邊界閘道協定 (BGP)：以安全為先的指南

什麼是邊界閘道協定？

BGP 控制您的流量在到達安全控制措施之前會經過哪些網路，而攻擊者會利用這個路由層，在您的防火牆安全機制或端點偵測機制看到資料之前先行攔截。NIST SP 800-189 將 BGP 定義為一種路由通訊協定，使不同的自治系統能夠交換路由資訊，並為網際網路流量決定最佳路徑。攻擊者於 2022 年 8 月 17 日透過對 Celer Bridge 發動針對性的 BGP 劫持，竊取了約 235,000 美元的加密貨幣，並將流量重新導向至攻擊者控制的伺服器，持續約三小時。

CISA 稱 BGP 為「你可能從未聽過，但卻是網際網路最重要的部分。」您的防火牆保護邊界。您的端點偵測會阻止惡意軟體。但 BGP 控制您的流量在到達這些安全控制之前會經過哪些網路，這是一個位於大多數企業安全防禦之下的基礎層。

您所運作的協定，其根本上是建立在不安全的信任模型之上。 RFC 4272 指出 BGP 本質上是一種未受保護的協定。此協定缺乏加密機制，無法驗證宣告的自治系統是否擁有 IP 前綴、路由路徑是否真實，以及宣告是否在傳輸途中遭到竄改。

邊界閘道協定與網路安全的關聯

BGP 劫持讓攻擊者能在您的防火牆檢查流量之前攔截您的流量，使其位於您的使用者與邊界防禦之間。您會監控驗證失敗並追查橫向移動，但 BGP 劫持發生在路由層，早於您的 SIEM 平台看到流量之前。當您將 BGP 監控整合到如下平台時 Singularity Data Lake，路由異常會自動與驗證失敗及資料外洩指標建立關聯。

BGP 安全之所以重要，是因為路由層遭到入侵會繞過您的企業邊界安全控制，並在網際網路規模上啟用 中間人攻擊。CISA 警告，BGP 劫持會透過將流量重新導向至攻擊者控制的網路來暴露您的業務資訊，並助長國家層級的間諜活動。要了解攻擊者如何利用 BGP，必須檢視此協定的核心架構元件。

內部與外部 BGP（iBGP 與 eBGP）

BGP 以兩種不同模式運作，具有不同的信任模型與安全意涵。外部 BGP（eBGP）處理自治系統之間的路由，而內部 BGP（iBGP）管理單一 AS 內的路由分發。您的安全態勢必須同時考量兩者的弱點。

eBGP 工作階段會跨越信任邊界，連接不同自治系統中的路由器。這些工作階段通常運行於網路邊緣的路由器之間，也就是您的組織與 ISP、雲端供應商或其他網路建立對等連線之處。eBGP 預設套用 TTL 1，表示對等路由器必須直接連接。攻擊者會鎖定 eBGP 工作階段，因為入侵這些連線可在網際網路規模上攔截流量。

iBGP 會將從 eBGP 對等端學到的路由資訊分發到您的內部網路各處。iBGP 要求 AS 內所有 BGP 發言者之間具備完整網狀連線，或使用路由反射器與聯盟來擴展規模。iBGP 工作階段不會修改 AS path 屬性，這表示透過 iBGP 學到的路由會保留其原始 AS path 以防止迴圈。

這兩種模式之間的安全意涵有所不同：

• eBGP 工作階段會跨越管理邊界，並需要嚴格的過濾原則
• iBGP 假設內部環境可信，若攻擊者取得內部網路存取權便會產生風險
• 路由反射器設定錯誤可能會將不良路由傳播到整個 AS
• iBGP 工作階段劫持可讓具有內部存取權的攻擊者操控路由決策

您的 網路安全 策略應在所有 BGP 工作階段上實作 MD5 驗證，不論類型為何。這份 MANRS enterprise primer建議在每個 eBGP 對等連線點實施嚴格的前綴過濾。對於 iBGP，請分隔路由反射器叢集，並監控您的 AS 內是否有未經授權的 BGP 發言者。

邊界閘道協定的核心元件

三個架構元素造成了攻擊者在 BGP 信任式設計中所利用的弱點：缺乏驗證機制、對等端之間的隱含信任，以及缺少路由驗證能力。

• 自治系統 (AS) 代表受管理控制的獨立網路。您的企業網路、您的 ISP、您的雲端供應商：每一個都作為具有唯一 AS 編號的自治系統運作。
• BGP 對等工作階段 在不同自治系統中的路由器之間建立經驗證的連線，以交換路由資訊。這些連線會組織成供應商-客戶、對等互連，以及客戶-供應商關係，每種關係都有不同的安全意涵。
• 路由宣告 會向對等網路通告 IP 位址前綴。當您的 AS 宣告「我有到達 203.0.113.0/24 的最佳路由」時，相鄰網路會據此更新其路由表。 RFC 4272 確認此協定假設對等端是可信任的，且沒有驗證路由資訊的機制。當您或您的對等端傳送語法有效的路由宣告時，BGP 會將其傳播到整個網際網路，而不論這些宣告是合法還是惡意。

了解這些架構弱點，有助於說明攻擊者如何 利用 BGP 的路由選擇流程來劫持您的流量。

邊界閘道協定如何運作

當攻擊者以比您合法的 203.0.113.0/20 宣告更具體的方式宣告您的 203.0.113.0/24 前綴時，全球各地的路由器都會偏好攻擊者的路由。這是因為 BGP 路由選擇遵循一種將具體性優先於授權的演算法，這種技術稱為最長前綴匹配劫持。

只有在下游網路驗證路由時，路由授權保護才會生效。如果您的上游供應商未實作 Route Origin Validation，即使您已發布有效的 ROA，攻擊者仍可劫持您的流量。

BGP 會使用包括本機偏好、AS path 長度、來源類型與多出口鑑別器等條件來評估路由。攻擊者可以操控這些參數來劫持流量。 NIST SP 800-189 Rev. 1 確認設計者在建立 BGP 時，並未內建加密驗證機制。

利用 BGP 的常見攻擊技術

攻擊者透過數種既有技術利用 BGP 的信任式架構，而您的安全團隊必須識別並防禦這些技術。這起 2025 年 6 月 root DNS server hijack 同時影響八台伺服器，顯示這些方法即使面對關鍵基礎設施仍然有效。

• 前綴劫持 發生於攻擊者宣告屬於另一個組織的 IP 前綴時。攻擊者的 AS 為其並不擁有的位址空間發起路由，而未執行路由驗證的網路會接受這些宣告。原本應送往合法擁有者的流量會改為流向攻擊者。此技術可用於憑證竊取、資料攔截與加密貨幣竊盜。
• 子前綴劫持 是一種更具針對性的變體。攻擊者會宣告比合法擁有者更具體的前綴。若您的組織宣告 192.0.2.0/23，而攻擊者宣告 192.0.2.0/24，則攻擊者會在路由選擇中勝出，因為 BGP 偏好較長的前綴匹配。這份 Root Server Operators report 證實攻擊者持續利用這種最長前綴匹配行為。
• AS 路徑操縱 讓攻擊者能透過人為縮短或修改 AS path 屬性來影響路由選擇。BGP 偏好較短的路徑，因此攻擊者可透過附加較少的 ASN，使其惡意路由更具吸引力。有些攻擊者會將合法 ASN 插入偽造路徑中以規避偵測。
• BGP 工作階段劫持 針對構成 BGP 對等關係基礎的 TCP 工作階段。能夠將封包注入該工作階段的攻擊者，可以重設連線、注入偽造路由，或造成路由不穩定。TCP 序號預測與中間人位置可促成這些攻擊。
• 路由洩漏 源於錯誤設定而非惡意意圖，但會造成類似的安全影響。某個網路錯誤地將從一個對等端學到的路由傳播給其他對等端，違反預期的路由政策。 MANRS incident analysis 記錄了這些錯誤設定如何影響 Time Warner Cable、Rogers 與 Charter。

防禦這些技術需要分層控制，包括部署 RPKI、嚴格的前綴過濾、BGP 工作階段驗證，以及持續監控路由異常。

Border Gateway Protocol 的主要優勢

BGP 透過與獨立網路協調，提供網際網路規模的路由。 RFC 4271 說明自治系統如何交換路由資訊，並根據網路之間的關係決定網際網路流量的最佳路徑。

路徑備援來自多個宣告來源與分散式路由選擇。當您的主要 ISP 連線失效時，BGP 會根據路由度量與本機政策，收斂至經由次要供應商的備援路徑。

透過以政策為基礎的路由進行細緻的流量工程，可讓您控制流量流向的雙向方向。調整 AS path prepend 以影響入站流量、設定本機偏好值以控制出站流量，並實作過濾政策以防止流量經由可能具敵意的網路路由。這些路由能力伴隨重大的安全權衡，需要謹慎管理。

Border Gateway Protocol 的挑戰與限制

BGP 在驗證上的根本缺口，使其無法以密碼學方式驗證向您的 IP 空間宣告路由的 AS 是否確實擁有那些位址。這個缺口使您所防禦的每一種劫持攻擊成為可能。 NIST SP 800-189r1 顯示了這個問題：BGP 路由器在未對來源驗證、路徑驗證或宣告完整性進行密碼學驗證的情況下，便接受路由宣告。

儘管認知提升，事件發生頻率仍持續加速。 Internet2 routing security analysis 僅在 2024 年就記錄了三起影響研究與教育網路的重大路由安全事件，顯示 BGP 漏洞持續干擾關鍵基礎設施。

這種系統性風險造成超出任何單一組織控制範圍的相依性。這份 Internet Society policy analysis 警告，BGP 去中心化且相互連結的本質會引入可被惡意行為者利用的弱點。路由安全仰賴全球數千個其他網路，形成一種如同 供應鏈 般的相依關係，其中單一 BGP 錯誤設定就可能在國際間連鎖擴散。這些系統性弱點會具體表現在安全團隊必須辨識並防止的營運失敗中。

常見的 Border Gateway Protocol 錯誤

許多組織部署了 RPKI 驗證基礎設施，卻始終未從監控進展到強制執行。監控儀表板顯示某個前綴正由未經授權的 AS 宣告。RPKI 驗證器將其標記為無效。但數月前設定的僅監控模式，始終未推進到強制執行。當儀表板顯示問題時，流量已遭劫持。 NRO RPKI Best Practices 要求建立與您在 BGP 中實際宣告內容完全相符且不多不少的 ROA。

不完整的 RPKI 部署會以多種方式造成失敗：

• 為已規劃但尚未宣告的前綴建立 ROA
• 設定過於寬鬆的最大長度值
• 當 BGP 宣告變更時忘記更新 ROA

即使存在驗證基礎設施，這些 ROA 錯誤設定仍會使前綴暴露於風險之中。 NDSS Symposium 的研究指出，存在系統性挑戰，阻礙營運者從被動驗證邁向主動強制執行。

過濾政策不足會使攻擊得以傳播。 CAIDA's MANRS ecosystem analysis 發現，儘管已有書面的安全承諾，RPKI-invalid 與 invalid-prefix-length 的 BGP 宣告仍會在網路間傳播。常見缺口包括接受長於 /24 的 IPv4 前綴、bogon 過濾器未與目前的 RIR 配置同步，以及缺少 AS-path 合理性檢查。這些過濾缺口會在整個路由基礎設施中造成連鎖弱點。

監控不足會使事件在造成損害後才被發現。若未針對前綴來源 AS 變更、新的且更具體的重疊位址空間宣告，以及 RPKI 驗證狀態轉換發出警示，路由變更將持續不可見。適當的 incident response 將 BGP 遙測整合至您的安全平台的流程至關重要。避免這些錯誤需要實施有文件記載的 BGP 安全最佳實務。

Border Gateway Protocol 最佳實務

Resource Public Key Infrastructure 部署應遵循 NIST SP 800-189 Revision 1。為貴組織在 BGP 中發起的每個 IP 前綴建立 Route Origin Authorizations，並至少部署兩個 RPKI 驗證器以提供備援。

Route Origin Validation 在依照 NRO 最佳實務分階段實施時效果最佳：

• 監控模式（30-60 天）：觀察 RPKI 驗證結果而不影響路由
• 偏好調整（60-90 天）：降低本機對 RPKI-invalid 路由的偏好
• 全面強制執行（90+ 天）：完全丟棄無效公告

在所有對等互連點進行嚴格的前綴過濾，可防止常見的攻擊向量。最大前綴長度限制可阻止更特定的路由劫持攻擊，同步的 bogon 過濾器可封鎖無效位址空間，而 AS-path 過濾可防止不切實際的路徑長度或私有 ASN 洩漏。

Route-map 原則應清楚編碼關係類型。為所有 BGP 路由加上 communities 標記，以指示供應商、對等方或客戶來源。

將 BGP 監控與您的安全平台整合，可啟用 威脅狩獵工作流程，以處理路由異常。請設定對等工作階段狀態變更、前綴來源 AS 修改，以及 RPKI 驗證狀態轉換的警示。

應使用區域網際網路註冊管理機構建議的工具持續進行 ROA 組態驗證。在可行情況下，變更控制流程可確保 ROA 更新先於 BGP 公告修改。請記錄並測試無效路由偵測的回應程序，並建立 事件回應計畫 以因應 BGP 劫持情境。這些最佳實務可協助貴組織將路由安全整合至統一的安全營運中。

BGP 事件的真實案例

BGP 安全失敗已在關鍵基礎設施、金融服務和政府營運中造成重大的真實世界損害。這些事件顯示，路由安全需要與端點和網路防護同等程度的重視。

• The 2025 年 6 月根 DNS 伺服器劫持代表近期最嚴重的事件。根據 Root Server Operators 事件報告，八個根 DNS 伺服器（a、b、c、f、g、h、j 和 m.root-servers.net）在 UTC 19:40 至 21:10 之間同時遭遇 BGP 劫持。三個遭劫持的前綴在 RPKI 中已發布有效 ROA，但攻擊仍然成功，因為下游網路未實作 Route Origin Validation。
• The 2020 年 4 月 Rostelecom 大規模劫持影響了全球超過 8,000 條路由。 MANRS 事件分析確認 AS12389 公告了更特定的路由，影響超過 200 家 CDN 與雲端供應商，包括 Cloudflare 和 Akamai。分析將此歸因於 BGP 最佳化工具設定錯誤，而非惡意意圖。
• The 2020 年 9 月 Telstra 事件中，AS1221 在一次大規模劫持事件中公告了近 500 個前綴。 MANRS 文件顯示該事件影響了 50 個國家的 266 個自治系統，說明單一設定錯誤如何在全球造成連鎖效應。
• The 2022 年 8 月 Celer Bridge 攻擊以加密貨幣使用者為目標。攻擊者透過將流量重新導向至其控制的伺服器約三小時，竊取了價值 235,000 美元的加密貨幣。

這些事件具有共同特徵：它們利用了 BGP 的信任模型，影響了已實施部分安全措施的組織，並在防禦者能夠回應之前造成損害。這種模式再次說明，主動式威脅偵測和持續的 BGP 監控是企業安全不可或缺的組成部分。

AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

重點整理

您正在使用自己無法完全控制的基礎設施，防禦路由層攻擊。您的 BGP 安全取決於數千個網路是否實施驗證控制。請從您能控制的部分開始：以強制執行模式部署 RPKI/ROV、在每個對等互連點嚴格過濾前綴，並將 BGP 監控整合至您的 SOC 工作流程。個別實作與集體強制執行之間的落差，就是攻擊者活動的空間。