随着未分配IPv4地址的枯竭以及IPv6过渡的缓慢，IPv4地址转让市场应运而生。2009年，在ARIN区域发生了首次记录的转让。自那时起，IPv4地址转让已成为获取IPv4地址空间的一种可行方案。图1显示了涉及区域互联网注册机构（RIR）内部和之间转让的IP地址数量。RIR们针对IPv4市场的出现，制定了旨在保护注册IP块准确性的政策，并提供对组织如何交易它们的监督和透明度。然而，有多次报道试图利用转让市场作为恶意操作的一部分，如闲置地址空间的劫持和垃圾邮件发送，这在邮件列表和论坛上的运营商之间的交流中被视为网络运营商的担忧。在最近的研究中，我们试图揭示IPv4转让市场的滥用情况，并了解恶意行为者如何针对它。
研究方法与数据收集
我们的整体方法，如图2所示，旨在将IP转让报告与恶意活动报告相关联。为了收集IP转让列表，我们汇编了每个RIR在2009年10月12日至2019年8月24日之间发布的报告。为了了解与转让前缀相关的恶意活动，我们综合了一系列数据集，包括黑名单、蜜罐跟踪和关于前缀劫持者的报告。我们使用大量关于恶意活动的数据源来解决关于网络攻击和不当行为的纵向数据不足的问题，并探索不同的利用类型。因此，数据涵盖了垃圾邮件、恶意软件、网络钓鱼、未经请求的扫描、不受欢迎程序的分发和非法内容的传播、命令和控制（C&C）僵尸网络服务器以及IP前缀劫持。虽然报告的IP转让只提供组织名称，但关于前缀劫持和C&C/防弹主机器的恶意数据是在自治系统（AS）级别编码的。因此，为了研究此类恶意AS在转让市场中的参与情况，我们需要将组织名称映射到AS号码。对于48%的转让，我们可以使用历史whois数据将组织名称与AS号码匹配。我们通过检测BGP路由数据中转让前缀起源的AS号码的永久变化，将另外23%的转让映射到AS号码，这些变化与报告的转让日期相关。
数据分析和结论
通过分析这些数据，我们发现转让的/24子前缀被列入黑名单的可能性是非转让前缀的六倍。这一发现表明，转让市场可能被用于恶意目的，例如将地址空间用于垃圾邮件发送或恶意软件分发。我们的研究强调了RIR在监督和透明化IPv4转让市场中的重要性，以确保地址空间的合法和负责任的使用。
对运维/网络工程师的实际意义
这项研究对网络工程师和运维人员来说具有重要意义。它揭示了IPv4转让市场可能存在的风险，并强调了在转让过程中进行适当的安全检查和风险评估的必要性。网络工程师应密切关注转让市场的动态，并采取措施保护其网络免受恶意活动的影响。此外，RIR应继续加强其政策，以确保转让市场的透明度和安全性，从而保护整个互联网生态系统的稳定性和安全性。
总结，IPv4地址转让市场的滥用是一个复杂且日益增长的问题，需要网络工程师和RIR共同努力，以确保互联网的安全和稳定。
原文: APNIC Blog（2020-07-21）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog