいずれかRIDメッセージ、アウトオブバンドネットワークの輸送を考慮すると、RID通信に対する外部からの攻撃を防止するであろう。アウトオブバンド接続には理想的な、必ずしも実用的ではないだろう。 RIDシステム間の認証済みの暗号化トンネルは、データの機密性、完全性、信頼性、およびプライバシーを提供するために使用しなければなりません。信頼関係は、コンソーシアムと公開鍵基盤（PKI）コンソーシアムのクロス認証の確立された信頼関係に基づいています。 RIDPolicy情報、TLS、およびXMLセキュリティ暗号化の機能[XMLencrypt]とデジタル署名[RFC3275]を使用することにより、[XMLsig]、RIDは、既存のセキュリティ標準を活用しています。基準は、メッセージが認証され、認可、安全であることを確保するための明確な方法を提供し、メッセージがポリシーとプライバシーガイドラインを満たすと完全性を維持すること。
As specified in the relevant sections of this document, the XML digital signature [RFC3275] and XML encryption [XMLencrypt] are used in the following cases:
この文書の関連セクションで指定されるように、XMLデジタル署名[RFC3275]とXML暗号化は、[XMLencrypt]以下の場合に使用されています。
XML Digital Signature
XMLデジタル署名
o The originator of the TraceRequest or Investigation request MUST use a detached signature to sign at least one of the original IP packets included in the RecordItem class data to provide authentication to all upstream participants in the trace of the origin. All IP packets provided by the originator may be signed, and additional packets added by upstream peers in the trace may be signed by the peer adding the data, while maintaining the IP packet and detached signature from the original requestor. This signature MUST be passed to all recipients of the TraceRequest.
TraceRequest又は調査要求の発信元は、元のIPパケットの少なくとも一つの署名に分離署名を使用しなければならないoを原点のトレース内のすべての上流の参加者に認証を提供するためにRecordItemクラスデータに含まれます。発信者によって提供されるすべてのIPパケットが署名することができる、元の要求者からのIPパケットと分離署名を維持しながら、トレースの上流ピアによって追加された追加のパケットは、データを追加ピアによって署名されてもよいです。このシグネチャは、TraceRequestのすべての受信者に渡さなければなりません。
o For all message types, the full IODEF/RID document MUST be signed using an enveloped signature by the sending peer to provide authentication and integrity to the receiving RID system.
Oすべてのメッセージ・タイプについて、完全IODEF / RID文書が受信RIDシステムに認証と完全性を提供するために、送信側ピアによってエンベロープ署名を用いて署名されなければなりません。
XML Encryption
XML暗号化
o The IODEF/RID document may be encrypted to provide an extra layer of security between peers so that the message is not only encrypted for the transport, but also while stored. This behavior would be agreed upon between peers or a consortium, or determined on a per-message basis, depending on security requirements. It should be noted that there are cases for transport where the RIDPolicy class needs to be presented in clear text, as detailed in the transport document [RFC6046].
oをIODEF / RID文書は、メッセージの輸送のために暗号化されていないだけように、ピア間のセキュリティの余分なレイヤを提供するために、暗号化されただけでなく、記憶されている間もよいです。この動作は、セキュリティ要件に応じて、メッセージごとに、ピアまたはコンソーシアム間で合意、または決定されます。運送書類[RFC6046]で説明するようにRIDPolicyクラスは、クリアテキストで提示する必要があります輸送用ケースがあることに留意すべきです。
o An Investigation request, or any other message type that may be relayed through RID systems other than the intended destination as a result of trust relationships, may be encrypted for the intended recipient. This may be necessary if the RID network is being used for message transfer, the intermediate parties do not need to have knowledge of the request contents, and a direct communication path does not exist. In that case, the RIDPolicy class is used by intermediate parties and is maintained in clear text.
O調査要求、または信頼関係の結果として意図された宛先以外のRIDシステムを介して中継することができる任意の他のメッセージ・タイプは、意図されるレシピエントのために暗号化されてもよいです。 RIDネットワークは、メッセージ転送のために使用されている場合、これは必要であってもよく、中間当事者は、要求内容の知識を持っている必要はなく、直接通信パスは存在しません。その場合、RIDPolicyクラスは、中間当事者によって使用され、クリアテキストで維持されます。
o The action taken in the Result message may be encrypted using the key of the request originator. In that case, the intermediate parties can view the RIDPolicy information and know the trace has been completed and do not need to see the action. If the use of encryption were limited to sections of the message, the History class information would be encrypted. Otherwise, it is RECOMMENDED to encrypt the entire IODEF/RID document, using an enveloped signature, for the originator of the request. The existence of the Result message for an incident would tell any intermediate parties used in the path of the incident investigation that the incident handling has been completed.
O結果メッセージにとられるアクションは、要求元のキーを用いて暗号化することができます。その場合には、中間当事者はRIDPolicy情報を表示し、トレースが完了し、アクションを確認する必要はありません知ることができます。暗号化の使用は、メッセージのセクションに限定されていた場合は、履歴クラス情報が暗号化されます。それ以外の場合は、要求の発信元のために、エンベロープ署名を使用して、全体IODEF / RID文書を暗号化することをお勧めします。インシデントの結果メッセージの存在は、事件処理が完了したインシデント調査のパスで使用される任意の中間関係者を言うだろう。
The formation of policies is a very important aspect of using a messaging system like RID to exchange potentially sensitive information. Many considerations should be involved for peering parties, and some guidelines to protect the data, systems, and transport are covered in this section. Policies established should provide guidelines for communication methods, security, and fall-back procedures.
政策の形成には、潜在的に機密情報を交換するためにRIDのようなメッセージングシステムを使用しての非常に重要な側面です。多くの考慮事項は、当事者のピアリングに関与すべき、とのデータ、システム、およびトランスポートを保護するためにいくつかのガイドラインは、このセクションで説明されています。確立ポリシーは、通信方法、セキュリティ、およびフォールバック手順のためのガイドラインを提供する必要があります。
The security considerations for the storage and exchange of information in RID messaging may include adherence to local, regional, or national regulations in addition to the obligations to protect client information during an investigation. RID Policy is a necessary tool for listing the requirements of messages to provide a method to categorize data elements for proper handling. Controls are also provided for the sending entity to protect messages from third parties through XML encryption.
RIDメッセージングでのストレージとの情報交換のためのセキュリティの考慮事項は、調査中に、クライアントの情報を保護する義務に加えて、地方、地域、または国の規制の遵守を含むことができます。 RIDポリシーが適切に処理するためのデータ要素を分類する方法を提供するために、メッセージの要件をリストアップするために必要なツールです。コントロールはまた、XML暗号化を通じて第三者からのメッセージを保護するために、送信側エンティティのために提供されています。
RID provides a method to exchange incident handling request and Report messages to peer networks. Network administrators, who have the ability to base the decision on the available resources and other factors of their network, maintain control of incident investigations within their own network. Thus, RID provides the ability for participating networks to manage their own security controls, leveraging the information listed in RIDPolicy.
RIDは、ネットワークのピアへの要求とレポートメッセージを処理するインシデントを交換する方法を提供します。 、利用可能なリソースとそのネットワークの他の要因に決定を基づか独自のネットワーク内のインシデント調査の制御を維持する能力を持っているネットワーク管理者、。このように、RIDはRIDPolicyに記載された情報を活用し、独自のセキュリティコントロールを管理するためにネットワークを参加するための機能を提供します。
The transport specifications are fully defined in a separate document [RFC6046]. The specified transport protocols MUST use encryption to provide an additional level of security and integrity, while supporting mutual authentication through bi-directional certificate usage. Any subsequent transport method defined should take advantage of existing standards for ease of implementation and integration of RID systems. Session encryption for the transport of RID messages is enforced in the transport specification. The privacy and security considerations are addressed fully in RID to protect sensitive portions of documents and provide a method to authenticate the messages. Therefore, RID messages do not rely on the security provided by the transport layer alone. The encryption requirements and considerations for RID are discussed at the beginning of Section 6 of this document.
トランスポート仕様は完全に別の文書[RFC6046]で定義されています。指定されたトランスポートプロトコルは、双方向の証明書の利用を通じて相互認証をサポートしながら、セキュリティと整合性の追加レベルを提供するために、暗号化を使用しなければなりません。定義された任意のその後の輸送方法は、RIDシステムの導入と統合を容易にするために既存の規格を活用する必要があります。 RIDメッセージの輸送のためのセッションの暗号化は、トランスポート仕様に適用されます。プライバシーとセキュリティの考慮は、文書の機密部分を保護し、メッセージを認証するための方法を提供することRIDに完全に対処されています。そのため、RIDメッセージだけでは、トランスポート層によって提供されるセキュリティに依存しないでください。 RIDのための暗号化要件と考慮事項は、本書の第6章の冒頭で説明されています。
XML security functions such as the digital signature [RFC3275] and encryption [XMLencrypt] provide a standards-based method to encrypt and digitally sign RID messages. RID messages specify system use and privacy guidelines through the RIDPolicy class. A public key infrastructure (PKI) provides the base for authentication and authorization, encryption, and digital signatures to establish trust relationships between members of a RID consortium or a peering consortium.
そのようなデジタル署名[RFC3275]及び暗号化などのXMLセキュリティ機能[XMLencrypt]は、暗号化とデジタルRIDメッセージに署名するための標準ベースの方法を提供します。 RIDメッセージはRIDPolicyクラスを介してシステムの利用とプライバシーガイドラインを指定します。公開鍵基盤（PKI）はRIDコンソーシアムのメンバーまたはピアリングコンソーシアム間の信頼関係を確立するために、認証および承認、暗号化、およびデジタル署名のための基盤を提供します。
XML security functions such as the digital signature [RFC3275] and encryption [XMLencrypt] can be used within the contents of the message for privacy and security in cases for which certain elements must remain encrypted or signed as they traverse the path of a trace. For example, the digital signature on a TraceRequest can be used to verify the identity of the trace originator. The use of the XML security features in RID messaging is in accordance with the specifications for the IODEF model; however, the use requirements may differ since RID also incorporates communication of security incident information.
そのようなデジタル署名[RFC3275]となどのXMLセキュリティ機能暗号化[XMLencrypt]特定の要素は、暗号化またはそれらは、トレースの経路を横切るように署名されたままである必要のある場合には、プライバシーおよびセキュリティのためのメッセージのコンテンツ内で使用することができます。例えば、TraceRequestのデジタル署名は、トレース発信者の身元を確認するために使用することができます。 RIDメッセージングでのXMLのセキュリティ機能を使用するには、IODEFモデルの仕様に従ったものです。 RIDは、セキュリティインシデント情報の通信を組み込むので、使用要件が異なっていてもよいです。
The RID protocol must be able to guarantee delivery and meet the necessary security requirements of a state-of-the-art protocol. In order to guarantee delivery, TCP should be considered as the underlying protocol within the current network standard practices.
RIDプロトコルは、配信を保証し、最先端のプロトコルの必要なセキュリティ要件を満たすことができなければなりません。配信を保証するために、TCPは、現在のネットワークの標準的な慣行内の基本的なプロトコルとして考慮されるべきです。
Security considerations must include the integrity, authentication, privacy, and authorization of the messages sent between RID communication systems or IHSs. The communication between RID systems must be authenticated and encrypted to ensure the integrity of the messages and the RID systems involved in the trace. Another concern that needs to be addressed is authentication for a request that traverses multiple networks. In this scenario, systems in the path of the multi-hop TraceRequest need to authorize a trace from not only their neighbor network, but also from the initiating RID system as discussed in Section 6.4. Several methods can be used to ensure integrity and privacy of the communication.
セキュリティの考慮事項は、RIDの通信システムやIHSS間で送信されるメッセージの整合性、認証、プライバシー、および承認が含まれている必要があります。 RIDシステム間の通信には、認証されたメッセージとトレースに関与RIDシステムの整合性を確保するために暗号化する必要があります。対処する必要があるもう一つの懸念は、複数のネットワークを横断要求に対する認証です。このシナリオでは、マルチホップのパス内のシステムは、6.4節で述べたように、だけでなく、開始RIDシステムからその隣接ネットワークだけでなく、からのトレースを承認する必要がありますTraceRequest。いくつかの方法は、通信の整合性とプライバシーを確保するために使用することができます。
The transport mechanism selected MUST follow the defined transport protocol [RFC6046] when using RID messaging to ensure consistency among the peers. Consortiums may vary their selected transport mechanisms and thus must decide upon a mutual protocol to use for transport when communicating with peers in a neighboring consortium using RID. RID systems MUST implement and deploy HTTPS as defined in the transport document [RFC6046] and optionally support other protocols such as the Blocks Extensible Exchange Protocol (BEEP). RID, the XML security functions, and transport protocols must properly integrate with a public key infrastructure (PKI) managed by the consortium or one managed by a trusted entity. For the Internet, an example of an existing effort that could be leveraged to provide the supporting PKI could be the American Registry for Internet Numbers (ARIN) and the Regional Internet Registry's (RIR's) PKI hierarchy. Security and privacy considerations related to consortiums are discussed in Sections 6.5 and 6.6.
ピア間の一貫性を確保するために、RIDメッセージングを使用する場合に選択されたトランスポートメカニズムは、定義されたトランスポートプロトコル[RFC6046]を従わなければなりません。コンソーシアムは、その選択されたトランスポートメカニズムを変えることができるので、RID使用隣接コンソーシアム内のピアとの通信時に輸送するために使用する相互プロトコルに決定しなければなりません。 RIDシステムを実装し、運送書類[RFC6046]で定義されるようにHTTPSを展開し、必要に応じてこのようなブロック拡張交換プロトコル（BEEP）のような他のプロトコルをサポートしなければなりません。 RID、XMLセキュリティ機能、およびトランスポートプロトコルが正しくコンソーシアムまたは信頼できるエンティティによって管理される1つにより管理、公開キー基盤（PKI）と統合しなければなりません。インターネットの場合、支援PKIを提供するために活用することができ、既存の取り組みの例としては、インターネット番号のためのアメリカのレジストリ（ARIN）と地域インターネットレジストリの（RIRの）PKI階層である可能性があります。コンソーシアムに関連するセキュリティとプライバシーの考慮事項は、セクション6.5と6.6で説明されています。
Out-of-band communications dedicated to NP interaction for RID messaging would provide additional security as well as guaranteed bandwidth during a denial-of-service attack. For example, an out-of-band channel may consist of logical paths defined over the existing network. Out-of-band communications may not be possible between all network providers, but should be considered to protect the network management systems used for RID messaging. Methods to protect the data transport may also be provided through session encryption.
RIDメッセージングのためのNPとの対話に特化アウト・オブ・バンド通信は、サービス拒否攻撃の際に追加のセキュリティだけでなく、保証された帯域幅を提供することになります。例えば、帯域外チャネルは、既存のネットワーク上で定義された論理パスから構成されてもよいです。アウト・オブ・バンド通信は、すべてのネットワークプロバイダの間で可能ではないかもしれないが、RIDメッセージングに使用するネットワーク管理システムを保護するために考慮されるべきです。データ転送を保護するための方法もまた、セッションの暗号化を介して提供することができます。
In order to address the integrity and authenticity of messages, transport encryption MUST be used to secure the traffic sent between RID systems. Systems with predefined relationships for RID would include those who peer within a consortium with agreed-upon appropriate use regulations and for peering consortiums. Trust relationships may also be defined through a bridged or hierarchical PKI in which both peers belong.
メッセージの整合性と信頼に対処するためには、輸送の暗号化は、RIDのシステム間で送信されるトラフィックを保護するために使用しなければなりません。 RIDのために事前に定義された関係を持つシステムは、適切な使用規制に合意-とピアリングコンソーシアムのためにコンソーシアム内ピア人々が含まれるであろう。信頼関係はまた、両方のピアが所属する架橋または階層PKIを介して定義することができます。
Systems used to send authenticated RID messages between networks MUST use a secured system and interface to connect to a border network's RID systems. Each connection to a RID system MUST meet the security requirements agreed upon through the consortium regulations, peering, or SLAs. The RID system MUST only listen for and send RID messages on the designated port, which also MUST be over an encrypted tunnel meeting the minimum requirement of algorithms and key lengths established by the consortium, peering, or SLA. The selected cryptographic algorithms for symmetric encryption, digital signatures, and hash functions MUST meet minimum security levels of the times. The encryption strength MUST adhere to import and export regulations of the involved countries for data exchange.
ネットワーク間の認証済みRIDメッセージを送信するために使用されるシステムは、境界ネットワークのRIDのシステムに接続するためのセキュアなシステムとのインタフェースを使用しなければなりません。 RIDシステムへの各接続は、コンソーシアムのピアリング規制、またはSLAを経由合意されたセキュリティ要件を満たす必要があります。 RIDシステムのみをリッスンし、暗号化トンネル会議にわたって最小コンソーシアムによって確立されたアルゴリズムと鍵の長さの要件、ピアリング、またはSLAでなければなりません指定されたポート上でRIDメッセージを送らなければなりません。対称暗号化、デジタル署名、ハッシュ関数の選択された暗号化アルゴリズムは、時間の最小セキュリティレベルを満たさなければなりません。暗号化強度は、データ交換のために、関係国の輸入と輸出規制を遵守しなければなりません。
In order to ensure the authenticity of the RID messages, a message authentication scheme is used to secure the protocol. XML security functions utilized in RID require a trust center such as a PKI for the distribution of credentials to provide the necessary level of security for this protocol. Layered transport protocols also utilize encryption and rely on a trust center. Public key certificate pairs issued by a trusted Certification Authority (CA) MAY be used to provide the necessary level of authentication and encryption for the RID protocol. The CA used for RID messaging must be trusted by all involved parties and may take advantage of similar efforts, such as the Internet2 federated PKI or the ARIN/RIR effort to provide a PKI to network providers. The PKI used for authentication would also provide the necessary certificates needed for encryption used for the RID transport protocol [RFC6046].
RIDメッセージの真正性を確保するために、メッセージ認証スキームは、プロトコルを保護するために使用されます。 RIDで利用XMLセキュリティ機能は、このプロトコルのセキュリティの必要なレベルを提供するために、資格情報の配布のためのPKIのようにトラストセンターを必要とします。レイヤードトランスポートプロトコルも暗号化を利用し、トラストセンタに依存しています。信頼できる認証局（CA）によって発行された公開鍵証明書のペアは、RIDプロトコルの認証と暗号化の必要なレベルを提供するために使用され得ます。 RIDメッセージングに使用CAは、すべての関係者から信頼されなければならないと、このようなInternet2の連携PKIやネットワークプロバイダにPKIを提供するために、ARIN / RIRの努力と同様の努力、を利用することができます。認証に使用PKIもRIDトランスポートプロトコル[RFC6046]のために使用される暗号化のために必要な必要な証明書を提供することになります。
The use of pre-shared keys may be considered for authentication. If this option is selected, the specifications set forth in "Pre-Shared Key Ciphersuites for Transport Layer Security (TLS)" [RFC4279] MUST be followed.
事前共有キーの使用は、認証のために考慮することができます。このオプションが選択されている場合は、[RFC4279]「トランスポート層セキュリティ（TLS）のために事前共有キー暗号の組み合わせ」に記載された仕様に従わなければなりません。
Hosts receiving a RID message MUST be able to verify that the sender of the request is valid and trusted. Using digital signatures on a hash of the RID message with an X.509 version 3 certificate issued by a trusted party MUST be used to authenticate the request. The X.509 version 3 specifications as well as the digital signature specifications and path validation standards set forth in [RFC5280] MUST be followed in order to interoperate with a PKI designed for similar purposes. The IODEF specification MUST be followed for digital signatures to provide the authentication and integrity aspects required for secure messaging between network providers. The use of digital signatures in RID XML messages MUST follow the World Wide Web Consortium (W3C) recommendations for signature syntax and processing when either the XML encryption [XMLencrypt] or digital signature [XMLsig], [RFC3275] is used within a document. Transport specifications are detailed in a separate document [RFC6046].
RIDメッセージを受信したホストは、要求の送信者が有効であり、信頼されていることを確認することができなければなりません。信頼されたパーティによって発行されたX.509バージョン3証明書を使用してRIDメッセージのハッシュにデジタル署名を使用すると、要求を認証するために使用しなければなりません。 X.509バージョン3つの仕様、ならびに[RFC5280]に記載されたデジタル署名仕様およびパス検証基準は、同様の目的のために設計されたPKIと相互運用するために従わなければなりません。 IODEF仕様は、ネットワークプロバイダー間のセキュアなメッセージングのために必要な認証と完全性の側面を提供するために、デジタル署名のために従わなければなりません。 XML暗号化[XMLencrypt]またはデジタル署名[XMLsig]、[RFC3275]のいずれかは、文書内で使用される場合RID XMLメッセージにデジタル署名を使用することは、署名構文および処理のためのワールド・ワイド・ウェブ・コンソーシアム（W3C）勧告に従わなければなりません。トランスポート仕様は別の文書[RFC6046]に詳述されています。
It might be helpful to define an extension to the authentication scheme that uses attribute certificates [RFC5755] in such a way that an application could automatically determine whether human intervention is needed to authorize a request; however, the specification of such an extension is out of scope for this document.
アプリケーションが自動的に人間の介入が要求を承認するために必要とされるかどうかを決定することができるような方法で、属性証明書[RFC5755]を使用する認証方式への拡張を定義すると便利かもしれません。しかしながら、そのような拡張の仕様は、この文書の範囲外です。
Bilateral trust relations between network providers ensure the authenticity of requests for TraceRequests from immediate peers in the web of networks formed to provide the traceback capability. A network provider several hops into the path of the RID trace must trust the information from its own trust relationships as well as the previous trust relationships in the downstream path. For practical reasons, the NPs may want to prioritize incident handling events based upon the immediate peer for a TraceRequest, the originator, and the listed Confidence rating for the incident. In order to provide a higher assurance level of the authenticity of the TraceRequest, the originating RID system is included in the TraceRequest along with contact information and the information of all RID systems in the path the trace has taken. This information is provided through the IODEF EventData class nesting the list of systems and contacts involved in a trace, while setting the category attribute to "infrastructure".
ネットワークプロバイダ間の二国間の信頼関係は、トレースバック機能を提供するように形成されたネットワークのウェブでの直接のピアからTraceRequestsの要求の正当性を保証します。いくつかのホップRIDトレースのパスにネットワークプロバイダは、独自の信頼関係だけでなく、下流のパスに以前の信頼関係からの情報を信頼する必要があります。実用上の理由から、NPはTraceRequest、創始者、およびインシデントについて記載されている信頼の評価のための即時のピアに基づいてインシデントハンドリングイベントの優先順位を決定することをお勧めします。 TraceRequestの真正性の高い保証レベルを提供するために、発信RIDシステムは、連絡先情報とトレースが取った経路内のすべてのRIDシステムの情報とともにTraceRequestに含まれています。 「インフラ」へのカテゴリ属性を設定しながら、この情報は、トレースに関わるシステムや連絡先のリストをネストIODEF EventDataのクラスを介して提供されます。
A second measure MUST be taken to ensure the identity of the originating RID system. The originating RID system MUST include a digital signature in the TraceRequest sent to all systems in the upstream path. The digital signature from the RID system is performed on the RecordItem class of the IODEF following the XML digital signature specifications from W3C [XMLsig] using a detached signature. The signature MUST be passed to all parties that receive a TraceRequest, and each party MUST be able to perform full path validation on the digital signature. Full path validation verifies the chaining relationship to a trusted root and also performs a certificate revocation check. In order to accommodate that requirement, the IP packet in the RecordItem data MUST remain unchanged as a request is passed along between providers and is the only element for which the signature is applied. If additional packets are included in the document at upstream peers, the initial packet MUST still remain with the detached signature. The subsequent packets may be signed by the peer adding the incident information for the investigation. A second benefit to this requirement is that the integrity of the filter used is ensured as it is passed to subsequent NPs in the upstream trace of the packet. The trusted PKI also provides the keys used to digitally sign the RecordItem class for TraceRequests to meet the requirement of authenticating the original request. Any host in the path of the trace should be able to verify the digital signature using the trusted PKI.
第二の尺度は、発信RIDシステムの身元を保証するために注意しなければなりません。発信RIDシステムはアップストリームパスのすべてのシステムに送信TraceRequestにデジタル署名を含まなければなりません。 RIDシステムからのデジタル署名は、分離署名を使用してW3C [XMLsig]からXMLデジタル署名仕様以下IODEFのRecordItemクラスに対して実行されます。署名はTraceRequestを受けるすべての関係者に渡さなければならない、と各当事者は、デジタル署名に完全なパス検証を実行できなければなりません。フル・パス検証は信頼されたルートに連鎖関係を検証し、また、証明書失効チェックを実行します。要求をプロバイダ間に沿って通過し、署名が適用されている唯一の要素であるように、その要求に対応するために、RecordItemデータにおけるIPパケットは変更されないままでなければなりません。追加のパケットが上流のピアにドキュメントに含まれている場合、最初のパケットはまだ分離署名で維持されなければなりません。後続のパケットは、調査のためにインシデント情報を追加すること、ピアによって署名されてもよいです。この要件の第2の利点は、それがパケットの上流トレースに後続のNPに送られるように使用されるフィルタの整合性が確保されることです。信頼されたPKIもデジタルで元の要求を認証の要件を満たすためにTraceRequestsためRecordItemクラスの署名に使用されるキーを提供します。トレースの経路内の任意のホストは、信頼できるPKIを使用してデジタル署名を検証することができなければなりません。
In the case in which an enterprise network using RID sends a TraceRequest to its provider, the signature from the enterprise network MUST be included in the initial request. The NP may generate a new request to send upstream to members of the NP consortium to continue the trace. If the original request is sent, the originating NP, acting on behalf of the enterprise network under attack, MUST also digitally sign, with an enveloped signature, the full IODEF document to assure the authenticity of the TraceRequest. An NP that offers RID as a service may be using its own PKI to secure RID communications between its RID system and the attached enterprise networks. NPs participating in the trace MUST be able to determine the authenticity of RID requests.
RIDを使用して企業ネットワークは、そのプロバイダにTraceRequestを送信する場合に、企業ネットワークからの署名を最初の要求に含まれなければなりません。 NPは、トレースを継続するNPコンソーシアムのメンバーに上流に送信するための新しい要求を生成してもよいです。元の要求が送信された場合は、発信元NPは、攻撃を受けて企業ネットワークのために行動する、また、デジタルエンベロープ署名で、フルIODEF文書はTraceRequestの信憑性を保証するために、署名しなければなりません。サービスとしてRID提供NPは、そのRIDシステムおよび接続されている企業ネットワークとの間のRIDの通信を確保するために、独自のPKIを使用してもよいです。トレースに参加NPはRID要求の信憑性を決定できなければなりません。
Consortiums of NPs are an ideal way to establish a communication web of trust for RID messaging. The consortium could provide centralized resources, such as a PKI, and established guidelines for use of the RID protocol. The consortium would also assist in establishing trust relationships between the participating NPs to achieve the necessary level of cooperation and experience-sharing among the consortium entities. This may be established through PKI certificate policy [RFC3647] reviews to determine the appropriate trust levels between organizations or entities. The consortium may also be used for other purposes to better facilitate communication among NPs in a common area (Internet, region, government, education, private networks, etc.).
NPのコンソーシアムは、RIDメッセージングの信頼の通信網を確立するための理想的な方法です。コンソーシアムは、RIDプロトコルを使用するため、このようなPKIなどの集中リソース、および確立されたガイドラインを提供することができます。コンソーシアムはまた、コンソーシアムのエンティティ間の協力や経験の共有の必要なレベルを達成するために、参加NPの間の信頼関係を確立するのに役立つでしょう。これは、PKI証明書ポリシーを介して確立することができる[RFC3647]は、組織や団体との間に適切な信頼レベルを決定するために検討します。コンソーシアムはまた、より良い共通領域（インターネット等、地域、行政、教育、プライベートネットワーク、）でのNP間の通信を容易にするために、他の目的に使用することができます。
Using a PKI to distribute certificates used by RID systems provides an already established method to link trust relationships between NPs of consortiums that would peer with NPs belonging to a separate consortium. In other words, consortiums could peer with other consortiums to enable communication of RID messages between the participating NPs. The PKI along with Memorandums of Agreement could be used to link border directories to share public key information in a bridge, a hierarchy, or a single cross-certification relationship.
RIDシステムによって使用される証明書を配布するためにPKIを使用して別のコンソーシアムに属するNPを用いてピアなるコンソーシアムのNPの間の信頼関係をリンクする、既に確立された方法を提供します。換言すれば、コンソーシアムは、参加のNP間RIDメッセージの通信を可能にするために、他のコンソーシアムとピアができました。協定の覚書と一緒にPKIは、ブリッジ、階層、または単一相互認証関係にある公開鍵情報を共有するために国境ディレクトリをリンクするために使用することができます。
Consortiums also need to establish guidelines for each participating NP to adhere to. The RECOMMENDED guidelines include:
コンソーシアムはまたに付着する各参加NPのためのガイドラインを確立する必要があります。推奨ガイドラインは次のとおりです。
o Physical and logical practices to protect RID systems;
RIDシステムを保護するための物理的および論理的な慣行O;
o Network and application layer protection for RID systems and communications;
RIDシステムとの通信のためのOネットワークおよびアプリケーション層の保護;
o Proper use guidelines for RID systems, messages, and requests; and
RIDシステム、メッセージ、および要求のための適切な使用ガイドラインO;そして
o A PKI to provide authentication, integrity, and privacy.
O PKIは、認証、完全性、プライバシーを提供します。
The functions described for a consortium's role would parallel that of a PKI federation. The PKI federations that currently exist are responsible for establishing security guidelines and PKI trust models. The trust models are used to support applications to share information using trusted methods and protocols.
コンソーシアムの役割のために記載されている機能は、PKIフェデレーションのことを平行ます。現在存在PKI連盟は、セキュリティガイドライン及びPKIの信頼モデルを確立する責任があります。信頼モデルは、信頼できる方法およびプロトコルを使用して情報を共有するためのアプリケーションをサポートするために使用されています。
A PKI can also provide the same level of security for communication between an end entity (enterprise, educational, or government customer network) and the NP. The PKI may be a subordinate CA or in the CA hierarchy from the NP's consortium to establish the trust relationships necessary as the request is made to other connected networks.
PKIは、エンドエンティティ（企業、教育、または政府の顧客ネットワーク）とNPとの間の通信のために同じレベルのセキュリティを提供することができます。 PKIは、要求が、他の接続されたネットワークに行われるよう、必要な信頼関係を確立するために、NPのコンソーシアムからの下位CAまたはCA階層であってもよいです。
Privacy issues raise many concerns when information-sharing is required to achieve the goal of stopping or mitigating the effects of a security incident. The RIDPolicy class is used to automate the enforcement of the privacy concerns listed within this document. The privacy and system use concerns that MUST be addressed in the RID system and other integrated components include the following:
情報共有を停止したり、セキュリティインシデントの影響を緩和するという目標を達成するために必要とされるとき、プライバシーの問題は、多くの懸念を生じさせます。 RIDPolicyクラスは、この文書の中に記載されているプライバシーの問題の施行を自動化するために使用されます。プライバシーとシステム利用RIDシステムに取り組まなければならない懸念やその他の統合されたコンポーネントは次のとおりです。
Network Provider Concerns:
ネットワークプロバイダの懸念：
o Privacy of data monitored and/or stored on IDSs for attack detection.
Oデータのプライバシーは、監視および/または攻撃の検出のためのIDSに保存されています。
o Privacy of data monitored and stored on systems used to trace traffic across a single network.
Oデータのプライバシーは、単一のネットワーク上のトラフィックを追跡するために使用されるシステム上で監視され、保存されました。
Customer Attached Networks Participating in RID with NP:
NPとRIDに参加カスタマー接続されたネットワーク：
o Customer networks may include an enterprise, educational, government, or other attached networks to an NP participating in RID and MUST be made fully aware of the security and privacy considerations for using RID.
Oの顧客ネットワークは、企業、教育、政府、またはRIDに参加NPへの他の接続されたネットワークを含むこともできるし、RID使用するためのセキュリティとプライバシーの配慮を十分に認識しなければなりません。
o Customers MUST know the security and privacy considerations in place by their NP and the consortium of which the NP is a member.
O顧客は、NPとNPがメンバーとなっているコンソーシアムによって所定の位置に、セキュリティとプライバシーの考慮事項を知っている必要があります。
o Customers MUST understand that their data can and will be sent to other NPs in order to complete a trace unless an agreement stating otherwise is made in the service level agreements between the customer and NP.
Oお客様は、そうでない旨の契約が顧客とNPとの間のサービスレベル契約に作られていない限り、そのデータは、トレースを完了するために他のNPに送信されることを理解しなければなりません。
Parties Involved in the Attack:
攻撃当事者：
o Privacy of the identity of a host involved in an attack.
攻撃に関与したホストのアイデンティティのOプライバシー。
o Privacy of information such as the source and destination used for communication purposes over the monitored or RID connected network(s).
そのような監視またはRID接続されたネットワーク（複数可）を介した通信のために使用される送信元および宛先の情報のOプライバシー。
o Protection of data from being viewed by intermediate parties in the path of an Investigation request MUST be considered.
O調査要求の経路における中間パーティによって視聴されているデータの保護が考慮されなければなりません。
Consortium Considerations:
コンソーシアムの考慮事項：
o System use restricted to security incident handling within the local region's definitions of appropriate traffic for the network monitored and linked via RID in a single consortium also abiding by the consortium's use guidelines.
Oネットワークのための適切なトラフィックの局所的な領域の定義に取り扱いセキュリティインシデントに制限システムの使用が監視され、また、コンソーシアムの使用ガイドラインを遵守し、単一のコンソーシアムにRIDを介して結合しています。
o System use prohibiting the consortium's participating NPs from inappropriately tracing non-attack traffic to locate sources or mitigate traffic unlawfully within the jurisdiction or region.
不適切な情報源を見つけるか、不法に管轄や地域内のトラフィックを軽減するために、非攻撃トラフィックをトレースからコンソーシアムの参加のNPを禁止Oシステムを使用。
Inter-Consortium Considerations:
間コンソーシアムの考慮事項：
o System use between peering consortiums MUST also adhere to any government communication regulations that apply between those two regions, such as encryption export and import restrictions. This may include consortiums that are categorized as "BetweenConsortiums" or "AcrossNationalBoundaries".
Oピアリングコンソーシアム間のシステムを使用することも、このような暗号化の輸出と輸入制限など、これらの2つの領域の間で適用される政府の通信規制を遵守しなければなりません。これは、「BetweenConsortiums」または「AcrossNationalBoundaries」として分類されているコンソーシアムを含むことができます。
o System use between consortiums MUST NOT request traffic traces and actions beyond the scope intended and permitted by law or inter-consortium agreements.
コンソーシアム間のOシステムでの使用は意図され、法律またはインターコンソーシアム協定によって許可範囲を超えたトラフィック跡とアクションを要求してはなりません。
o System use between consortiums classified as "AcrossNationalBoundaries" MUST respect national boundary issues and limit requests to appropriate system use and not to achieve their own agenda to limit or restrict traffic that is otherwise permitted within the country in which the peering consortium resides.
O「AcrossNationalBoundaries」として分類さコンソーシアム間のシステムの使用が適切なシステムの使用に国家の境界の問題と制限要求を尊重しなければならないし、そうでないピアリングコンソーシアムが置かれている国の中で許可されたトラフィックを制限または制限するための独自の課題を達成することはありません。
The security and privacy considerations listed above are for the consortiums, NPs, and enterprises to agree upon. The agreed-upon policies may be facilitated through use of the RIDPolicy class. Some privacy considerations are addressed through the RID guidelines for encryption and digital signatures as described at the beginning of Section 6.
コンソーシアム、のNP、および企業が合意するために、上記のセキュリティとプライバシーの考慮事項があります。合意されたポリシーはRIDPolicyクラスを使用して容易にすることができます。第6節の冒頭で述べたように、一部のプライバシーの考慮事項は、暗号化とデジタル署名のためのRIDガイドラインによって対処されています。
RID is useful in determining the true source of a packet that traverses multiple networks or to communicate security incidents and automate the response. The information obtained from the trace may determine the identity of the source host or the network provider used by the source of the traffic. It should be noted that the trace mechanism used across a single-network provider may also raise privacy concerns for the clients of the network. Methods that may raise concern include those that involve storing packets for some length of time in order to trace packets after the fact. Monitoring networks for intrusions and for tracing capabilities also raises concerns for potentially sensitive valid traffic that may be traversing the monitored network. IDSs and single-network tracing are outside of the scope of this document, but the concern should be noted and addressed within the use guidelines of the network. Some IDSs and single-network trace mechanisms attempt to properly address these issues. RID is designed to provide the information needed by any single-network trace mechanism. The provider's choice of a single trace mechanism depends on resources, existing solutions, and local legislation. Privacy concerns in regard to the single-network trace must be dealt with at the client-to-NP level and are out of scope for RID messaging.
RIDは、複数のネットワークを横断するか、セキュリティインシデントを通信し、応答を自動化するためにパケットの真の原因を決定するのに有用です。トレースから得られた情報は、ソースホストまたはトラフィックのソースによって使用されるネットワーク・プロバイダのアイデンティティを決定することができます。単一のネットワークプロバイダ間で使用されるトレースメカニズムは、ネットワークのクライアントのためのプライバシーの問題を提起できることに留意すべきです。懸念を提起する方法は、事実の後にパケットをトレースするために、時間のいくつかの長さのためにパケットを格納関与するものが含まれます。侵入のためや能力をトレースするためのネットワークを監視することも監視ネットワークを通過することができる潜在的に敏感な有効なトラフィックのための懸念を提起します。 IDSは単一のネットワークトレースは、この文書の範囲外であるが、懸念が指摘し、ネットワークの使用ガイドラインの範囲内に対処する必要があります。いくつかのIDSおよび単一ネットワークトレースメカニズムは正しくこれらの問題に対処しようとします。 RIDは、任意の単一のネットワーク・トレース・メカニズムが必要とする情報を提供するように設計されています。単一のトレース機構のプロバイダの選択は資源、既存のソリューション、および現地の法律に依存します。シングルネットワークトレースに関してはプライバシーの問題は、クライアント・ツー・NPレベルで対処し、RIDメッセージングのための適用範囲外であることが必要です。
The identity of the true source of an attack packet being traced through RID could be sensitive. The true identity listed in a Result message can be protected through the use of encryption [XMLencrypt] enveloping the IODEF document and RID Result information, using the public encryption key of the originating NP. Alternatively, the action taken may be listed without the identity being revealed to the originating NP. The ultimate goal of the RID communication system is to stop or mitigate attack traffic, not to ensure that the identity of the attack traffic is known to involved parties. The NP that identifies the source should deal directly with the involved parties and proper authorities in order to determine the guidelines for the release of such information, if it is regarded as sensitive. In some situations, systems used in attacks are compromised by an unknown source and, in turn, are used to attack other systems. In that situation, the reputation of a business or organization may be at stake, and the action taken may be the only additional information reported in the Result message to the originating system. If the security incident is a minor incident, such as a zombie system used in part of a large-scale DDoS attack, ensuring the system is taken off the network until it has been fixed may be sufficient. The decision is left to the system users and consortiums to determine appropriate data to be shared given that the goal of the specification is to provide the appropriate technical options to remain compliant. The textual descriptions should include details of the incident in order to protect the reputation of the unknowing attacker and prevent the need for additional investigation. Local, state, or national laws may dictate the appropriate reporting action for specific security incidents.
RIDてトレースされている攻撃パケットの真の源のアイデンティティは敏感である可能性があります。結果メッセージに記載されている真のアイデンティティは暗号化[XMLencrypt]元のNPの公開暗号鍵を使用して、IODEF文書とRID結果情報を包むを使用して保護することができます。代替的に、実行されるアクションは、発信NPに明らかにされているアイデンティティずに挙げられます。 RID通信システムの究極の目標は、攻撃トラフィックの識別は関係者に知られることを保証するのではなく、攻撃トラフィックを停止または軽減することです。それは機密とみなされた場合、このような情報のリリースのための指針を決定するために、関係者との適切な当局を直接扱う必要があるソースを識別するNP。いくつかの状況では、攻撃に使用されるシステムは、未知のソースによって侵害されていると、今度は、他のシステムを攻撃するために使用されています。そのような状況では、企業や組織の評判が危機に瀕していてもよく、行われたアクションは、発信システムに結果メッセージで報告された唯一の追加情報であってもよいです。セキュリティインシデントは、このような大規模DDoS攻撃の一部で使用されるゾンビシステムとしてマイナー入射である場合、それは固定されるまで、システムがネットワークから外されている確保が十分であってもよいです。決定は、仕様の目標に準拠したままに適切な技術的なオプションを提供することであることを考えると共有する適切なデータを決定するためにシステムのユーザーとコンソーシアムに任されています。テキスト記述は、無知な攻撃者の評判を保護し、追加調査の必要性を防止するために、事件の詳細を含める必要があります。地方、州、または国の法律は、特定のセキュリティインシデントの適切な報告アクションを指示することができます。
Privacy becomes an issue whenever sensitive data traverses a network. For example, if an attack occurred between a specific source and destination, then every network provider in the path of the trace would become aware that the cyber attack occurred. In a targeted attack, it may not be desirable that information about two nation states that are battling a cyber war would become general knowledge to all intermediate parties. However, it is important to allow the traces to take place in order to halt the activity since the health of the networks in the path could also be at stake during the attack. This provides a second argument for allowing the Result message to only include an action taken and not the identity of the offending host. In the case of an Investigation request, where the originating NP is aware of the NP that will receive the request for processing, the free-form text areas of the document could be encrypted [XMLencrypt] using the public key of the destination NP to ensure that no other NP in the path can read the contents. The encryption would be accomplished through the W3C [XMLencrypt] specification for encrypting an element.
プライバシーは、機密データがネットワークを通過するたびに問題となります。攻撃は、特定の送信元と宛先との間で発生した場合、例えば、その後、トレースの経路におけるすべてのネットワーク・プロバイダは、サイバー攻撃が発生したことを気付くであろう。標的型攻撃では、サイバー戦争を戦っている2つの国民国家の情報はすべて、中間当事者に一般的な知識になることが望ましいではないかもしれません。パス内のネットワークの健康状態も攻撃中に絡んで可能性があるためしかし、トレースが活動を停止するために場所を取ることができるようにすることが重要です。これは、実行されたアクションではなく、問題のあるホストのIDが含まれるように結果メッセージを可能にするための第二引数を提供します。処理の要求を受信するNPはNPを認識している発信調査依頼の場合には、文書の自由形式のテキスト領域を確保するために先NPの公開鍵を用いて暗号化[XMLencrypt】することができパス内の他のNPは、内容を読み取ることができないこと。暗号化要素を暗号化するためのW3C [XMLencrypt明細書を通じて達成されるであろう。
In some situations, all network traffic of a nation may be granted through a single network provider. In that situation, options must support sending Result messages from a downstream peer of that network provider. That option provides an additional level of abstraction to hide the identity and the NP of the identified source of the traffic. Legal action may override this technical decision after the trace has taken place, but that is out of the technical scope of this document.
いくつかの状況では、全国のすべてのネットワークトラフィックは、単一のネットワークプロバイダを介して付与することができます。そのような状況では、オプションは、そのネットワークプロバイダの下流ピアから結果のメッセージの送信をサポートしなければなりません。そのオプションは、アイデンティティとトラフィックの識別されたソースのNPを隠すために抽象化のレベルを追加提供します。トレースが行われた後に法的措置は、この技術的な意思決定を無効にすることができるが、それは、この文書の技術的範囲外です。
Privacy concerns when using an Investigation request to request action close to the source of valid attack traffic needs to be considered. Although the intermediate NPs may relay the request if there is no direct trust relationship to the closest NP to the source, the intermediate NPs do not require the ability to see the contents of the packet or the text description field(s) in the request. This message type does not require any action by the intermediate RID systems, except to relay the packet to the next NP in the path. Therefore, the contents of the request may be encrypted for the destination system. The intermediate NPs would only need to know how to direct the request to the manager of the ASN in which the source IP address belongs.
有効な攻撃トラフィックのソースに近い行動を要求する調査要求を使用するときにプライバシーの問題を考慮する必要があります。中間NPが要求を中継することができるが、ソースに最も近いNPへの直接の信頼関係が存在しない場合は、中間NPは、要求パケットの内容またはテキスト記述フィールド（複数可）を見る能力を必要としません。パス内の次のNPにパケットを中継することを除いて、このメッセージタイプは、中間RIDシステムによる任意のアクションを必要としません。したがって、要求の内容は、宛先システムのために暗号化されてもよいです。中間NPは唯一のソースIPアドレスが属するASNのマネージャに要求を指示する方法を知っている必要があります。
Traces must be legitimate security-related incidents and not used for purposes such as sabotage or censorship. An example of such abuse of the system would include a request to block or rate-limit legitimate traffic to prevent information from being shared between users on the Internet (restricting access to online versions of papers) or restricting access from a competitor's product in order to sabotage a business.
トレースは、このような破壊行為や検閲などの目的のために使用され、正当なセキュリティ関連の事件やないでなければなりません。システムのこうした虐待の例としては、（論文のオンライン版へのアクセスを制限する）、またはするために、競合他社の製品からのアクセスを制限し、インターネット上のユーザー間で共有されることから情報を防ぐためにブロックする要求またはレート制限正当なトラフィックが含まれるであろうビジネスを妨害。
Intra-consortium RID communications raise additional issues, especially when the peering consortiums reside in different regions or nations. TraceRequests and requested actions to mitigate traffic must adhere to the appropriate use guidelines and yet prevent abuse of the system. First, the peering consortiums MUST identify the types of traffic that can be traced between the borders of the participating NPs of each consortium. The traffic traced should be limited to security-incident-related traffic. Second, the traces permitted within one consortium if passed to a peering consortium may infringe upon the peering consortium's freedom of information laws. An example would be a consortium in one country permitting a trace of traffic containing objectionable material, outlawed within that country. The RID trace may be a valid use of the system within the confines of that country's network border; however, it may not be permitted to continue across network boundaries where such content is permitted under law. By continuing the trace in another country's network, the trace and response could have the effect of improperly restricting access to data. A continued trace into a second country may break the laws and regulations of that nation. Any such traces MUST cease at the country's border.
イントラコンソーシアムRID通信がピアリングコンソーシアムは、さまざまな地域や国に存在する場合は特に、追加的な問題を提起します。 TraceRequestsとトラフィックが適切な使用ガイドラインを遵守し、まだシステムの乱用を防止しなければならない軽減するための措置を要求しました。まず、ピアリングコンソーシアムは、各コンソーシアムの参加NPの国境の間でたどることができるトラフィックの種類を特定しなければなりません。トレースされたトラフィックは、セキュリティインシデント関連のトラフィックに制限する必要があります。第二に、ピアリングコンソーシアムに渡された場合は、1つのコンソーシアム内許さトレースは、情報法のピアリングコンソーシアムの自由を侵害することがあります。例では、その国の中に非合法好ましくない材料を含むトラフィックのトレースを、許可一つの国におけるコンソーシアムだろう。 RIDトレースは、その国のネットワーク境界の範囲内でシステムの有効な使用であってもよく、しかし、そのようなコンテンツが法律の下で許可されているネットワークの境界を越えて継続することが許可されない場合があります。他の国のネットワーク内のトレースを続けることで、トレースと応答が不適切なデータへのアクセスを制限する効果を持つことができます。第二国への継続的なトレースは、その国の法律や規制を破ることがあります。そのような任意のトレースは、国の国境で停止する必要があります。
The privacy concerns listed in this section address issues among the trusted parties involved in a trace within an NP, a RID consortium, and peering RID consortiums. Data used for RID communications must also be protected from parties that are not trusted. This protection is provided through the authentication and encryption of documents as they traverse the path of trusted servers. Each RID system MUST perform a bi-directional authentication when sending a RID message and use the public encryption key of the upstream or downstream peer to send a message or document over the network. This means that the document is decrypted and re-encrypted at each RID system via TLS over the transport protocol [RFC6046]. The RID messages may be decrypted at each RID system in order to properly process the request or relay the information. Today's processing power is more than sufficient to handle the minimal burden of encrypting and decrypting relatively small typical RID messages.
NP内のトレースに関わる信頼できる関係者の間で、このセクションアドレスの問題に記載されているプライバシーの問題、RIDコンソーシアム、およびRIDコンソーシアムをピアリング。 RIDの通信に使用されるデータも信頼されていない関係者から保護されなければなりません。彼らは、信頼できるサーバのパスを横断するように、この保護は、文書の認証と暗号化を介して提供されます。各RIDシステムは、RIDメッセージを送信するときに、双方向の認証を実行し、ネットワークを介してメッセージや文書を送信するために、上流または下流のピアの公開暗号化鍵を使用しなければなりません。これは、文書を復号及び転送プロトコル[RFC6046]上TLSを介して各RIDシステムで再暗号化されることを意味します。 RIDメッセージは正しく要求を処理するか、情報を中継するために、各RID方式で復号化することができます。今日の処理能力は比較的小さく、典型的なRIDメッセージを暗号化および復号化の最小限の負担を処理するのに十分以上のものです。
This document uses URNs to describe XML namespaces and XML schemas [XMLschema] conforming to a registry mechanism described in [RFC3688].
この文書では、[XMLSCHEMA] [RFC3688]に記載されたレジストリ・メカニズムに準拠するXML名前空間とXMLスキーマを記述するためのURNを使用します。
Registration request for the iodef-rid namespace:
IODEF-RID名前空間の登録要求：
URI: urn:ietf:params:xml:ns:iodef-rid-1.0
URI：URN：IETF：のparams：XML：NS：IODEF-RID-1.0
Registrant Contact: See the "Author's Address" section of this document.
登録者連絡先：このドキュメントの「著者のアドレス」を参照してください。
XML: None. Namespace URIs do not represent an XML specification.
XML：なし。名前空間URIはXMLの仕様を示すものではありません。
Registration request for the iodef-rid XML schema:
IODEF-RID XMLスキーマの登録要求：
URI: urn:ietf:params:xml:schema:iodef-rid-1.0
URI：URN：IETF：のparams：XML：スキーマ：IODEF-RID-1.0
Registrant Contact: See the "Author's Address" section of this document.
登録者連絡先：このドキュメントの「著者のアドレス」を参照してください。
XML: See Section 5, "RID Schema Definition", of this document.
XML：このドキュメントのセクション5、「RIDスキーマ定義」を参照してください。
Security incidents have always been difficult to trace as a result of the spoofed sources, resource limitations, and bandwidth utilization problems. Incident response is often slow even when the IP address is known to be valid because of the resources required to notify the responsible party of the attack and then to stop or mitigate the attack traffic. Methods to identify and trace attacks near real time are essential to thwarting attack attempts. Network providers need policies and automated methods to combat the hacker's efforts. NPs need automated monitoring and response capabilities to identify and trace attacks quickly without resource-intensive side effects. Integration with a centralized communication system to coordinate the detection, tracing, and identification of attack sources on a single network is essential. RID provides a way to integrate NP resources for each aspect of attack detection, tracing, and source identification and extends the communication capabilities among network providers. The communication is accomplished through the use of flexible IODEF XML-based documents passed between IHSs or RID systems. A TraceRequest or Investigation request is communicated to an upstream NP and may result in an upstream trace or in an action to stop or mitigate the attack traffic. The messages are communicated among peers with security inherent to the RID messaging scheme provided through existing standards such as XML encryption and digital signatures. Policy information is carried in the RID message itself through the use of the RIDPolicy. RID provides the timely communication among NPs, which is essential for incident handling.
セキュリティインシデントは常に偽装されたソース、リソースの制限、および帯域幅の使用率の問題の結果としてトレースすることが困難でした。インシデントレスポンスは、IPアドレスがあるため、攻撃の責任者に通知するようにして、攻撃トラフィックを停止または軽減するために必要なリソースの有効であることが知られている場合でも、多くの場合、低速です。ほぼリアルタイムの攻撃を識別して追跡する方法は、攻撃の試みを阻止するために不可欠です。ネットワークプロバイダはハッカーの努力に対抗するためのポリシーおよび自動化された方法を必要としています。 NPは、リソース集約型の副作用なしにすぐに攻撃を特定し、追跡するために自動化された監視および応答能力を必要としています。集中通信システムとの統合は、単一のネットワーク上での攻撃源の検出、追跡、および識別を調整することが不可欠です。 RIDは、攻撃の検出、追跡、およびソース識別の各態様のためにNPのリソースを統合する方法を提供し、ネットワークプロバイダ間の通信機能を拡張します。通信はIHSSまたはRIDシステム間でやり取りされるフレキシブルIODEF XMLベースのドキュメントの使用を介して達成されます。 TraceRequestまたは調査要求は、上流NPに伝達され、上流のトレースまたは停止または攻撃トラフィックを軽減する作用をもたらすことができます。メッセージには、XMLの暗号化やデジタル署名などの既存の規格を介して提供さRIDメッセージングスキームに固有のセキュリティでのピア間でやりとりされています。ポリシー情報はRIDPolicyを使用してRIDメッセージ自体に運ばれます。 RIDは、インシデントハンドリングのために不可欠であるのNPの中でタイムリーなコミュニケーションを提供します。
[RFC2119] Bradner, S., "Key words for use in RFCs to Indicate Requirement Levels", BCP 14, RFC 2119, March 1997.
[RFC2119]ブラドナーの、S.、 "要件レベルを示すためにRFCsにおける使用のためのキーワード"、BCP 14、RFC 2119、1997年3月。
[RFC3275] Eastlake 3rd, D., Reagle, J., and D. Solo, "(Extensible Markup Language) XML-Signature Syntax and Processing", RFC 3275, March 2002.
[RFC3275]イーストレーク3、D.、Reagle、J.、およびD.ソロ "（拡張マークアップ言語）、XML署名の構文および処理"、RFC 3275、2002年3月。
[RFC3688] Mealling, M., "The IETF XML Registry", BCP 81, RFC 3688, January 2004.
[RFC3688] Mealling、M.、 "IETF XMLレジストリ"、BCP 81、RFC 3688、2004年1月。
[RFC4279] Eronen, P., Ed., and H. Tschofenig, Ed., "Pre-Shared Key Ciphersuites for Transport Layer Security (TLS)", RFC 4279, December 2005.
[RFC4279] Eronen、P.、エド。、およびH. Tschofenig、エド。、 "事前共有鍵暗号の組み合わせトランスポート層セキュリティ（TLS）のために"、RFC 4279、2005年12月。
[RFC5070] Danyliw, R., Meijer, J., and Y. Demchenko, "The Incident Object Description Exchange Format", RFC 5070, December 2007.
[RFC5070] Danyliw、R.、マイヤー、J.、およびY. Demchenko、 "インシデントオブジェクト説明交換フォーマット"、RFC 5070、2007年12月。
[RFC5280] Cooper, D., Santesson, S., Farrell, S., Boeyen, S., Housley, R., and W. Polk, "Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile", RFC 5280, May 2008.
[RFC5280]クーパー、D.、Santesson、S.、ファレル、S.、Boeyen、S.、Housley氏、R.、およびW.ポーク、「インターネットX.509公開鍵暗号基盤証明書と証明書失効リスト（CRL）のプロフィール」、RFC 5280、2008年5月。
[RFC5755] Farrell, S., Housley, R., and S. Turner, "An Internet Attribute Certificate Profile for Authorization", RFC 5755, January 2010.
[RFC5755]ファレル、S.、Housley氏、R.、およびS.ターナー、 "認可のためのインターネット属性証明書プロフィール"、RFC 5755、2010年1月。
[RFC6046] Moriarty, K. and B. Trammell, "Transport of Real-Time Inter-Network Defense (RID) Messages," RFC 6046, November 2010.
[RFC6046]モリアーティ、K.とB.トラメル、 "リアルタイム間ネットワーク防衛の輸送（RID）メッセージ、" RFC 6046、2010年11月。
[XML1.0] "Extensible Markup Language (XML) 1.0 (Second Edition)". W3C Recommendation. T. Bray, E. Maler, J. Paoli, and C.M. Sperberg-McQueen. October 2000. http://www.w3.org/TR/2000/REC-xml-20001006.
[XML1.0] "拡張マークアップ言語（XML）1.0（第二版）"。 W3C勧告。 T.ブレイ、E. MALER、J.パオリ、及びC.M。 Sperberg-マックイーン。 2000年10月http://www.w3.org/TR/2000/REC-xml-20001006。
[XMLnames] "Namespaces in XML 1.0 (Third Edition)". W3C Recommendation. T. Bray, D. Hollander, A. Layman, R. Tobin, H. Thompson. December 2009. http://www.w3.org/TR/REC-xml-names/.
[XMLNAMES] "XML 1.0での名前空間（第3版）"。 W3C勧告。 T.ブレイ、D.オランダ、A.素人、R.トビン、H.トンプソン。 2009年12月http://www.w3.org/TR/REC-xml-names/。
[XMLencrypt] "XML Encryption Syntax and Processing". W3C Recommendation. T. Imamura, B. Dillaway, and E. Simon. December 2002. http://www.w3.org/TR/xmlenc-core/.
[XMLencrypt] "XML暗号化構文と処理"。 W3C勧告。 T.今村、B. Dillaway、及びE.サイモン。 2002年12月http://www.w3.org/TR/xmlenc-core/。
[XMLschema] "XML Schema". E. Van der Vlist. O'Reilly. 2002.
[XMLSCHEMA] "XMLスキーマ"。 E.ファンデVLIST。オライリー。 2002。
[XMLsig] "XML-Signature Syntax and Processing (Second Edition)". W3C Recommendation. M. Bartel, J. Boyer, B. Fox, B. LaMacchia, and E. Simon. June 2008. http://www.w3.org/TR/xmldsig-core/#sec-Design.
[XMLsig] "XML-署名構文および処理（第二版）"。 W3C勧告。 M.バーテル、J.ボイヤー、B.フォックス、B. LaMacchia、及びE.サイモン。 2008年6月http://www.w3.org/TR/xmldsig-core/#sec-Design。
[RFC1930] Hawkinson, J. and T. Bates, "Guidelines for creation, selection, and registration of an Autonomous System (AS)", BCP 6, RFC 1930, March 1996.
[RFC1930]ホーキンソン、J.およびT.ベイツ、 "作成、選択、および自律システム（AS）の登録のためのガイドライン"、BCP 6、RFC 1930、1996年3月。
[RFC2827] Ferguson, P. and D. Senie, "Network Ingress Filtering: Defeating Denial of Service Attacks which employ IP Source Address Spoofing", BCP 38, RFC 2827, May 2000.
[RFC2827]ファーガソン、P.およびD. Senie、 "ネットワーク入力フィルタリング：IP Source Address Spoofingを使うサービス攻撃の敗北拒否"、BCP 38、RFC 2827、2000年5月。
[RFC3647] Chokhani, S., Ford, W., Sabett, R., Merrill, C., and S. Wu, "Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework", RFC 3647, November 2003.
[RFC3647] Chokhani、S.、フォード、W.、Sabett、R.、メリル、C.、およびS.ウー、 "インターネットX.509公開鍵基盤証明書ポリシーと認証実践フレームワーク"、RFC 3647、2003年11月。
[RFC3917] Quittek, J., Zseby, T., Claise, B., and S. Zander, "Requirements for IP Flow Information Export (IPFIX)", RFC 3917, October 2004.
[RFC3917] Quittek、J.、Zseby、T.、Claise、B.、およびS.ザンダー、 "IPフロー情報エクスポート（IPFIX）のための要件"、RFC 3917、2004年10月。
[RFC5735] Cotton, M. and L. Vegoda, "Special Use IPv4 Addresses", BCP 153, RFC 5735, January 2010.
[RFC5735]コットン、M.およびL. Vegoda、 "特別の使用のIPv4アドレス"、BCP 153、RFC 5735、2010年1月。
[IPtrace] "Advanced and Authenticated Marking Schemes for IP Traceback". D. Song and A. Perrig. IEEE INFOCOM 2001.
[IPtrace]「Advancedおよび認証は、IPトレースバックのためのスキームをマーキング」。 D.歌とA. Perrig。 IEEEインフォコム2001。
[HASH-IPtrace] "Hash-Based IP Traceback". A. Snoeren, C. Partridge, L. Sanchez, C. Jones, F. Tchakountio, S. Kent, and W. Strayer. SIGCOMM'01. August 2001.
[HASH-IPtrace] "ハッシュベースのIPトレースバック"。 A. Snoeren、C.ヤマウズラ、L.サンチェス、C.ジョーンズ、F. Tchakountio、S.ケント、およびW.ストレイヤー。 SIGCOMM'01。 2001年8月。
[ICMPtrace] Bellovin, S., Leech, M., and T. Taylor, "ICMP Traceback Messages", Work in Progress, February 2003.
【ICMPtrace] Bellovin氏、S.、リーチ、M.、およびT.テイラー、 "ICMPトレースバックメッセージ"、進歩、2003年2月ワーク。
[NTWK-IPtrace] "Practical network support for IP traceback". S. Savage, D. Wetherall, A. Karlin, and T. Anderson. SIGCOMM'00. August 2000.
[NTWK-IPtrace] "IPトレースバックのための実用的なネットワークサポート"。 S.サベージ、D. Wetherall、A.カーリン、およびT.アンダーソン。 SIGCOMM'00。 2000年8月。
[DoS] "Trends in Denial of Service Attack Technology". K. Houle, G. Weaver, N. Long, and R. Thomas. CERT Coordination Center. October 2001.
[DoS攻撃]「サービス攻撃技術の拒否の動向」。 K.ハウル、G.ウィーバー、N.ロング、およびR.トーマス。 CERTコーディネーションセンター。 2001年10月。
Acknowledgements
謝辞
Many thanks to coworkers and the Internet community for reviewing and commenting on the document as well as providing recommendations to simplify and secure the protocol: Robert K. Cunningham, Ph.D, Cynthia D. McLain, Dr. William Streilein, Iljitsch van Beijnum, Steve Bellovin, Yuri Demchenko, Jean-Francois Morfin, Stephen Northcutt, Jeffrey Schiller, Brian Trammell, Roman Danyliw, Tony Tauber, and Sandra G. Dykes, Ph.D.
見直しと文書でコメントなどのプロトコルを簡略化し、固定するための勧告を提供するための同僚やインターネットコミュニティに感謝：ロバート・K.カニンガム、博士、シンシアD. McLain、博士ウィリアムStreilein、IljitschバンBeijnum、スティーブBellovin氏、ユーリDemchenko、ジャン=フランソワ・Morfin、スティーブン・ノースカット、ジェフリーシラー、ブライアン・トラメル、ローマDanyliw、トニー・タウバー、とサンドラG.ダイクス、博士
Sponsor Information
スポンサー情報
This work was sponsored by the Air Force under Air Force Contract FA8721-05-C-0002, while working at MIT Lincoln Laboratory.
MITリンカーン研究所に勤務しながら、この作品は、空軍契約FA8721-05-C-0002の下で空軍が後援ました。
"Opinions, interpretations, conclusions, and recommendations are those of the author and are not necessarily endorsed by the United States Government".
「意見、解釈、結論、および提言は著者のものであり、必ずしも米国政府によって承認されていません」。
Author's Address
著者のアドレス
Kathleen M. Moriarty RSA, The Security Division of EMC 174 Middlesex Turnpike Bedford, MA 01730 US
キャスリーンM.モリアーティRSA、EMC 174ミドルターンパイクベッドフォードのセキュリティ部門、MA 01730米国
EMail: Moriarty_Kathleen@EMC.com
メールアドレス：Moriarty_Kathleen@EMC.com