摘要：IPv6可以有效改善網絡服務水平，提升服務體驗和應用價值。尤其是在物聯網場景，通過與5G 技術的結合，純IPv6將極大降低網絡部署及運維成本...

　　要害詞：

　　物聯網

　　IPv6可以有效改善網絡服務水平，提升服務體驗和應用價值。尤其是在物聯網場景，通過與5G 技術的結合，純IPv6將極大降低網絡部署及運維成本，并借由一物一址標識、身份溯源等技術，極大程度提升網絡安全能力的同時，實現對網絡的精準治理。

　　假如我們從更加純粹的網絡安全角度出發，在IPv6規模部署甚至是純 IPv6的趨勢下，物聯網資產將面臨哪些安全挑戰？

　　7月31日下午，綠盟科技應邀參與了由全球 IPv6論壇（IPv6 Forum）主辦，下一代互聯網國家工程中心、澳門科技大學承辦，為期兩天主題為“邁向網絡新紀元，助力數字新基建”的“2020全球 IPv6 下一代互聯網峰會”，并由綠盟科技創新中心總監劉文懋博士，帶來了來自綠盟科技格物實驗室的主題分享《IPv6趨勢下的物聯網資產安全治理的機遇與挑戰》。

　　綠盟科技創新中心總監 劉文懋

　　物聯網資產安全治理迫在眉睫

　　2021年，由物聯網僵尸網絡 Mirai發動的大規模 DDoS 攻擊，讓人們對物聯網資產的潛在風險和實際威脅第一次有了感知。2021年，日本等國已經開始通過頒布相應法令來推進物聯網終端的安全治理。可以說，物聯網的安全治理迫在眉睫。

　　2021年起，綠盟科技格物實驗室已連續4年通過專題報告的形式對外發布在物聯網安全領域的研究成果。綠盟科技認為，物聯網資產安全治理的要害和首要階段，在于資產的發現和識別。尤其在 IPv4地址空間即將耗盡，IPv6 規模部署的全球趨勢下，物聯網資產的發現識別，更是面臨諸多挑戰，困難重重。

　　劉文懋博士表示，因為IPv6龐大地址空間的特性，以及全網持續推進的趨勢，讓通過遍歷的方式進行物聯網資產的識別發現基本不可能。雖然目前使用IPv6地址的實際數量還較少，但地址分布的隨機性很強，所以全網遍歷從時間和資源上都不切實際。

　　那么，如何在 IPv6的背景下，進行合理、有效的物聯網資產識別？格物實驗室給出了三個方向的探索成果：

　　1 通過種子 IPv6地址集合尋找物聯網資產（基于概率生成猜測地址集，并通過掃描HITList中地址資產是否開啟 IPv4常用端口進一步確認。）

　　2 利用UPnP雙棧等物聯網協議特性幫助發現資產

　　3 尋找IPv6地址的分布特征，以及通過Scan6等新型軟件的掃描實踐

　　盡管以上三個方向都是一些有益的嘗試，但總體來看，現階段的技術手段遠未成熟。在IPv6環境中，我們發現同樣存在大量網絡地址轉換和動態地址分配的應用，無論是攻擊者還是企業，完全把握物聯網資產都比較困難。所以，安全風險方面，綠盟科技認為，內網部署的物聯網設備的暴露風險并沒有明顯增加，但始終會客觀存在。

　　雖然當下還沒有令人滿足的IPv6物聯網資產發現方法，但物聯網資產的安全治理卻已刻不容緩。從被動流量進行識別分析，可能將是未來數年內有前景的物聯網安全治理主要手段。以 DDoS 攻擊為主，通過被動異常流量檢測結合 IPv6威脅情報的手段，可實時發現脆弱的IPv6資產，并借助云地人機融合的能力，對惡意的DDoS流量進行立體、靈活的緩解，這種技術手段將是IPv6網絡中DDoS緩解的主要防護思路。

　　總體來看，IPv6將是支撐我國新基建戰略的要害網絡通信技術之一，尤其是在URLLC、mMTC的5G場景下，海量物聯網終端必然會采用IPv6技術組網，因而，保護IPv6的物聯網安全，就是保護下一代要害基礎設施的整體安全。可以說，IPv6物聯網安全治理應當先行，刻不容緩。

　　綠盟科技格物實驗室連續4年在物聯網安全治理領域進行深入研究，擁有豐富的研究成果和能力積累。無論是IPv6的物聯網資產發現識別，還是在IPv6的物聯網威脅情報，配合全網的安全態勢感知方案，將有助于更好的保障IPv6技術推進過程中的互聯網上的要害基礎設施安全。

　　第三十屆CIO班招生

　　法國布雷斯特商學院碩士班招生

　　北達軟EXIN網絡空間與IT安全基礎認證培訓

　　北達軟EXIN DevOps Professional認證培訓