IPv6地址空间测绘与态势感知第07页：反测绘与防御方应对

01 · 反测绘的战略定位与效果边界

1.1 定位：抬高成本的“减速带”，不是“隐身衣”

反测绘（anti-reconnaissance）的目标不是让网络不可见——对外提供服务必然可被发现——而是：①消除低熵地址，使定向枚举成本趋近随机猜测；②收敛响应面，使探测者难以区分“活跃”与“静默”；③保留对探测行为的感知与溯源能力。其有效性建立在第3页的成本模型上：当全网IID有效熵趋近64位时，攻击者被迫转向被动情报或社会工程，攻击前置成本数量级上升。

1.2 效果边界与误用警示

02 · 地址层反测绘配置基线

03 · 网络层过滤与速率控制基线

3.1 入向默认拒绝＋状态化放行

• 边界默认拒绝：全球单播入向默认deny，仅显式放行对外服务端口；该原则在IPv4/IPv6两侧必须对等执行（双栈等价性，子课题01）；
• 主机防火墙：终端IPv6入站默认阻止（Windows Defender Firewall、Linux nftables/ip6tables的默认策略均支持），避免“链路内即可达”；
• ICMPv6最小放行：按RFC 4890基线放行NDP必需消息（NS/NA/RS/RA按角色最小化）与Packet Too Big，Echo Request限速而非全丢——既维持协议功能又避免应答成为探测信标；
• 速率控制：对ICMPv6 Echo与TCP SYN设每秒/每源速率阈值，超出即丢弃并计数——把扫描者的“敲门”变成“哑炮”。

3.2 源地址真实性与外联管控

• 入口过滤：接入与边界部署BCP 38（RFC 2827）uRPF，杜绝伪造源地址探测与攻击的匿名化；
• SAVI绑定：关键接入域部署SAVI（RFC 7039），建立地址—端口—主机绑定，同时服务反测绘审计（绑定日志即台账）；
• 出向治理：内部ULA主机出向访问经防火墙受控，避免内部地址结构经出向流量泄露。

04 · 诱饵前缀与主动感知

4.1 蜜罐地址的IPv6特殊性

IPv4暗网（darknet）可全网铺探针，IPv6下任意前缀内的“空白地址”几乎无限——随机扫描命中诱饵的概率趋近于零。因此IPv6蜜罐的价值不在“守株待兔”，而在“定向感知”：把诱饵地址嵌入真实资产的邻近模式（如 ::100—::1FF 区段、仿真的服务端口指纹），则针对该网络的低熵枚举必然扫到诱饵——命中即告警，且告警置信度极高（正常用户绝不可达未公布地址）。

4.2 诱饵部署要点

• 邻位布设：诱饵与真实服务同前缀、相邻IID，共享指纹外壳（同TTL、同协议栈特征）；
• 高交互诱饵：对关键前缀部署可交互蜜罐（模拟管理面端口22/3389），记录探测载荷用于归因研究；
• anycast感知：多站点部署诱饵，多观测点比对命中来源，识别“谁在从哪条路径摸我”。

05 · 扫描行为检测

补充手段：在网络边界部署暗网/网络望远镜（darknet/telescope）观测发往未使用地址的探测报文，是学术界识别互联网级扫描行为的标准方法——Fukuda与Heidemann（IMC 2018）系统分析了IPv6扫描流量的检测特征；Spoki（USENIX Security 2022）以响应式望远镜捕获两阶段扫描第二阶段的TCP握手，二者均可为IPv6侧扫描检测规则提供先验特征。

06 · 反测绘基线核查清单

本节参考来源（第7页）