包含主机服务器层面的安全检测与防护类设备2025年2月27日互联网制定第6版（IPv6）的兴盛是互联网向下一代演进的厉重合头，是维持经济高质地兴盛的支点，也是来日取得邦际比赛的须要条款。党焦点和邦务院高度侧重下一代互联网兴盛，邦度“十三五”筹划纲目、邦度音讯化兴盛战术纲目等，都把超前构造下一代互联网和扫数向IPv6演进升级行为首要职分。
2021年，焦点网信办、邦度兴盛更始委、工业和音讯化部印发《合于加快促进互联网制定第六版（IPv6）范畴安置和行使任务的告诉》，了了了“十四五”时代深远促进IPv6范畴安置和行使的要紧宗旨、中心职分和时光外。同年，工业和音讯化部、焦点网信办印发《IPv6流量晋升三年专项举措安插（2021—2023年）》，提出到2023岁晚，告终转移收集IPv6流量占比胜过50%，固定收集IPv6流量范畴到达2020岁晚的3倍以上等宗旨。
2023年，工业和音讯化部、焦点网信办、邦度兴盛更始委、教诲部、交通运输部、邦民银行、邦务院邦资委、邦度能源局等八部分纠合印发《合于促进IPv6技巧演进和行使更始兴盛的践诺偏睹》，提出“构修IPv6演进技巧编制”“深化IPv6演进更始工业基本”“加快IPv6基本举措演进兴盛”“深化‘IPv6+’行业调解行使”“晋升安宁保险才华”等五方面的中心职分。此文献的发外，记号着我邦IPv6范畴安置和行使任务进入到以技巧更始和行使为主的新时代。
银行业高度侧重IPv6收集安宁开发，越发流派和面向互联网供应营业任事的行使体系，均已增援通过IPv6探访。通过纵深防护编制和安宁运营编制的修筑与圆满，其IPv6收集安宁防护才华已大幅晋升。与此同时，银行业机构也面对着一系列新的挑衅：各项IPv6防护步骤是否有用、是否存正在需求改良晋升的IPv6规模、怎样进一步晋升本身IPv6安宁防护实战程度等。
跟着银行业安宁运营编制和纵深防御编制开发日趋圆满，安宁检测防护编制的繁复度也快速晋升。安宁检测防护编制以各区域的安宁监测与防护开发为基本，依赖各开发修设的安宁战略，以做到对攻击及时监测、恶意流量阻断、恫吓及时报警、动作干系说明等。银行业机构外里部营业流程繁复、行使版本更新经常，已有的测试境遇无法所有对出产境遇的十足架构举办模仿，假若闪现安宁战略变动纰谬、已有防护战略被绕过、开发告警存正在大批误报等情状，不但会导致安宁防护战略失效，以至会影响出产营业体系安宁安稳运转。探索出现，正在实战化收集安宁攻防中，无数未能有用出现攻击事宜的起因团体总结为已有安宁战略修设失当、安宁开发职能不够、开发告警日记损失、防护笼盖度不够等情状，各规模题目陈列如下。
银行业外部资产因未实时修设或脱漏等起因，导致不正在安宁防护领域内的情状较为常睹，两地三中央或众个机房东备形式下，备用形式无实质防护机制、开发仅具备IPv4无IPv6防护战略、战略变动同步践诺不圆满，导致绕过安宁防护机制的情状众有发作。
经调研说明，行业内存正在收集流量说明开发NTA、入侵防御开发IPS、Web行使防护开发WAF等，因流量镜像不全导致检测笼盖缺失，如缺乏IPv6的营业流量，或因开发职能不够导致丢包的形象，如开发对IPv6流量解析存正在不够，以及加密地道或器材导致流量无法检测结婚的题目，从而存正在攻击道途盲区，使得安宁运营职员无法实时出现和阻断攻击者，进而夸大影响。
正在银行业的主动化安宁运营中，需通过勾结恶意攻击动作、恫吓谍报等音讯对面向互联网的攻击IPv4/IPv6地方举办有用封禁，阻断其恶意动作。因封禁方法（防火墙、旁道阻断开发）和两地三中央收集架构的分歧，难以告终封禁战略的全量笼盖，不妨存正在封禁时光延迟或IPv4/IPv6封禁失效等题目，如IPv6方式增援不够导致的封禁失效。
主机入侵检测体系HIDS或相像产物不妨缺乏对内存马的检测才华，或者因为产物修设不圆满而未开启诸如反弹shell、下令推行等监测功效，以及不妨存正在升级后的检测战略失效的情状。
防病毒体系不妨因战略修设起因、体系软件功效BUG、云查杀收集欠亨等情状，导致闪现病毒及时监测查杀模块失效、查杀才华低浸的情状。
邮件安宁网合对外部垂纶邮件、垃圾邮件是否有比拟完善的检测才华或拦截法则，邮件DLP体系对敏锐数据外发是否存正在检测拦截的脱漏，需求正在常日安宁运营进程中连续晋升和加固。
于是，怎样告终主动化、实战化、常态化的安宁战略有用性验证，主动出现防护战略失效的盲区，越发是IPv6联系的检测与防护战略的有用性，是银行业机构安宁运营需体贴的厉重题目之一。
（1）验证机，即攻击机，模仿攻击者对靶机发动攻击的主机，包括互联网验证机和内网验证机两类。
（2）靶机，即被攻击的对象，靶机上无任何切实出产营业，但安置有和切实境遇类似的安宁检测防护软件，通过正在分歧安宁区域安置切实靶机，用于验证分歧场景下安宁战略修设的有用性，同时适配Windows、Linux、XC等分歧境遇。
（3）任事端，即后台任事节点，正在运管区安置验证平台任事端，团结对接安宁运营打点中央NGSOC或按需直接与安宁开发对接。通过开发告警日记和攻击端发送的数据包举办比对，获取验证告捷或铩羽的结果，结果排检查证铩羽的起因，并举办题目跟踪，以便于打消危急虚亏点。
有用性验证平台安置架构(如图所示)。正在常日有用性验证中，比方针对互联网接入区的种种安宁开发，安宁有用性验证平台公网靶机发动验证职分，收集安宁开发对外部IPv4/IPv6攻击流量及时监测，开发出现的告警日记同步发至安宁运营打点中央NGSOC，验证平台后端日记解析节点与NGSOC日记任事器对接，通过将发动的测试用例与收到的开发日记举办比对，变成闭环验证机制，确保验证确实实性、有用性、陆续性。
验证场景策画要紧包括收集安宁、主机安宁、终端安宁、邮件安宁、HW场景等五个规模，涵盖总分行及各办公园区，场景策画（如外1所示），包括如下。
（1）收集安宁验证场景，包括鸿沟串联防护类开发和旁道镜像流量检测类开发两个别；鸿沟串联防护类开发，征求如入侵防御开发IPS、Web安宁防护开发WAF等；旁道镜像流量检测开发，征求如Web入侵检测开发、高级陆续性恫吓监测开发APT、全流量说明开发TSA等。
（2）主机安宁验证场景，包括主机任事器层面的安宁检测与防护类开发，如主机入侵检测体系HIDS、主机防病毒体系等。
（3）终端安宁验证场景，包括终端层面安宁监测产物，如终端安宁打点软件、终端防病毒软件等。
（4）邮件安宁验证场景，征求外到内的邮件沙箱类防护开发和内到外的邮件DLP开发两类。
我行通过安置基于IPv6的安宁战略有用性验证平台，对种种安宁开发体系和法则战略发展实战化、常态化、主动化的有用性验证，实时出现存正在题目，针对性战略调优、圆满，渐渐构修事前扫数检查安宁战略有用性、事中突击检查应急相应治理有用性、过后陆续优化改良并举办复合验证的全周期安宁防护才华。
安宁验证职分示例，通过对安宁防护才华的陆续有用性验证，安宁运营职员能够出现纵深防御编制的虚亏合头及深目标题目（如外2所示），如防护开发未笼盖通盘资产、安宁开发IPv6战略未同步、IPv6检测模块失效等，此类题目正在常日战略查抄和安宁监测时较难疾速出现，被出现时不妨已出现不良后果。
跟着IPv6改制安置与体系繁复度的晋升，安宁防御编制的打点难度也随之晋升。对付IPv6防御编制的有用性验证，假若没有主动化的验证器材辅助或陆续性的验证，安宁防御编制的有用性验证也将成为一个困难。我行基于IPv6的安宁战略有用性验证，告终安宁开发验证的笼盖面可控、运动的可陆续、攻击进程的可视化。基于行业IPv6改制安置近况，目前通过安宁有用性验证平台可结束互联网接入区、互联网DMZ等区域的安宁开发基于IPv6战略的有用性验证。跟着IPv6改制安置任务的陆续促进，基于IPv6的安宁战略有用性验证将笼盖外里网各个安宁区域。
无论BAS仍是其他攻击模仿技巧，技巧的成熟度仍面对少少挑衅，怎样适宜日眉月异的技巧与IPv6营业境遇，构修出无缺的面向企业实质场景的防御有用性验证，仍需求众数安宁人的陆续奋发，我行也会陆续跟进来日智能化IPv6有用性验证技巧的兴盛趋向连续研究践诺道途。
