[论文解读] Scanning the IPv6 Internet: Towards a Comprehensive Hitlist

Oliver Gasser, Quirin Scheitle+2 more|arXiv (Cornell University)|Jul 18, 2016

Network Security and Intrusion Detection参考文献 15被引用 25

一句话总结

本文提出一种混合方法，通过结合被动流量数据、公共DNS资源（如CAIDA和Alexa）以及来自多个观测点的traceroute测量，生成用于主动扫描的全面IPv6地址清单。在四周时间内，该方法识别出1.5亿个唯一IPv6地址，覆盖72%的已宣告前缀和84%的自治系统（AS），其中ICMPv6的响应率高于协议内探测，且随时间推移的稳定性比原始地址数量更能反映有效覆盖情况。

ABSTRACT

Active network measurements constitute an impor- tant part in gaining a better understanding of the Internet. Although IPv4-wide scans are now easily possible, random active probing is infeasible in the IPv6 Internet. Therefore, we propose a hybrid approach to generate a hitlist of IPv6 addresses for scanning: First, we extract IPv6 addresses from passive flow data. Second, we leverage publicly available resources such as rDNS data to gather further IPv6 addresses. Third, we conduct traceroute measurements from several vantage points to obtain additional addresses. We perform multiple active measurements on gathered IPv6 addresses and evaluate response rates over time. We extensively compare all IPv6 address sources. In total we found 150M unique IPv6 addresses over the course of four weeks. Our hitlist covers 72% of announced prefixes and 84% of Autonomous Systems. Finally, we give concrete recommendations to maximize source efficiency for different scan types.

研究动机与目标

• 开发一种系统化方法，用于生成高效且全面的IPv6地址清单，以支持主动扫描。
• 评估不同IPv6地址源在覆盖范围、响应率和时间稳定性方面的表现。
• 基于扫描类型（如结构发现、安全态势评估、路由器扫描）提供数据驱动的源选择建议。
• 通过强调长期稳定性和前缀/AS覆盖范围，挑战仅以原始IPv6地址数量作为衡量标准的合理性。

提出的方法

• 从一所大型大学的上行链路和一个大型欧洲IXP收集被动流量数据，以识别活跃的IPv6地址。
• 从公共DNS数据集（CAIDA、Alexa Top 1M、区域文件）和反向DNS（rDNS）数据中收集活跃的IPv6地址。
• 从多个观测点执行traceroute测量，以发现额外的IP地址，特别是路由器。
• 将主动探测结果与源数据进行关联，以评估不同协议和时间维度下的响应率、稳定性和覆盖范围。
• 将时间稳定性（至少一周）作为关键指标，用于过滤不可靠的地址。
• 将研究结果整合为针对不同扫描目标的源推荐策略。

实验结果

研究问题

• RQ1 不同IPv6地址源（被动、主动、traceroute）在覆盖范围（AS、前缀）和响应率方面随时间的表现如何比较？
• RQ2 不同源、协议和扫描类型下，IPv6地址的时间稳定性如何？
• RQ3 对于相同目标IP，ICMPv6的响应率与协议内探测（如端口80、443的TCP/UDP）相比如何？
• RQ4 隐私扩展和动态地址分配在多大程度上削弱了原始IPv6地址数量在地址清单中的价值？
• RQ5 哪些源的组合能最大化特定扫描类型（如互联网结构发现、安全态势评估、路由器发现）的覆盖范围和效率？

主要发现

• 该混合方法在四周内收集了1.5亿个唯一IPv6地址，覆盖72%的已宣告/64前缀和84%的自治系统（AS）。
• ICMPv6的响应率始终高于协议内探测（如端口80、443的TCP/UDP），即使在Alexa 1M列表中也是如此，表明ICMPv6在探测中更具可靠性。
• 对于P2P端口（如udp49001），ICMPv6响应率显著下降，可能是因为家庭路由器会丢弃回声请求。
• 仅有15%的AS和31%的/64前缀仅出现在被动源中，表明在无需完全覆盖的情况下可省略这些源。
• 由于隐私扩展导致的快速地址轮换，观测到的IPv6地址数量是具有误导性的指标；相比之下，关注至少稳定一周的地址能提供更有意义的结果。
• 对于互联网结构发现，结合被动源与CAIDA的DNS数据集可实现高AS和前缀覆盖，且工作量较低；对于安全扫描，主动源（如Alexa和DNS）能为响应式服务器提供强大的初始覆盖。