[논문 리뷰] Scanning the IPv6 Internet: Towards a Comprehensive Hitlist

Oliver Gasser, Quirin Scheitle외 2명|arXiv (Cornell University)|2016. 07. 18.

Network Security and Intrusion Detection참고 문헌 15인용 수 25

한 줄 요약

이 논문은 수동 흐름 데이터, 공용 DNS 자원(예: CAIDA 및 Alexa), 그리고 여러 관측점에서의 traceroute 측정치를 조합하여 활성 스캔을 위한 종합적인 IPv6 주소 히트리스트를 생성하는 하이브리드 방법론을 제안한다. 네 주 동안 이 방법은 1억 5천만 개의 고유한 IPv6 주소를 식별하였으며, 공지된 프리픽스의 72%와 자율 시스템(Autonomous Systems)의 84%를 커버하였다. ICMPv6는 내부 프rotocol 프로브보다 높은 반응률을 보였고, 시간에 따른 안정성은 순수한 주소 수보다 더 좋은 지표였다.

ABSTRACT

Active network measurements constitute an impor- tant part in gaining a better understanding of the Internet. Although IPv4-wide scans are now easily possible, random active probing is infeasible in the IPv6 Internet. Therefore, we propose a hybrid approach to generate a hitlist of IPv6 addresses for scanning: First, we extract IPv6 addresses from passive flow data. Second, we leverage publicly available resources such as rDNS data to gather further IPv6 addresses. Third, we conduct traceroute measurements from several vantage points to obtain additional addresses. We perform multiple active measurements on gathered IPv6 addresses and evaluate response rates over time. We extensively compare all IPv6 address sources. In total we found 150M unique IPv6 addresses over the course of four weeks. Our hitlist covers 72% of announced prefixes and 84% of Autonomous Systems. Finally, we give concrete recommendations to maximize source efficiency for different scan types.

연구 동기 및 목표

• 활성 스캔을 위한 효율적이고 종합적인 IPv6 히트리스트를 생성하기 위한 체계적 방법 개발.
• 다양한 IPv6 주소 소스의 커버리지, 반응률, 시간적 안정성 평가.
• 스캔 유형(예: 아키텍처 탐색, 보안 상태 평가, 라우터 스캔 등)에 따라 최적의 소스 선택을 위한 데이터 기반 권고 제공.
• 원시 IPv6 주소 수의 유의미함을 의심하고 장기적 안정성과 프리픽스/AS 커버리지에 초점을 맞춤.

제안 방법

• 주요 대학의 업링크와 유럽 대규모 IXP에서 수동 흐름 데이터를 수집하여 활성 IPv6 주소를 식별.
• 공용 DNS 데이터셋(CAIDA, Alexa Top 1M, 존 파일) 및 rDNS 데이터에서 활성 IPv6 주소를 확보.
• 여러 관측점에서의 traceroute 측정을 수행하여 라우터를 포함한 추가 IP 주소를 발견.
• 원천 데이터와 활성 프로브 결과를 상관 분석하여 프로토콜 및 시간에 따른 반응률, 안정성, 커버리지 평가.
• 시간적 안정성(최소 1주일)을 핵심 지표로 삼아 신뢰할 수 없는 주소 필터링.
• 다양한 스캔 목표에 맞는 소스 권고 전략으로 통합된 결과 도출.

실험 결과

연구 질문

• RQ1 수동, 활성, traceroute 소스 간에 커버리지(AS, 프리픽스) 및 시간에 따른 반응률에서 어떤 차이가 있는가?
• RQ2 다양한 소스, 프로토콜, 스캔 유형에서 IPv6 주소의 시간적 안정성은 어떻게 되는가?
• RQ3 동일한 대상 IP에 대해 ICMPv6 반응률이 내부 프로토콜 프로브(TCP/UDP 포트 80, 443 등)보다 어떻게 다른가?
• RQ4 프라이버시 확장 및 동적 주소 할당이 원시 IPv6 주소 수의 가치를 얼마나 약화시키는가?
• RQ5 어떤 소스 조합이 특정 스캔 유형(예: 인터넷 아키텍처 탐색, 보안 상태 평가, 라우터 발견 등)에서 최대 커버리지와 효율성을 달성하는가?

주요 결과

• 하이브리드 접근법은 네 주 동안 총 1억 5천만 개의 고유한 IPv6 주소를 확보하였으며, 공지된 /64 프리픽스의 72%와 자율 시스템(Autonomous Systems)의 84%를 커버하였다.
• ICMPv6 반응률은 내부 프로토콜 프로브(예: 포트 80, 443에서의 TCP/UDP)보다 일관되게 높았으며, 이는 ICMPv6가 프로빙에 더 신뢰할 수 있음을 시사한다.
• P2P 포트(예: udp49001)의 경우 ICMPv6 반응률이 크게 감소하였는데, 이는 주로 홈 라우터가 에코 요청을 거부하기 때문으로 보인다.
• AS의 15%와 /64 프리픽스의 31%만이 수동 소스에서만 발견되었으며, 이는 완전성이 필수적이지 않은 경우 이들을 생략할 수 있음을 의미한다.
• 프라이버시 확장으로 인한 급격한 주소 교체로 인해 관측된 IPv6 주소 수는 잘못된 지표가 되며, 최소 1주일 이상 안정된 주소에 집중하는 것이 더 의미 있는 결과를 도출한다.
• 인터넷 아키텍처 탐색의 경우, 수동 소스와 CAIDA의 DNS 데이터셋을 조합하면 낮은 노력으로도 높은 AS 및 프리픽스 커버리지를 확보할 수 있다. 보안 스캔의 경우, 활성 소스(예: Alexa 및 DNS)가 반응성 있는 서버의 강력한 初기 커버리지를 제공한다.