01 · 工具全景（按授权用途分类）
| 类别 | 工具 | NDP相关能力 | 授权用途定位 |
|---|---|---|---|
| 攻击评估 （红方） | THC-IPv6 | fake_router6 / parasite6 / dos-new-ip6 / flood_router6 / redir6 / ndpexhaust6 / kill_router6 | 授权渗透测试、演练载荷、控制验证 |
| SI6 IPv6工具包 | ra6 / ns6 / na6 / rd6 / scan6 / frag6（分片绕过验证） | RA-Guard加固验证（RFC 7113合规测试） | |
| bettercap | ndp.spoof自动化中间人模块 | 内网中间人防御验证 | |
| 构造与审计 | Scapy | 任意ICMPv6/ND消息构造、分片控制、回放 | 检测规则开发测试报文生成 |
| Nmap | IPv6主机发现（-6）、NSE脚本 | 链路资产测绘（授权环境） | |
| Wireshark / tshark | ND报文分析、显示过滤、pcap取证 | 事件复盘、规则验证、现场取证 | |
| 防御检测 （蓝方） | Suricata / Snort | IPv6/ICMPv6规则匹配、旁路检测 | R-01/R-04/R-07/R-08承载 |
| Zeek | IPv6结构化日志、长期基线学习 | R-06周期性模式识别 | |
| ndpmon | 专用NDP异常监听告警 | 小型网络低成本监测点 | |
| 设备侧 | 交换机特性 | RA-Guard / ND Inspection / SAVI / DHCPv6-Shield / 端口限速 | L2防护主力（第4页） |
| 主机参数 | Linux accept_ra族 / Windows网卡RA设置 / 静态邻居条目 | L3加固（第4页§06） |
工具使用合规红线：攻击评估类工具（THC-IPv6/SI6/bettercap）仅可在书面授权环境运行——迪妙攻防演练体系提供隔离沙箱与科目管理；任何对生产网络的未授权使用均违反《网络安全法》相关规定并构成违规。
02 · 五阶段实施路线
| 阶段 | 里程碑 | 关键动作 | 退出标准 |
|---|---|---|---|
| P1 | 链路可见 | 每VLAN观测点；影子IPv6资产台账；接入面（含虚拟化）清单 | 观测点覆盖率100%；资产台账经业务方确认 |
| P2 | 阻断就位 | L1/L2/L3按第4页基线部署；例外端口清单化 | RA-Guard覆盖率≥99%；例外清单完整且限时 |
| P3 | 发现可用 | 规则库上线；基线学习完成；SIEM联通 | 学习期完成；告警字段规范化；误报基线建立 |
| P4 | 能力实证 | ND-1至ND-5演练；指标计算；整改 | 阻断率100%（RA类）；检出率≥95%；MTTD分钟级 |
| P5 | 运营闭环 | 制度化：审计、复测、更新、评估 | 连续两个季度KPI达标；成熟度评估≥3级 |
03 · 第一跳安全核查清单（20项）
| # | 域 | 核查项 | 通过标准 |
|---|---|---|---|
| 1 | 接入控制 | 802.1X/等效认证覆盖所有用户接入端口 | 未认证端口数=0（例外登记） |
| 2 | 接入控制 | 访客/IoT/OT网络与办公网链路隔离 | 隔离VLAN策略生效且经测试 |
| 3 | RA防护 | RA-Guard全接入端口启用（含无线AP下联） | 覆盖率≥99% |
| 4 | RA防护 | RA-Guard为硬件转发面实现（RFC 7113） | 厂商文档+抽测确认 |
| 5 | RA防护 | 分片/隧道绕过抽测（授权环境） | 载荷被丢弃且有日志 |
| 6 | RA防护 | RA内容策略（RDNSS/PIO/RIO白名单）启用 | 基线外内容被拦或告警 |
| 7 | RA防护 | 端口级RA速率限制 | 洪泛载荷不越阈值 |
| 8 | DHCP防护 | DHCPv6-Shield与RA-Guard联合部署 | 伪造DHCPv6服务器测试被拦 |
| 9 | SAVI | SAVI绑定在关键VLAN启用 | 伪造源地址测试被拦 |
| 10 | SAVI | 绑定表容量与老化参数经容量评估 | 峰值压测无合法流量误丢 |
| 11 | 监测 | 每VLAN至少一个NDP观测点 | 覆盖率100% |
| 12 | 监测 | 八类规则库上线并度过基线学习期 | 学习期完成，告警启用 |
| 13 | 监测 | RDNSS/DNSSL/网关内容基线建立并版本化 | 基线文档+变更联动SOP |
| 14 | 主机 | WPAD在受管终端禁用 | 组策略/配置管理覆盖率≥95% |
| 15 | 主机 | 自动隧道（6to4/Teredo/ISATAP）关闭 | 抽检确认 |
| 16 | 主机 | 关键服务器静态邻居条目/网关静态化 | 清单覆盖核心系统 |
| 17 | 主机 | IPv6安全补丁高优先级通道 | 补丁SLA≤常规通道50% |
| 18 | 虚拟化 | vSwitch等效RA防护与源地址检查 | hypervisor基线核查通过 |
| 19 | 运营 | 演练科目（ND-1~5）年度执行并出报告 | 指标达标+整改闭环 |
| 20 | 运营 | 配置审计自动化（RA-Guard/SAVI配置漂移检测） | 季度审计报告机制化 |
04 · 分厂商落地要点（概念级对照）
| 厂商 | RA防护特性（等效命名） | ND检测/绑定特性 | 落地注意 |
|---|---|---|---|
| Cisco | IPv6 RA Guard（raguard policy，device-role/内容策略/校验项） | IPv6 ND Inspection；IPv6 Snooping（绑定+拦截） | 策略需绑定到接口/VLAN；内容与角色策略组合使用 |
| Juniper | IPv6 RA Guard策略 | IPv6 Neighbor Discovery协议保护特性 | 以当期JunOS文档为准核对硬件支持 |
| 华为 | ND报文防护/RA Guard类特性 | ND Snooping（绑定表+伪造拦截） | 不同交换机系列能力差异大，选型阶段确认 |
| H3C | ND报文过滤/RA Guard类特性 | ND Detection（地址绑定与检查） | 同上，以官方配置手册为准 |
| 虚拟化 | vSwitch/OVS安全策略等效项 | hypervisor源地址检查+端口安全 | 虚拟端口纳入同等基线核查 |
说明：特性命名与能力边界随版本变化，本表为概念级对照；采购与验收必须以厂商当期文档与实测为准，不接受销售口径替代验证。
05 · 与攻防演练体系对接
- 科目嵌入：ND-1至ND-5科目可直接作为drill.html演练卡片数据源；每个科目关联MITRE映射（第6页）与处置SOP编号。
- 难度分级：初级（ND-1单点发现）→中级（ND-2/ND-4内容级与协议级）→高级（ND-3组合链、ND-5资源层抗压）——适配不同成熟度组织。
- 结果回写：演练指标（阻断率/检出率/MTTD）回写第8页成熟度模型与年度评估报告；未达标科目自动生成整改工单。
- 教育联动：演练报告脱敏后转化为安全意识培训素材（"为什么会议室网络也能被攻击"类案例课），反哺培训体系。
06 · KPI与成熟度评估模型
6.1 五级成熟度
| 级别 | 名称 | 特征 | 升级条件 |
|---|---|---|---|
| 1 | 默认裸奔 | 无RA-Guard；无观测；IPv6状态未知 | 完成P1资产测绘 |
| 2 | 被动阻断 | RA-Guard部分部署；无内容策略；无监测 | RA-Guard覆盖率≥99%+例外清单化 |
| 3 | 主动防护 | L1-L3全量基线+SAVI关键覆盖；内容级策略启用 | 监测上线+首轮演练阻断率100% |
| 4 | 可观测响应 | 八类规则+SIEM关联；MTTD分钟级；年度演练达标 | 连续两季KPI达标 |
| 5 | 自适应运营 | 配置审计自动化；诱捕体系化；规则库持续迭代；成熟度自评估机制化 | —（持续维持） |
6.2 核心KPI（月度/季度）
- 防护覆盖率：RA-Guard端口覆盖率、SAVI关键VLAN覆盖率、DHCPv6-Shield联合部署率、WPAD禁用率。
- 检测效能：检出率、MTTD、误报率、基线漂移处置时长。
- 运营健康度：配置漂移事件数、例外端口超期数、演练指标趋势、规则库迭代次数。
07 · 持续跟踪清单
| 类别 | 跟踪项 | 跟踪渠道 |
|---|---|---|
| 标准动态 | RFC 4861/4862维护状态；6man/v6ops工作组关于ND安全增强的草案；SAVI后续规范；RFC 9098勘误与更新 | IETF Datatracker、RFC Editor |
| 漏洞情报 | 各OS/设备的NDP与ICMPv6解析面CVE；畸形报文处理缺陷——重点关注可蠕虫级IPv6协议栈漏洞（如CVE-2024-38063模式）及其紧急修补指引 | MSRC、NVD、厂商安全公告 |
| 工具演进 | THC-IPv6/SI6工具包新版本能力；检测引擎IPv6规则集更新 | 项目仓库、Emerging Threats |
| 研究前沿 | NDP监测/诱捕学术研究；IPv6-only网络的链路安全实践；6LoWPAN-ND安全研究 | 学术会议（USENIX/IEEE S&P等）、厂商白皮书 |
| 政策合规 | IPv6规模部署政策进展；等保与行业规范IPv6条款更新 | 主管部门发布、标准委 |
08 · 本课题小结
NDP安全是IPv6安全体系中最"古典"也最真实的战场：协议无认证的事实自1996年起未变，防护体系用十五年（2010—2025）完成了从"工具震惊"（THC-IPv6）到"基线成型"（RA-Guard/SAVI/DHCPv6-Shield三层组合）的演进。本课题的核心贡献可归纳为：①以六类攻击×四要素建立可审计的分类学（第3页）；②以覆盖矩阵诚实呈现"哪些能阻断、哪些只能检测"（第4、6页）；③以默认姿态五条公理将技术结论转化为组织行为准则（第7页）；④以20项核查清单与成熟度模型提供可执行的落地路径（第8页）。NDP安全没有银弹，但有一条已被验证的路线：把每一次攻击尝试变得昂贵而可见。
09 · 本节参考来源（第8页）
THC-IPv6：github.com/vanhauser-thc/thc-ipv6；SI6 Networks IPv6工具包：si6networks.com/tools/ipv6toolkit；bettercap：github.com/bettercap/bettercap；Scapy：scapy.net；Nmap：nmap.org。
Suricata：suricata.io；Snort：snort.org；Zeek：zeek.org；Wireshark：wireshark.org。
防护机制标准全集：RFC 6105（RA-Guard）、RFC 7113（加固）、RFC 7039/6620/7513（SAVI）、RFC 7610（DHCPv6-Shield）、RFC 6583（NDP耗尽）、RFC 9098（运营安全）：rfc-editor.org。
IETF Datatracker（6man/v6ops工作组动态跟踪）：datatracker.ietf.org；NVD漏洞库：nvd.nist.gov。
迪妙攻防演练体系（ND-1至ND-5科目沙箱与评估规范）：本站 drill.html 及配套演练卡片。