威胁猎人黑产研究 | IPv6发展带来的反欺诈难题

导语：IP是互联网最基础的身份标识，也是黑灰产业发展不可或缺的底层资源支撑。若是说IPv4是一颗星球，那IPv6就是一整个宇宙，它的地址空间接近无限。本文将揭露目前黑灰产对IPv6资源的利用状况，并剖析在IPv4向IPv6升级的过程当中，业务场景下的安全将面临的挑战。

1、黑灰产采用IPv6发起攻击的趋势不可逆转

IP并非一个新鲜的词，对于咱们普通人来讲，它是设备联网以后，就会被分配的地址。但在黑灰产手里，对IP的利用几乎超出咱们的想象。它凭借黑色产业的强大需求已卧居在黑暗市场多年。

和咱们在大荧幕上看见的网络攻击工具不一样，IP没有病毒的强大杀伤力，也不具有摧枯拉朽的破坏力，倒是黑灰产业务活动不可或缺的底层资源支撑，支持着恶意注册、刷量、薅羊毛、撞库等恶意行动的顺利进行。

目前咱们所说的IP一般是指IPv4地址，这也是当前咱们与黑产进行安全对抗的最激烈的攻防点之一。

IPv4由32个二进制位组成，空间里面有2^32（约43亿）个地址，其中约有2.8亿的地址是为特殊用途所保留的。然而，随着地址不断被分配给终端用户，IPv4地址枯竭的问题也在随之产生。

这个状况刺激了做为当前惟一的长期解决方案的IPv6的推动。

和IPv4相比，IPv6由128个二进制位组成，拥有2^128（约3.4×10^38）个地址，是IPv4的7.9×10^28倍，庞大的地址空间几乎接近无限，被十分形象的称为能够为全世界的每一粒沙子分配一个地址。

然福兮祸之所伏，IPv6的地址空间远超当前IPv4，也意味着黑灰产掌握的IP资源体量也将无限扩大，他们将有能力为每一个恶意帐号独立使用一个IP。以往在对抗过程当中积累下的风控策略，具有的完备IPv4安全体系，在IPv6规模化普及后将面临新的挑战。

网络发展，安全先行。威胁猎人鬼谷实验室监测到的数据显示，目前已存在数据中心IPv6地址上发起的恶意机器流量，而且国外黑灰市场上早已出现IPv6代理资源，实验室推测，这在必定程度上与IPv6的普及度有关。当国内IPv6部署逐步展开，以此为基础的黑灰产攻击必顺势而来，值得注意的是，当前让业务方最头疼的的黑产IP资源——秒拨，也悄然增长了对IPv6的支持。

2、黑灰产已经开始利用IPv6资源

由市场强大需求带动的IP资源发展，已经成为黑灰产业链上的重要环节，专门提供IP资源的黑灰产团伙也随之产生。

黑灰产的技术很是与时俱进，在与企业玩转“猫鼠游戏”的过程当中攻击手段也有所升级。好比从早期的经过代理IP绕过风控规则的方式，到如今已经演化出“秒拨”“混拨”等，甲方的对抗策略也在IPv4的环境下也有相应的获得提高和积累。

然而，当IPv4开始向IPv6迁移，IP环境的变化不只牵涉了网络设备、路由管理、IPv6协议栈的相应改变，IPv4下搭建的风控体系在迁移的过程也会面临改造和升级。

本来适用于IPv4的防御策略若是改造不及时，将会面临多大的风险？这是全部企业都须要考虑和面对的问题。好比：

• 海量地址扫描：IPv6由128个二进制构成，这意味着，若是一个子网使用其中IPv6网络中的64位来分配IP，则子网的总容量，也就是可分配的IP数为2的64次方。假设遍历IPv4的所有地址须要一个小时。那么将这个子网下面的全部IP地址遍历一遍，将须要50万年...
• 黑名单库失效：在IPv4环境下积累的大量黑IP数据，对黑产IP进行识别有显著的帮助。可是，当IPv6时代来临，接近无限的IP地址会对黑名单库形成强烈冲击，本来高效的识别机制，在IPv6环境下将接近“无效”。
• 未知下的误判：IPv6部署的初级阶段，将面临IPv6地理位置、设备指纹等风险数据缺失的问题，从而致使没法准确断定IP性质，产生误判。
• ......

目前全球IPv6普及率达到23.97%，发达国家的IPv6普及率为25%，而全亚洲IPv6普及率达到27.13%，其中，中国的IPv6普及率达到了14.46%。如下是各大洲和发达国家以及中国的IPv6普及率统计结果：

随后，咱们查看了威胁猎人监控平台捕获到的恶意机器流量，经过对资源进行分析，咱们发现目前黑灰产掌握的主要IP资源中都存在IPv6的踪影。

代理

据调查，国外的代理平台早已存在出售IPv6代理的状况。因为当前IPv6普及率还较低，IPv6代理商并非直接提供IPv6地址和端口，提供的依旧是IPv4和端口，经过相似6in4的隧道协议，将IPv6数据包封装在IPv4数据包中，再经由代理传送给用户。

咱们对这些IPv6代理进行收集，分析其特征特色，发现其主要来自国外IDC机房。

而相比国外，国内并无发现专门批量出售IPv6代理的平台，可是咱们也捕获到一些国内IPv6代理样本，并且颇有意思的是，国内的IPv6代理大部分源于国内教育网的IDC机房。

因为其教育网的性质，若是简单地将各个教育网IDC对应的IPv6段进行拦截，最直接的结果就是误伤很大部分的正常学生用户。

秒拨

秒拨IP是黑灰产掌握的零一主要IP资源，而且，如今已有部分秒拨厂商开始支持并提供IPv6的服务。

咱们对从秒拨机器上获取的IPv6地址进行分析，发现它的性质属于国内家庭宽带，利用拨号上网（PPPoE）的原理，每一次断线重连都会获取一个新的IP。和IPv4的秒拨性质相似，但比IPv4更具优点的地方在于，它的IP池庞大到接近无限，而且IP地址更难以识别的问题。

• 无限IP池

假设某秒波机上的宽带资源属于XX地区电信运营商，那么该秒拨机可拨到整个XX地区电信IP池中的IP，在IPv4环境下具备少则十万多则百万的量级。而IPv6环境下，量级巨大，难以估计。咱们对某一批IPv6地址进行重复性统计，监测到的10万数据中几乎不存在重复的IPv6地址，而实际的IPv6秒拨池中，远不止这个数。这意味着，传统的利用IP黑名单库给IP打风险标签的方式将再也不适用。

• 秒拨IP难以识别

另外，因为秒拨IP和正经常使用户IP存在于同一个IP池，每次断开链接，本来属于被黑产使用的秒拨IP，都有可能在下一次拨号的时候流入到正经常使用户手中，这会给秒拨IP和正常IP的区分带来很是大的难度。

图：利用秒拨测试IPv6支持状况

实验室经过IPv6对国内的各种主流网站进行测试，发现大部分的厂商并无开始支持IPv6访问。少部分支持IPv6的厂商，也仅是支持主网能够经过IPv6进行访问，但网页加载的速率，以及访问连接的稳定程度就显得有点差强人意。一旦须要涉及到用户登录或者其余用户操做的时候，就会常常出现访问失败或者登录超时的状况。而国外支持IPv6访问的网站不论在稳定性和响应速率，仍是支持用户相关的操做上，都比国内状况好不少。

3、总结与思考

发展基于IPv6的下一代互联网，看似取之不尽的IP资源的确为当前逐渐枯竭的IPv4带来了救赎，但不容忽视的也恰是“取之不尽”背后潜藏的安全隐患。从上述数据咱们能够推测，黑灰产对IPv6的利用状况很大程度上和普及度相关。

因为大多数发达国家IPv6的普及度及采用度都处于高位，相应的也诞生了专门售卖IPv6代理的平台。目前，在我国大部分主流网站都还没有支持IPv6访问的状况下，黑灰产已经开始研习IPv6技术，利用IPv6资源。当我国IPv6部署规模紧随政策一步步落实和推动，IPv4不得不向IPv6转移的档口，若是企业的风控设施的改造和升级没有跟上部署的脚步，将会面临一段时间的安全防御的“空窗期”，黑灰产能够绝不费力的进入平台，兴风做浪，歌舞升平。

所以，未雨绸缪是企业应对风险的最佳手段。咱们有理由相信，当愈来愈多的国内网站支持IPv6，而且功能性和稳定性趋于完善后，基于IPv4的攻防战场势必会向IPv6转移，对于全部的技术和安全人员，在保障技术稳定升级的同时，安全性问题的考量同等重要。威胁猎人做为业务安全行业的先行者，已投入大量人力和资源在IPv6黑产资源的研究上，并开始积累实时IPv6风险数据，指望能帮助向IPv6迁移的厂商解决预想不到的安全问题。