01 · 建模方法与资产定义
本子课题按子课题01定义的《IPv6攻击面清单》编号规范挂接，清单编号为AS-EH-xx。建模采用STRIDE六类威胁（仿冒/篡改/抵赖/信息泄露/拒绝服务/权限提升）映射＋攻击树分解的组合方法；建模资产为五类网络元素的报文处理能力：
| 资产编号 | 资产 | 安全属性 |
|---|---|---|
| A-1 | 终端协议栈（Windows/Linux/BSD/嵌入式）的扩展头解析与分片重组实现 | 可用性、完整性（重组内容可信） |
| A-2 | 防火墙/边界设备的IPv6过滤与ICMPv6处置策略 | 过滤一致性（两栈等价）、可观测性 |
| A-3 | IPS/WAF/负载均衡的深度检测与重组能力 | 检测完整性（不被绕过）、性能弹性 |
| A-4 | PMTUD信任链（PTB生成/透传/消费全路径） | 真实性（PTB可信）、可用性 |
| A-5 | 翻译与隧道设备（NAT64/SIIT/封装网关）的分片与EH处理 | 翻译正确性、状态表完整性 |
02 · STRIDE映射表
| 资产 | 仿冒 S | 篡改 T | 抵赖 R | 信息泄露 I | 拒绝服务 D | 权限提升 E |
|---|---|---|---|---|---|---|
| A-1 终端协议栈 | — | ✔ 重组内容被改写（重叠/注入） | — | ✔ 解析指纹泄露实现信息 | ✔ 重组资源耗尽/解析崩溃 | ✔ 解析面RCE（CVE实证） |
| A-2 防火墙/边界 | ✔ PTB伪造来源 | — | ✔ 过滤策略不可审计 | — | ✔ ICMP反馈面放大 | — |
| A-3 IPS/WAF | — | ✔ 分片绕过检测内容篡改 | ✔ 绕过行为无日志 | — | ✔ 重组资源消耗 | — |
| A-4 PMTUD信任链 | ✔ PTB伪造 | ✔ MTU缓存污染 | — | — | ✔ 压制/抑制/资源耦合 | — |
| A-5 翻译/隧道设备 | — | ✔ 翻译状态错乱 | — | — | ✔ 状态表耗尽 | — |
注：✔表示该STRIDE类别在本资产上存在可达威胁路径（依据第2—6页机制分析）；"—"表示无显著路径。抵赖类整体偏弱是协议层攻击面的特征——日志与审计能力（子课题01监测运营域）是对应的控制落点。
03 · 攻击树（顶层目标分解）
| 节点 | 子节点（OR关系） |
|---|---|
| 目标：绕过中间设备检测 | ①分片化载荷（无状态设备无五元组）｜②扩展头链混淆（解析深度耗尽）｜③重组策略分裂（IPS与终端所见不同）｜④加密终止可见性（ESP后不可见） |
| 目标：篡改传输内容 | ①重叠分片合并差异｜②原子分片注入（历史）｜③可预测ID＋伪造分片注入｜④PTB诱发行为操纵 |
| 目标：拒绝服务 | ①重组槽位/字节耗尽｜②Router Alert类慢路径触发｜③ICMP反馈面放大｜④PTB压制/抑制｜⑤解析面实现漏洞（CVE类） |
| 目标：隐蔽测绘与指纹 | ①EH组合处置差异探测｜②ICMPv6反馈策略探测｜③重组超时/策略探测｜④分片率与ID模式观测 |
04 · IPv6扩展头与分片攻击面清单 v1.0（16条目）
每条含四要素：威胁机理／先决条件／影响／检测思路。风险等级为课题内评估（先决条件易得性×影响面），供治理排序参考。
| 编号 | 名称 | 威胁机理（概念层） | 先决条件 | 等级 |
|---|---|---|---|---|
| AS-EH-01 | 重叠分片内容改写 | 内容不一致的重叠区间按"后到优先"等策略合并，伪造分片改写报文内容 | 目标实现未执行RFC 5722 | 高 |
| AS-EH-02 | 原子分片注入 | 伪造PTB诱发原子分片（旧实现）＋可预测ID，注入伪造分片污染重组 | 未打RFC 8021合规补丁的老系统/嵌入式栈 | 高 |
| AS-EH-03 | 分片ID可预测 | 递增计数器式Identification使注入者预知后续数据报ID区间 | ID生成策略可预测（RFC 7739场景） | 中 |
| AS-EH-04 | 微小分片过滤绕过 | 首分片仅含上层头前几字节，无状态过滤设备无法提取端口而放行 | 中间设备未执行RFC 7112 | 高 |
| AS-EH-05 | 重组资源耗尽 | 随机源首分片洪泛/慢速分片驻留，耗尽重组槽位与缓存 | 终端/网关无重组配额基线 | 高 |
| AS-EH-06 | EH链长度耗尽 | 超长/嵌套扩展头链击穿设备解析深度上限，触发丢弃或直通分叉 | 设备解析深度未声明或不足 | 中 |
| AS-EH-07 | 未知类型处置差异 | 未知Next Header/选项类型处置分歧（跳过/丢弃/透传）构建设备间语义分裂 | 跨设备实现差异（固有） | 中 |
| AS-EH-08 | 重复/乱序EH | 重复或乱序扩展头链按"首次/末次"不同取舍产生多义解析 | 实现容错策略差异 | 低 |
| AS-EH-09 | RH0残留滥用 | 废弃的路由头类型0在残留实现中触发路由环路放大 | 未按RFC 5095处置的残留实现 | 中 |
| AS-EH-10 | PTB压制MTU | 伪造Packet Too Big将路径MTU压至1280，持续劣化吞吐 | PTB无鉴别接受 | 高 |
| AS-EH-11 | PTB抑制黑洞 | 过滤或丢弃真实PTB，TCP大包静默挂起（PMTUD黑洞） | ACL违反RFC 4890／攻击者丢弃路径PTB | 高 |
| AS-EH-12 | PTB×分片资源耦合 | 伪造PTB迫使源端小MTU分片，接收端重组资源消耗成倍放大 | PTB伪造＋无分片配额 | 中 |
| AS-EH-13 | Router Alert慢路径触发 | 海量带Router Alert选项的逐跳报文迫使路由器CPU处理 | 设备未限速/未最小化选项集 | 中 |
| AS-EH-14 | ICMP反馈面放大 | 对组播目的的错误消息回送（选项类型11类）或PTB洪泛形成反射 | 回送抑制实现缺陷 | 低 |
| AS-EH-15 | 翻译器分片状态错乱 | 分片穿越NAT64/SIIT时五元组翻译与ID处理缺陷导致状态表错乱/过滤缺口 | 翻译实现未遵循RFC 7915 | 中 |
| AS-EH-16 | 解析面实现漏洞 | 扩展头/分片/ICMPv6解析缺陷致RCE/DoS（CVE-2013-3183、2020-16898、2021-24086、2024-38063等） | 未打补丁的协议栈 | 高 |
05 · 资产-威胁-控制矩阵（摘要）
| 清单编号 | 涉及资产 | 主控制（治理基线） | 检测思路 |
|---|---|---|---|
| 01/02/04 | A-1, A-3 | RFC 5722/8021/7112合规基线＋内核重组参数 | 重叠/微小分片模式检出规则 |
| 03 | A-1 | ID生成随机化（RFC 7739方向） | 跨数据报ID单调性观测 |
| 05 | A-1, A-3 | 槽位/字节双限额；网关分片速率限制 | 重组计数器基线偏离告警 |
| 06/07/08 | A-2, A-3 | 解析深度声明＋一致性测试（第5页） | EH组合探针的处置差异比对 |
| 09 | A-2 | RH0识别丢弃（RFC 5095） | 含RH0报文出现即告警 |
| 10/11/12 | A-4 | PTB透传基线＋PLPMTUD部署＋PTB核验限速 | PTB速率/来源/载荷引用校验 |
| 13/14 | A-2 | 逐跳选项最小集＋ICMP限速 | 选项类型分布与回送行为监测 |
| 15 | A-5 | 翻译器纳入一致性测试与加固基线 | 翻译前后分片形态比对 |
| 16 | A-1 | IPv6相关补丁节奏纳入变更管理 | 漏洞情报驱动的紧急补丁流程 |
06 · 风险评级方法
评级采用两维定性模型：先决条件易得性（是否需要漏洞/特定实现缺陷/特定网络位置）×影响面（单主机/单会话/网络段/协议栈通用）。评级结果用于排序而非精确量化——"高"级条目的共同特征是先决条件为配置或实现默认值、影响跨多类资产（AS-EH-01/02/04/05/10/11/16），应作为基线核查的第一优先集。评级每半年随实现生态（补丁普及度、设备固件基线）复评一次。
07 · 攻防演练场景映射
| 演练场景 | 对应清单条目 | 评估要点 |
|---|---|---|
| 场景一：分片绕过IPS投递 | AS-EH-04/05/06 | 红队以合规分片载荷携带检测特征；蓝队核查IPS重组后检测能力与告警完整性 |
| 场景二：EH混淆探测 | AS-EH-06/07/08 | 构造L3级用例矩阵探测边界设备处置；输出与基线声明的差异报告 |
| 场景三：PTB操纵观测 | AS-EH-10/11/12 | 在授权网段模拟PTB压制/抑制；验证监测规则检出与诊断流程有效性 |
| 场景四：重组指纹建档 | AS-EH-01/03 | 对终端基线建立重组策略档案；验证指纹库对影子资产的识别能力 |
本节参考来源（第7页）
清单条目的机制依据均可在第2—6页对应章节回溯至原始RFC/CVE来源；本页仅列方法论文献。
Microsoft STRIDE威胁建模方法（原始出处：Microsoft Application Threat Modeling）：learn.microsoft.com。
攻击树（Attack Trees）方法原始文献：Bruce Schneier《Attack Trees》，Dr. Dobb's Journal（1999年12月）：schneier.com。
NIST SP 800-119《Guide to IPv6 Security》（2008年1月）：csrc.nist.gov。
IETF RFC 9098《Operational Security Considerations in IPv6 Networks》（2021年8月）：rfc-editor.org/rfc/rfc9098。