近日，工業(yè)和信息化部辦公廳、中央網(wǎng)信辦秘書局聯(lián)合印發(fā)《關(guān)于開展“網(wǎng)絡(luò)去NAT”專項(xiàng)工作 進(jìn)一步深化IPv6部署應(yīng)用》的通知。該通知指出，IPv4到IPv4網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT44）設(shè)備在一定程度上阻礙了IPv6規(guī)模部署和應(yīng)用水平的進(jìn)一步提升，為加快IPv6規(guī)模部署和流量提升，需要開展“網(wǎng)絡(luò)去NAT”專項(xiàng)工作。在應(yīng)用方面，通知要求，互聯(lián)網(wǎng)企業(yè)要深化應(yīng)用服務(wù)IPv6升級(jí)改造，優(yōu)化放量引流策略，實(shí)現(xiàn)注冊(cè)、登錄、使用全鏈條支持IPv6，提升固網(wǎng)環(huán)境下IPv6流量占比。

IPv6時(shí)代的來臨為網(wǎng)絡(luò)帶來了更高效和透明的運(yùn)行模式，同時(shí)也伴隨著IPv6業(yè)務(wù)、應(yīng)用、服務(wù)器等網(wǎng)絡(luò)資產(chǎn)的安全防護(hù)面臨更為嚴(yán)峻的挑戰(zhàn)。

“去NAT44”時(shí)代，資產(chǎn)暴露面風(fēng)險(xiǎn)增加

以往，NAT44技術(shù)在一定程度上掩蓋了設(shè)備的真實(shí)地址，減少了直接攻擊的可能性。然而，隨著IPv6地址的直接暴露，設(shè)備如同置身于“光天化日”之下，雖然提升了網(wǎng)絡(luò)效率和透明度，但也顯著增加了被攻擊的風(fēng)險(xiǎn)。攻擊者能更直接地訪問服務(wù)器，嘗試各種惡意手段，如DDoS攻擊、SQL注入及跨站腳本攻擊等。此外，許多安全設(shè)備雖然具備處理IPv6流量的能力，但卻常因默認(rèn)僅開啟對(duì)IPv4的防護(hù)策略，也使得網(wǎng)絡(luò)暴露于風(fēng)險(xiǎn)之中。

安全威脅多元化，IPv6面臨新挑戰(zhàn)

地址空間擴(kuò)大帶來的掃描風(fēng)險(xiǎn)：IPv6巨大的地址空間使得攻擊者更容易進(jìn)行隨機(jī)地址掃描，尋找潛在的攻擊目標(biāo)。

新協(xié)議特性引發(fā)的漏洞：IPv6的新協(xié)議頭和擴(kuò)展頭可能存在未知的安全漏洞，容易被攻擊者利用。

自動(dòng)化配置帶來的安全風(fēng)險(xiǎn)：IPv6支持無狀態(tài)和有狀態(tài)的地址自動(dòng)配置方式，這可能被攻擊者利用來實(shí)施地址沖突和拒絕服務(wù)攻擊。

鄰居發(fā)現(xiàn)協(xié)議（NDP）的脆弱性：NDP可能面臨欺騙報(bào)文攻擊和拒絕服務(wù)攻擊，攻擊者可能利用NDP的缺陷來截取數(shù)據(jù)或發(fā)起其他攻擊。

IPv6應(yīng)用安全防護(hù)建議

全面評(píng)估IPv6網(wǎng)絡(luò)環(huán)境：對(duì)現(xiàn)有網(wǎng)絡(luò)架構(gòu)進(jìn)行評(píng)估，確保全面支持IPv6，并識(shí)別潛在的安全風(fēng)險(xiǎn)點(diǎn)。

部署RayWAF加固安全防線：在關(guān)鍵Web應(yīng)用前部署RayWAF，作為防御第一線，抵御外部攻擊。

制定IPv6安全策略：根據(jù)業(yè)務(wù)需求，制定IPv6環(huán)境下的安全策略，包括精細(xì)化的訪問控制和數(shù)據(jù)加密措施等。

強(qiáng)化網(wǎng)絡(luò)安全監(jiān)控：利用RayWAF的監(jiān)控功能，實(shí)時(shí)監(jiān)測(cè)IPv6流量，及時(shí)發(fā)現(xiàn)漏洞并進(jìn)行響應(yīng)，確保Web應(yīng)用的安全性。

定期安全審計(jì)與培訓(xùn)：定期對(duì)網(wǎng)絡(luò)安全進(jìn)行審計(jì)，及時(shí)安裝系統(tǒng)更新和安全補(bǔ)丁，加強(qiáng)員工的安全意識(shí)培訓(xùn)，提高整體安全防護(hù)能力。

RayWAF在IPv6應(yīng)用安全防護(hù)中的作用

全面兼容IPv6：無縫接入IPv6網(wǎng)絡(luò)環(huán)境，為IPv6網(wǎng)絡(luò)下的Web應(yīng)用提供同等級(jí)別的安全防護(hù)。目前，盛邦安全全線產(chǎn)品均可無縫對(duì)接IPv6網(wǎng)絡(luò)環(huán)境，為客戶提供安全可靠的解決方案。

精細(xì)訪問控制：基于IPv6地址的精細(xì)化訪問控制策略，有效限制惡意訪問和數(shù)據(jù)泄露風(fēng)險(xiǎn)。

智能威脅識(shí)別：利用大數(shù)據(jù)分析、機(jī)器學(xué)習(xí)和人工智能技術(shù)，智能識(shí)別和防御新型Web攻擊和未知威脅。

高效性能保障：優(yōu)化的數(shù)據(jù)處理流程，確保在處理IPv6流量時(shí)保持高性能，不影響用戶體驗(yàn)。

全面日志審計(jì)：詳盡記錄IPv6環(huán)境下的訪問和攻擊日志，有助于事后分析和溯源。

2024年4月，中央網(wǎng)信辦、國(guó)家發(fā)展改革委、工業(yè)和信息化部聯(lián)合印發(fā)《深入推進(jìn)IPv6規(guī)模部署和應(yīng)用2024年工作安排》，旨在全面推進(jìn)IPv6技術(shù)創(chuàng)新與融合應(yīng)用，為建設(shè)網(wǎng)絡(luò)強(qiáng)國(guó)、數(shù)字中國(guó)提供有力支撐。此次兩部門聯(lián)合開展“網(wǎng)絡(luò)去NAT”專項(xiàng)工作，再次加速了我國(guó)IPv6演進(jìn)升級(jí)的步伐。在此過程中，我們應(yīng)高度重視IPv6應(yīng)用安全防護(hù)工作，在提升IPv6連通率與流量占比的同時(shí)，保障網(wǎng)絡(luò)安全穩(wěn)定運(yùn)行，才能更好地釋放IPv6的價(jià)值，使其發(fā)揮更大的賦能效應(yīng)，共建一個(gè)安全、可信、高效、全面互聯(lián)的數(shù)字世界。