01 · 分层治理基线
将第7页攻击面清单的控制项映射到五个层次，形成"每一层都有明确责任控制"的基线结构（编号B-x为基线项，与清单条目编号区分）：
| 层次 | 编号 | 基线项 | 对应清单条目 |
|---|---|---|---|
| 接入层 | B-1 | RA-Guard全端口启用并按RFC 7113加固（含首部完整性与隧道检查） | B-1、B-7、B-8 |
| B-2 | SAVI绑定部署于关键网段，绑定表纳入SOC可见范围 | C-5、C-6 | |
| B-3 | NDP逐源速率限制与邻居缓存上限治理（RFC 6583缓解） | B-4 | |
| 网络层 | B-4 | ICMPv6按RFC 4890分级基线配置，模板设v6专章（禁止复用v4 ICMP模板） | A-3、A-4、F-6 |
| B-5 | 中间设备落实分片/扩展头处理基线（RFC 5722/7112/7045）并日志化 | A-1、A-5、A-6、A-7 | |
| B-6 | PMTUD黑洞监测与ICMPv6语义校验（入方向过滤伪造错误消息） | A-3、A-4 | |
| 边界层 | B-7 | 双栈两侧策略显式对等声明，12域等价性核查纳入季度审计 | D-1、D-6 |
| B-8 | 隧道残留清零（6to4/Teredo/ISATAP禁用核查）＋翻译设备映射日志留存 | D-2、D-5 | |
| 主机层 | B-9 | 地址生成机制基线化（RFC 7217/8981），隐私机制禁止因审计原因禁用 | C-1、C-2、E-5 |
| B-10 | IPv6解析面补丁高危优先；WPAD禁用/受控；DNS配置变更纳入EDR采集 | E-1、E-2、E-6、C-3 | |
| 监测层 | B-11 | v6流量全量进入检测/审计管道；IDS规则v6覆盖度年度审计 | F-1、F-2 |
| B-12 | NDP四项监测基线（RA源/RDNSS变更/DAD异常/邻居表变更）＋年度IPv6演练科目 | F-3、F-4 |
02 · 工具生态（防御研究用途）
| 分类 | 工具 | 用途定位（本课题） |
|---|---|---|
| 攻击演示类 （授权验证） | THC-IPv6 | Rogue RA/NDP欺骗等概念链回放，校准接入层检测规则 |
| SI6 Networks IPv6 Toolkit | 精细字段级报文构造，扩展头/分片解析面测试 | |
| Chiron | 一体化IPv6评估，输出结构化核查报告 | |
| 测绘扫描类 | ZMap | 给定v6目标列表的高速探测（配合Hitlist） |
| Nmap | v6主机发现、服务识别与脚本化检测 | |
| Scapy | 手工构造v6报文用于协议行为验证 | |
| 检测分析类 | Wireshark | NDP/ICMPv6/扩展头报文的解析与取证分析 |
| Suricata | 开源IDS，评估v6规则覆盖度（分片/扩展头滥用检测） | |
| Zeek | 流量元数据日志化，支撑"审计锚点重建"（C-5） | |
| 基线审计类 | 配置基线核查平台（厂商/自研） | 12域等价性核查与基线B-1~B-12的自动化采集 |
| 资产测绘比对管道（衔接子课题04） | 影子IPv6资产发现与AAAA纳管比对 |
03 · 六步实施路线与里程碑
与专题首页"落地六步路径"呼应并细化到本子课题粒度：
| 步骤 | 名称 | 关键动作 | 里程碑产出 |
|---|---|---|---|
| 01 | 资产与地址台账 | 多源情报富化＋授权探测，建立IPv6资产台账；识别影子资产（D-6） | 资产台账v1、影子资产清单 |
| 02 | 攻击面评估 | 42条清单逐项核查；双栈12域等价性采集（策略等价率首测） | 评估报告、等价率基线值 |
| 03 | 接入与网络层基线 | RA-Guard/SAVI全覆盖；ICMPv6分级基线落地；分片/扩展头基线核查 | 基线B-1~B-6达标证明 |
| 04 | 边界与主机层基线 | 隧道清零；翻译日志合规；主机地址机制与补丁基线 | 基线B-7~B-10达标证明 |
| 05 | 监测与演练 | NDP四项基线上线；v6流量全采集；年度演练含IPv6科目 | 监测看板、演练报告 |
| 06 | 持续运营 | 七项指标季度复盘；清单版本化迭代；IPv6-only演进安全评估前置 | 季度指标报告、清单v2规划 |
04 · 常见问答（FAQ）
| 问题 | 回答（依据） |
|---|---|
| 我们没有主动部署IPv6，还需要做这个课题吗？ | 需要。现代操作系统默认双栈且自动配置链路本地地址——即便无全球v6地址，链路层NDP攻击面（Rogue RA类）依然存在；同时终端可能经Teredo等隧道获得意外的全局可达性。基线核查以"实际存在的攻击面"为准，不以"是否计划部署"为准。 |
| DHCPv6环境是否免疫Rogue RA？ | 不完全。DHCPv6提供集中管控与审计优势，但主机仍同时处理RA消息（默认路由与RDNSS仍可能来自RA，取决于系统实现策略）；RA-Guard等接入层防护仍是必需的（子课题02详析）。 |
| 等价性核查多久做一次？ | 建议自动化采集按季度、人工审计按年度；任何边界策略变更（新增WAF规则、调整ACL）应触发增量核查——等价性是"变更管理"属性而非"年度合规"属性。 |
| 攻击面清单会过时吗？ | 清单按"协议差异×网络元素"框架构建，协议标准演进（如新RFC废弃旧机制）会触发条目增删——本课题按版本化管理（v1.0起），每半年评审一次，废弃机制条目移入"历史观察区"。 |
| 与IPv6-only演进如何衔接？ | IPv6-only消除了双栈等价性负担（D域大半条目退役），但NDP/ICMPv6/解析面条目全部保留且权重上升——本清单同时是IPv6-only安全基线的输入（子课题06）。 |
05 · 交付物质量门槛
- 事实可核查：全部RFC引用可在RFC Editor查证；CVE引用可在cve.org/MSRC查证；统计数据标注来源与口径——任何无法溯源的表述不得进入交付物。
- 条目可执行：攻击面清单每条目必须具备"威胁机理＋先决条件＋影响＋检测思路"四要素，缺一不可；检测思路必须指向可采集的信号。
- 指标可复核：七项验证指标均可由第三方用相同方法复测，口径文档随指标发布。
- 演练可验证：清单B域条目必须能在授权演练中被概念回放并触发至少一条检测告警——未通过演练验证的条目标注"待验证"。
- 版本可追踪：清单、基线、指标全部版本化管理，变更记录含日期、依据与评审人。
全课题参考来源汇总：本子课题八页共引用现行RFC标准30余项，覆盖IPv6协议本体（RFC 8200/4291）、链路层（RFC 4861/4862/6104/6105/6583/7039/7113/3971/3972）、ICMPv6（RFC 4443/4890/2710/3810）、地址机制（RFC 4941/6724/7217/7707/7721/8064/8981/8106）、扩展头与分片（RFC 5095/5722/6946/7045/7112/8021）、双栈与过渡（RFC 4213/8305/6555/3056/7526/4380/5214/6052/6146/6147/6877/7050）、运营基线（RFC 8504/9098）及NIST SP 800-119、CNNIC/APNIC/Google统计、MSRC/CVE档案——全部来源真实可查，未使用任何无法溯源的二手数据。
本节参考来源（第8页）
ZMap（开源高速网络扫描器，支持IPv6目标列表扫描）：github.com/zmap/zmap；Nmap（IPv6全功能支持）：nmap.org；Scapy：scapy.net。
Wireshark（协议分析）：wireshark.org；Suricata（开源IDS）：suricata.io；Zeek（网络流量分析）：zeek.org。
THC-IPv6：github.com/vanhauser-thc/thc-ipv6；SI6 Networks IPv6 Toolkit：si6networks.com/tools/ipv6toolkit；Chiron IPv6安全评估框架（公开研究项目）。
IPv6 Hitlist Service（学术IPv6活跃地址列表项目）：ipv6hitlist.github.io。
IETF RFC 9098《Operational Implications of IPv6 Packets with Extension Headers》（2021年8月，治理基线核心依据）：rfc-editor.org/rfc/rfc9098。
中央网信办等三部门《深入推进IPv6规模部署和应用2024年工作安排》（2024年4月）与《2025年深入推进IPv6规模部署和应用工作要点》（2025年5月）及中国信通院IPv6发展监测数据：cac.gov.cn、caict.ac.cn。