長亭科技全線產品升級支持IPv6防護服務

　　IPv6 能夠提供更廣泛的互聯網連接，促進物聯網、人工智能等新技術應用的發展，是全球公認的下一代互聯網解決方案。在國家政策的大力推動下，各行業IPv6改造都在如火如荼地進行。長亭科技應用安全塔防體系全面升級IPv6防護服務，幫助企業應對新出現的應用層安全威脅，提升企業安全建設價值。

　　2019年1月10日，中國人民銀行發布關于金融行業貫徹《推進互聯網協議第六版（IPv6）規模部署行動計劃》的實施意見，提出到 2019 年底，金融服務機構門戶網站支持 IPv6 鏈接訪問。基于IPv6安全特點，金融行業針對 IPv6 網絡構筑既能有效防范IPv6 安全風險，又不低于現有 IPv4 網絡等同防護能力的安全防護體系。加快推進 IPv6 規模部署工作，是金融業今年乃至今后一段時期的重點工作。

　　在國家和行業政策的大力支持與推動下，截至2019 年初，許多大型金融機構、互聯網企業的 IPv6 改造建設都在如火如荼的進行。網絡運營商也初步開放了公網 IPv6 的訪問，更多的企業即將面臨著新一輪的 IPv6 改造。與此同時，IPv6改造過程中的安全問題也逐漸浮出水面。

　　IPv6應用層安全防護的幾個關鍵點

　　總有人誤認為“網絡改成IPv6，安全問題就全面解決了”。

　　誠然，IPv4中常見的攻擊方式將在IPv6網絡中失效，使來自網絡層的一些安全攻擊得以抑制，但采用IPv6并不意味著關緊了安全的大門，來自應用層的威脅將以新的方式出現。企業在進行IPv6規模化部署時，應從以下幾個方面做好應用層安全防護。

　　1、IPv6 應用層安全產品、設備適配性

　　IPv6網絡中同樣需要WAF、漏洞掃描、蜜罐、VPN、IDS（入侵檢測系統）、網絡過濾等網絡安全設備和技術。由于IPv6的一些新特性，IPv4網中現有的這些安全設備在IPv6中不能直接使用，需要升級改進。其次，IPv4向IPv6過渡過程中，IPv6協議棧會擠占IPv4業務的CPU和內存等資源，導致現有的IPv4業務在會話表容量、吞吐率上會出現不同程度的下降。因此，對現有安全設備、安全系統處理能力進行全面評估和升級，提升設備、系統的適配成程度至關重要。

　　2、過渡支撐技術

　　由于地址設計原因，IPv4無法訪問到IPv6網絡，IPv6網絡無法平滑實現過渡。為了向IPv6網絡逐步演進，需要選用合適的過渡支撐技術，以保證金融、互聯網等企業在IPv6改造后需要能夠同時對IPv4-only、IPv6-only以及IPv4/IPv6共用的用戶提供訪問。

　　3、流量處理能力

　　IPv6 時代，互聯網流量較從前大幅攀升，隨之為應用層流量分析清洗設備的負載和安全性造成壓力。應用層安全產品需要具備能夠在 IPv6 環境下進行部署，并對 IPv6 流量進行檢測的能力。

　　4、報文解析能力

　　IPv6 的報文結構與 IPv4 有較大區別，引入了多首部的概念、改變了 IPv4 報文首部的部分字段名稱與格式、取消了“首部校驗”字段。因此，部署在 IPv6 環境下的應用安全產品應具備支持 IPv6 的報文解析能力。

　　長亭應用安全塔防體系全面支持IPv6 防護服務

　　企業在對基礎網絡架構進行 IPv6 改造的同時，也需確保網絡中的安全設備與安全軟件能支持 IPv6，并進行相應的場景化適配。

　　圖：長亭科技應用安全塔防體系

　　當安全設備部署到網絡環境中，除了安全產品本身需要支持 IPv6 以外，還需要進行適當的配置才能發揮實際的作用，這些配置包括但不限于：

　　.安全產品本身需要配置 DHCPv6 與 IPv6 DNS;

　　. 需要重建原有的基于 IP 的黑白名單;

　　. 原有的 HTTPS 站點需要修改為 IPv6 HTTPS，相關的 Web 流量處理產品，需要進行加密算法和證書的調整;

　　. HTTP 層的流量轉發需要調整重寫后的 HTTP Header。

　　長亭科技應用安全塔防體系，經過產品架構和功能升級，現已全線支持 IPv6，目前包括雷池（SafeLine）下一代Web應用防火墻、諦聽（D-Sensor）內網威脅感知系統、洞鑒（X-Ray）安全評估系統在內的多款產品已相繼獲得 IPv6 Ready 的官方認證，標志著應用安全塔防體系全線產品在IPv6一致性及互聯互通方面均符合IETF IPv6相關 RFC標準，可進行商業部署。

　　圖：產品 IPv6 認證證書

　　適配升級提升企業安全建設價值

　　IPv6 帶來了充足的地址空間，使絕大多數使用者無需 NAT，給企業安全建設帶來諸多價值。

　　 .追蹤溯源：IPv6 協議的“超大地址空間”可以從技術上解決網絡實名制和用戶身份溯源問題，實現網絡精準管理。在 IPv6 部署過程中，可采用地址編碼技術識別 IP 地址類型，地址編碼可精確到區縣級。因而，安全設備可以對客戶端進行會話跟蹤，同時也方便在攻防對抗的場景下對攻擊者進行溯源;

　　. 避免誤傷：減輕了阻斷攻擊源時，由于 IP 是公共出口（企業內網、高校內網、IDC 等）導致的大面積誤傷;

　　 .防護控制：方便執行更精準的頻率控制與 CC 防護規則。

　　IPv4 到 IPv6 的過渡不可能一蹴而就，針對現階段 IPv6 改造的架構部署特點，長亭科技應用安全塔防體系在部署模式、防護策略、流量處理、報文解析等方面都進行了 IPv6 適配升級：

　　 .采用雙棧方案，同時支持 IPv4-only、IPv6-only 和 IPv4/IPv6 雙棧協議的部署模式;

　　. 產品內核升級 IPv6 流量處理能力;

　　. 檢測引擎更新支持 IPv6 報文解析能力;

　　. 配置了相關的防護策略;

　　.進行 IPv6 相關數據的展示和統計。