01 · STRIDE在IPv6场景的映射规范
STRIDE的价值在于强制覆盖六类威胁视角，避免"只见DoS不见篡改"的盲区。下表为本课题制定的IPv6场景映射规则（每条映射对应第7页攻击面清单的具体条目编号）：
| STRIDE类 | IPv6场景典型威胁 | 映射清单条目 |
|---|---|---|
| S 仿冒 | 伪造源地址（无SAVI环境）；伪造NA/RA身份；v6地址冒用绑定表外地址 | B-2、B-3、C-6 |
| T 篡改 | 伪造RA篡改主机配置（路由/DNS）；伪造Redirect篡改下一跳；逐跳选项在途中篡改（"change en route"语义） | B-1、A-2、A-4 |
| R 抵赖 | 临时地址轮换＋无绑定日志导致"谁发的包"不可归因；翻译设备映射日志缺失 | C-5、F-2、D-5 |
| I 信息泄露 | EUI-64地址泄漏MAC/厂商信息；链路内RA/NS流量暴露网络拓扑与在线主机 | C-2、C-1、B-5 |
| D 拒绝服务 | NDP耗尽（RFC 6583）；DAD拒绝；PMTUD黑洞/MTU极化；扩展头链CPU消耗；分片重组资源耗尽 | B-4、C-4、A-3、A-5、E-3 |
| E 权限提升 | Rogue RA＋RDNSS获得流量中间人地位（链路内"配置权限"）；隧道绕过边界获得出口权限 | B-1、D-2 |
02 · 攻击树方法：以"企业内网横向移动"为例
攻击树将"目标状态"作为根节点逐级分解为可实现的前置条件，用于发现防护缺口。以下为概念级示例（防御研究用途，不含操作细节）：
目标：经IPv6通道在企业内网达成横向移动（仅概念结构）
├─ OR ① 获取链路内IPv6立足点
│ ├─ 接入层接入（有线/无线/VPN落点）
│ ├─ 主机已被控（任意原因）且该主机具备链路内发包能力
│ └─ 影子IPv6资产本身暴露于可达位置
├─ OR ② 建立流量中间人位置
│ ├─ 伪造RA（前提：无RA-Guard或非信任端口未覆盖）
│ ├─ NA邻居缓存投毒（前提：主机无防护）
│ └─ 伪造Redirect（前提：主机接受条件校验薄弱）
├─ OR ③ 扩大控制范围
│ ├─ DNS劫持（RDNSS投毒 → 域名级钓鱼/重定向）
│ ├─ WPAD劫持（自动代理发现被接管 → 明文HTTP凭据截获）
│ └─ 隧道外联（Teredo/6to4残留 → 绕过出口管控建立C2）
└─ AND ④ 维持与隐匿
├─ 临时地址轮换干扰IP-based审计
└─ v6流量未采集干扰检测响应攻击树的防御价值在于：每个"前提"节点即一个可独立加固的控制点——①要求接入管控与资产纳管；②要求RA-Guard/SAVI全覆盖；③要求RDNSS治理与WPAD受控；④要求审计锚点重建与v6流量全采集。任何一个AND路径被切断，攻击树即告失败——这正是纵深防御的资源分配依据。
03 · 资产—威胁—控制矩阵（摘要）
| 核心资产 | 首要威胁（STRIDE） | 关键控制 | 验证方式 |
|---|---|---|---|
| 主机配置完整性 | RA/Redirect篡改（T/E） | RA-Guard＋SAVI＋主机侧配置变更监测 | 授权回放检测 |
| 邻居缓存正确性 | NA投毒（S/T） | NDP异常监测＋静态关键条目 | 概念攻击回放 |
| DNS解析完整性 | RDNSS/DNSSL投毒（T/E） | RA选项治理＋DoT/DoH＋解析变更告警 | 配置基线核查 |
| 边界策略一致性 | 双栈绕过（E） | 等价性核查表（第6页，12域） | 自动化采集＋年度审计 |
| 可用性（NDP/PMTUD） | 耗尽/黑洞（D） | 速率限制＋RFC 4890分级过滤＋黑洞监测 | 故障演练 |
| 审计可归因性 | 抵赖（R） | SAVI绑定＋DHCPv6日志＋翻译映射留存 | 日志关联测试 |
04 · 《IPv6攻击面清单》v1.0（42条目）
六大域42条目，每条含威胁机理与检测思路；编号规则：域字母-序号。"先决条件"列说明利用所需位置/权限。完整版（含影响评级与控制映射）以配套模板文件交付，本页为研究版全文。
A域 · 协议解析面（8条）
| 编号 | 威胁条目 | 检测思路 |
|---|---|---|
| A-1 | 扩展头链混淆：歧义/超长扩展头链利用中间设备与终端解析不一致绕过过滤 | 中间设备按RFC 7112/7045基线核查；异常链报文抽样检测 |
| A-2 | 逐跳选项滥用：强制每跳处理被用于CPU消耗与"途中可变"篡改语义 | 选项链长度/速率限制；异常逐跳选项告警 |
| A-3 | PMTUD黑洞：PTB消息被阻断或伪造，致TCP大包静默失败 | PMTUD黑洞监测（重传模式＋大小包差异）；ICMPv6语义校验 |
| A-4 | MTU极化DoS：伪造PTB将MTU压至1280下限强制TCP分片化 | PTB源校验；MTU变更事件审计 |
| A-5 | 分片重组资源耗尽：重组缓存/状态表耗尽攻击（含历史CVE模式） | 重组资源上限核查；分片速率基线 |
| A-6 | 重叠分片/Tiny Fragment类绕过（RFC 5722禁令的实现合规性差异） | 按RFC 5722丢弃核查；异常分片组合报文测试 |
| A-7 | 首分片不含完整上层头（RFC 7112违规透传致五元组不可见） | 首分片完整性检查基线核查 |
| A-8 | 协议栈解析面实现漏洞（分片/扩展头/ICMPv6处理RCE级历史CVE模式） | IPv6解析面补丁纳入高危优先级；fuzzing测评 |
B域 · 链路层信任面（8条）
| 编号 | 威胁条目 | 检测思路 |
|---|---|---|
| B-1 | Rogue RA：伪造默认路由与RDNSS，获得链路内流量中间人地位 | RA源白名单监测；RA-Guard违规告警 |
| B-2 | NA邻居缓存投毒：伪造NA使目标邻居表指向攻击者MAC | NA交互基线；关键主机邻居表变更审计 |
| B-3 | NS/DAD应答伪造：抢先应答实现中间人或地址抢占 | DAD交互频率基线；异常应答者告警 |
| B-4 | NDP耗尽：随机源NS/NA洪泛撑爆邻居缓存（RFC 6583） | 逐源速率限制；INCOMPLETE条目上限核查 |
| B-5 | 链路拓扑探测：RS/NS监听被动发现在线主机与路由器（信息收集） | 接入层端口安全；监测被动发现行为 |
| B-6 | 伪造Redirect：选择性下一跳劫持（RFC 4861 §8.1条件校验薄弱端点） | 非路由器端口Redirect告警；主机侧变更审计 |
| B-7 | RA洪泛：高频RA造成主机处理负担与邻居缓存异常 | RA频率基线；RA-Guard限速维度核查 |
| B-8 | RA-Guard绕过：分片/隧道封装RA规避端口级过滤（RFC 7113） | 按RFC 7113加固项核查（首部完整性、隧道检查） |
C域 · 地址与配置面（7条）
| 编号 | 威胁条目 | 检测思路 |
|---|---|---|
| C-1 | 地址枚举：EUI-64/低熵IID环境下单/64前缀主机枚举（RFC 7707） | 基线核查IID生成机制（RFC 7217/8981落地状态） |
| C-2 | 地址信息泄露：EUI-64地址泄漏MAC与厂商指纹 | 同上基线核查；对外流量源地址分析 |
| C-3 | RDNSS/DNSSL投毒：RA携带恶意DNS配置（RFC 8106），实现无漏洞DNS劫持 | RA选项白名单；主机DNS配置变更告警 |
| C-4 | DAD拒绝服务：持续伪造NA使新主机无法获址 | 与B-3联动；地址获取失败率监测 |
| C-5 | 审计锚点失效：临时地址轮换＋纯SLAAC无租用记录致归因中断 | SAVI绑定＋流量日志时间窗关联验证 |
| C-6 | 源地址冒用：无SAVI环境伪造链路内源地址 | SAVI/uRPF部署核查；绑定冲突告警 |
| C-7 | 地址选择操纵：注入额外前缀/策略诱导非预期源地址标识（RFC 6724） | 关键主机前缀策略表静态化核查 |
D域 · 双栈与过渡面（7条）
| 编号 | 威胁条目 | 检测思路 |
|---|---|---|
| D-1 | 双栈绕过：经防护较弱的v6/v4栈绕过另一侧控制到达同一后端 | 12域等价性核查表＋策略等价率指标 |
| D-2 | 隧道隐蔽通道：6to4/Teredo/ISATAP残留绕过边界管控（6to4已由RFC 7526废弃；Teredo/ISATAP实质边缘化但存量仍在） | 隧道残留扫描（协议41/UDP3544/适配器状态） |
| D-3 | Happy Eyeballs操纵：注入劣化信号引导客户端切换至期望协议栈 | 双栈路径可达性持续监测 |
| D-4 | DNS64合成污染：翻译场景下合成解析环节被操纵定向流量 | DNS64信任链核查；合成记录审计 |
| D-5 | 翻译日志缺失：NAT64/464XLAT映射未留存致溯源断链 | 翻译设备日志合规核查 |
| D-6 | 影子IPv6资产：未纳管AAAA/双栈服务暴露未知入口 | AAAA记录纳管核查＋周期性测绘比对 |
| D-7 | ULA误出网/泄漏：本地地址进入全局路由致策略与隐私问题 | 出口过滤核查；ULA前缀登记管理 |
E域 · 主机与实现面（6条）
| 编号 | 威胁条目 | 检测思路 |
|---|---|---|
| E-1 | ICMPv6解析RCE模式：RDNSS等选项解析缺陷（CVE-2020-16898模式） | 补丁基线；畸形选项fuzzing |
| E-2 | 分片处理RCE模式：重组路径缺陷（CVE-2021-24086、CVE-2022-34718、CVE-2024-38063模式）；另见ICMPv6解析DoS（CVE-2013-3183） | 补丁基线；分片组合测试 |
| E-3 | 错误消息无限生成：未按RFC 4443 §2.4限速的ICMPv6生成放大 | 主机/设备ICMPv6限速生效核查 |
| E-4 | 重定向条件校验薄弱：主机未严格实现RFC 4861 §8.1接受条件 | 端点基线问卷＋变更审计 |
| E-5 | 隐私机制配置漂移：EUI-64或临时地址策略被不当变更 | 基线配置管理；漂移告警 |
| E-6 | WPAD自动代理劫持面：Rogue RA＋WPAD组合中间人（攻防演练常见组合链） | WPAD禁用/受控核查；PAC获取审计 |
F域 · 监测与运营面（6条）
| 编号 | 威胁条目 | 检测思路 |
|---|---|---|
| F-1 | v6流量未采集：IDS/日志管道不处理IPv6致攻击不可见 | v6流量入管道比例核查 |
| F-2 | 检测规则v6不适配：IDS规则集未覆盖v6报文形态（扩展头/分片） | 规则集v6覆盖度审计 |
| F-3 | NDP无监测基线：链路层无RA源/RDNSS/DAD异常基线记录 | 四项基线建立核查（第5页§06） |
| F-4 | 演练不覆盖v6：年度攻防演练缺IPv6科目 | 演练计划核查（Rogue RA/双栈绕过必考） |
| F-5 | 情报体系v6缺失：信誉/黑名单/情报不覆盖v6地址 | 情报源v6覆盖度核查 |
| F-6 | 基线文档无v6章节：防火墙/主机模板复用v4 ICMP策略 | 模板v6专章评审核查 |
攻击面清单六大域条目分布（按本清单统计）
A域8条／B域8条／C域7条／D域7条／E域6条／F域6条，合计42条
统计口径：本页清单条目数（课题内部框架），非外部统计数据；条目随研究迭代版本化维护。
05 · 验证指标体系
| 指标 | 定义 | 采集方式 | 目标值 |
|---|---|---|---|
| 策略等价率 | 12域等价性核查达标项数/12 | 自动化采集＋年度审计 | 100% |
| NDP防护覆盖率 | 启用RA-Guard的接入端口/接入端口总数 | 配置基线平台 | 100% |
| ICMPv6基线合规率 | 符合RFC 4890分级基线的设备/模板数占比 | 配置核查 | 100% |
| 隧道残留数 | 全网发现的6to4/Teredo/ISATAP启用点数量 | 终端基线＋边界扫描 | 0 |
| 影子资产数 | 纳管记录之外的AAAA可达服务数量 | 周期性测绘比对 | 0 |
| v6流量采集率 | 进入检测/审计管道的v6流量占比 | 流量管道核查 | 与v4同等 |
| 审计可关联率 | 可通过SAVI/日志关联到主机的地址事件占比 | 日志关联测试 | 关键网段100% |
使用说明：指标定义刻意采用"可采集、可复核"原则，避免不可证伪的定性指标；目标值针对关键网络（数据中心、办公接入）设定，物联网等受限场景可分级设定。指标结果按季度纳入安全运营例会，与第8页六步路线的里程碑绑定。
本节参考来源（第7页）
[1]
Microsoft《The STRIDE Threat Model》及威胁建模方法论文档：learn.microsoft.com；攻击树方法经典文献：Bruce Schneier, "Attack Trees"（Dr. Dobb's Journal, 1999年12月）。
[2]
NIST SP 800-119《Guidelines for the Secure Deployment of IPv6》（2010年12月，控制框架与威胁分析）：csrc.nist.gov。
[3]
IETF RFC 9098《Operational Implications of IPv6 Packets with Extension Headers》（2021年8月）：rfc-editor.org/rfc/rfc9098。
[4]
IETF RFC 6583（2012）、RFC 7112（2013）、RFC 4890（2007）、RFC 7707（2015）、RFC 8106（2017）：均见前述各页参考来源，可在RFC Editor查证。
[5]
Microsoft MSRC（CVE-2013-3183 / CVE-2020-16898 / CVE-2021-24086 / CVE-2022-34718 漏洞档案）：msrc.microsoft.com。