Internet-wide 扫描是理解网络行为和安全的重要工具。然而，随着 IPv6 的采用率增长，扫描活动的研究相比 IPv4 而言仍然不够全面。IPv4 和 IPv6 网络中的扫描活动存在显著差异。在 IPv4 网络中，使用现代工具如 Zmap 进行详尽扫描任务相对较为简单。然而，在 IPv6 网络中，扫描任务由于巨大的地址空间和稀疏的主机分布而变得非平凡。尽管存在挑战，最近的研究表明 IPv6 网络中的扫描活动仍然普遍。
测量扫描活动
为了测量 Internet 上的扫描活动，网络望远镜或“暗网”通常被使用。研究人员监测未使用的网络前缀中的流量以捕获扫描流量。暗网是被动的，因为它们不与扫描器交互。最近，研究人员也开始使用响应式网络望远镜或蜜网，它们通过响应扫描流量来模拟真实主机的行为。响应式蜜网通常比暗网吸引更多的扫描流量。我们开发了一个扫描检测系统，结合了被动暗网和响应式蜜网来研究扫描活动的特征。
吸引 IPv6 扫描
与 IPv4 不同，部署在 IPv6 中的服务不会接收扫描流量，除非它们被显式暴露。新的 IPv6 服务和前缀最初只接收最小的扫描流量，使得 IPv6 本质上更安全。然而，扫描器积极地搜索潜在目标，通常使用来自服务如网络时间协议（NTP）和 DNS 或公共 IPv6 命中列表的种子，该列表包含 IPv6 网络中的活动前缀和响应地址。为了分析扫描行为，我们通过在我们的 DNS 权威服务器中实现地址暴露方法来吸引扫描流量到我们的检测系统中。我们采用了四种不同的基于 DNS 的地址暴露方法：IPv4 反向、IPv6 枚举、特殊 IPv6 地址和 IPv6 前缀暴露。
结论与意义
通过研究 IPv6 扫描活动和前缀发现，我们可以更好地理解 IPv6 网络的安全性和行为。我们的研究结果表明，IPv6 扫描活动仍然普遍，扫描器积极地搜索潜在目标。这些发现对于网络运维和安全工程师具有重要意义，因为他们需要了解 IPv6 网络中的扫描活动和安全风险，以便采取有效的安全措施。通过分析扫描行为和前缀发现，我们可以更好地保护 IPv6 网络和服务，确保 Internet 的安全和稳定。
原文: APNIC Blog（2024-06-25）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog