01 · 从活跃地址到资产：画像维度体系
资产是“可归属、可问责”的实体，地址只是其属性之一。画像应沿三层证据链构建：
| 证据层 | 字段 | 来源 |
|---|---|---|
| L3网络层 | 地址、/64前缀、ASN、BGP宣告、RPKI ROA状态、地理位置（前缀级） | 探测结果、BGPStream、RIR/RDAP |
| L4传输层 | 开放端口、协议、响应TTL/窗口/选项指纹、可达性多路径一致性 | 探测与scamper路径测量 |
| L7应用层 | TLS证书（SAN/签发者/有效期）、HTTP横幅/标题、服务软件指纹、域名归属 | ZGrab2、CT日志、DNS |
地理位置说明：IPv6地理定位精度显著低于IPv4（地址不对应细粒度分配），工程上仅能做到前缀级（城市级为上限，且误差常见）——任何宣称“IPv6地址级精准定位”的能力都应审慎评估其依据。
02 · IPv6指纹识别的特殊差异
- 扩展头与分片处理差异：指纹采集探针本身应使用最简合法报文；中间设备对扩展头链的处理差异（RFC 7045/8820基线）可能导致同一主机在不同路径上呈现不同指纹——多观测点复核可区分“主机特征”与“路径特征”；
- ICMPv6限速的误读：目标主机或中间设备对ICMPv6的速率限制会表现为“间歇性可达”，易被误判为链路抖动——应以TCP探测交叉确认；
- 临时地址干扰：对外扫描常命中终端的RFC 8981临时地址（短生命周期），其指纹与稳定地址不一致——台账归并时应优先使用服务端稳定地址；
- anycast/CDN归组：同地址多实例的识别依赖多观测点（RIPE Atlas）比对RTT分布与TTL——TTL一致且RTT分布呈多峰的地址应标记为anycast组。
03 · 暴露面态势感知指标体系
| 指标 | 定义 | 参考目标 |
|---|---|---|
| 台账覆盖率 | 测绘台账资产数／CMDB登记资产数（IPv6侧） | 持续≥98% |
| 影子资产数 | 测绘发现但CMDB无登记的资产 | 趋势清零 |
| 双栈策略等价率 | IPv4/IPv6两侧防护覆盖一致的服务占比（子课题01指标） | 100% |
| 新增暴露时延 | 新开放高危端口→告警产生的时间 | ≤24小时 |
| 暴露修复MTTR | 高危暴露确认→处置完成的平均时长 | 按等保要求定级 |
| 测绘结果新鲜度 | last_seen距今超过验证周期的资产占比 | ≤5% |
注：上表“参考目标”为运营建议值，组织应按自身合规要求与基线审计结果调整；指标定义须与第8页成熟度模型联动考核。
04 · 变更监测与告警规则
- 新增地址/端口事件：对自有前缀内出现的未登记活跃地址、或已登记资产新开放端口（尤其22/23/3389/6379/9300等管理面端口）即时告警；
- 证书变更事件：自有域名/前缀关联证书的SAN变化、新签发者出现——与钓鱼仿冒监测联动（公共互联网反网络钓鱼工作组业务场景）；
- 暴露迁移事件：服务从受保护路径迁移至直连暴露（如CDN回源配置变更导致源站地址可直连）——通过持续探测比对发现；
- 前缀异常事件：自有前缀在BGP中宣告异常（新上游、ROA失效、更具体的冒名宣告）——BGPStream监测；
- 告警分级：按“资产分级×暴露面风险”矩阵分级，高危直连管理面端口、未知证书、疑似影子资产列为P1。
05 · 影子资产与双栈缺口专项核查
5.1 影子IPv6资产的四类成因
| 成因 | 典型形态 | 核查方法 |
|---|---|---|
| 未纳管AAAA记录 | 业务自行添加AAAA但未登记 | 权威DNS区域文件×CMDB比对 |
| 双栈应用IPv6侧游离 | IPv6侧无WAF/ACL覆盖 | 双栈等价性核查（子课题01清单） |
| IoT/终端直连 | 摄像头、打印机等全球单播可达 | 自有前缀ZMapv6活跃探测+协议指纹 |
| 过渡技术侧门 | Teredo/6to4残留、NAT64映射入口 | 特殊前缀专项探测（第2页） |
5.2 核查作业流程
①界定范围（RIR注册前缀＋BGP宣告前缀＋已认领前缀三元组）；②全量活跃探测与情报富化；③与CMDB/云资产API/IPAM四方比对；④差异项人工归属确认（owner确认、业务认领）；⑤影子资产限期纳管或下线，闭环留痕。该流程的输出既是台账增量，也是子课题01攻击面清单的输入。
06 · 外部数据服务对照
| 服务 | IPv6支持情况 | 适用 |
|---|---|---|
| Censys | 原生支持IPv6主机与证书检索 | 互联网级暴露面核查、证书关联 |
| Shodan | 支持IPv6（覆盖广度较IPv4有限） | 服务指纹检索 |
| FOFA／Quake | 支持IPv6资产检索（国内厂商） | 境内视角暴露面核查 |
| IPv6 Hitlist Service | 学术研究级活跃地址列表 | 种子与覆盖率基线参照 |
| 自建有权限流水线的组织 | — | 自有前缀常态监测（第5页流水线） |
注：商业服务的覆盖范围与更新频率随其探测策略变化，使用时以各服务当期文档与实测结果为准；涉及境内目标数据的跨境检索应评估数据合规要求（第8页）。
本节参考来源（第6页）
Censys：censys.io；Shodan：shodan.io；FOFA：fofa.info；Quake：quake.360.cn。
IPv6 Hitlist Service：ipv6hitlist.github.io；Gasser O.等《Clusters in the Expanse》（ACM IMC 2018）；Rye E.、Levin D.《IPv6 Hitlists at Scale: Be Careful What You Wish For》（ACM SIGCOMM 2023，Hitlist规模化的收益与风险）：arxiv.org/abs/2307.15057。
RIPE Atlas多观测点测量：atlas.ripe.net；scamper路径测量：caida.org。
IETF RFC 7045《Transmission and Processing of IPv6 Extension Headers》（2013年12月）：rfc-editor.org/rfc/rfc7045；RFC 8820《IPv6 Extension Header Considerations》（2021年）：rfc-editor.org/rfc/rfc8820。