随着网络扫描工具如 masscan 和 zmap 的普及，网络扫描变得越来越流行。现在，使用一台普通的 PC，只需不到一小时就能扫描整个 IPv4 地址空间。检测这种大规模的 IPv4 网络扫描对于网络安全运营来说是一个重要问题，因为了解这种恶意活动可能有助于预测大规模攻击。检测 IPv4 网络全局扫描的一种常用技术是监控暗网（也称为网络望远镜），这是一种没有合法主机的路由通告网络。这意味着像随机网络扫描、DoS 反射和配置错误等异常行为很容易被发现——一个 /16 暗网（65,536 个 IP）可以在 6.6 秒内检测到每秒 10,000 个数据包的随机扫描中的一个。然而，由于 IPv6 地址空间巨大，使用 IPv6 暗网无法检测随机 IPv6 网络全局扫描——一个 /48 IPv6 暗网在宇宙的一生中都无法检测到每秒 1M 个数据包的随机扫描器。
DNS 反射技术
为了解决这个问题，最近开发的 IPv6 扫描器使用目标列表和生成算法，而不是随机地址。我们的研究小组一直在研究一种名为 DNS 反射的不同方法来检测这种扫描。DNS 反射的关键思想是，一个大型网络事件会自动触发目标附近的反向 DNS 查询（图 1），在这个过程中检查扫描器 IP 地址（发起者）的主机名。单个反向查询对扫描器提供的信息很少，但如果由缓存解析器（查询者）生成的许多反向 DNS 查询（DNS 反射）出现在权威 DNS 服务器上，我们就可以集中识别这种网络全局事件。DNS 反射有几个在检测网络全局活动时的优点。它易于部署，因为可以在 DNS 权威服务器上进行观察。由缓存解析器（不是目标）自动触发，因此对隐私友好。对恶意来源具有鲁棒性，即难以规避。
性能与挑战
当 DNS 反射在实际网络中部署时，需要考虑的一个实际问题是如何从众所周知的大规模良性活动中识别恶意活动。在 IPv4 DNS 反射中，我们收集了大量良性和恶意 IP 地址作为标记数据，并应用监督机器学习技术来分类潜在的恶意 IP。然而，由于 IPv6 缺乏缓存解析器触发反射查询，我们目前还没有具体的数据来评估 DNS 反射在 IPv6 环境中的性能。
实际意义
DNS 反射技术在检测 IPv6 网络扫描方面具有实际意义。对于网络和系统管理员来说，了解和利用这种技术可以帮助他们及时发现并防御针对 IPv6 网络的恶意活动，从而保护网络的安全和稳定。随着 IPv6 在互联网上的日益普及，这种技术的重要性将更加凸显。
原文: APNIC Blog（2019-09-16）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog