Jede Antwort auf Ihre Frage erfordert ein gewisses Maß an Vermutung. Es gibt nur wenige IPv6-Bereitstellungen, von denen wir einfach noch nicht wissen, wie genau das Bedrohungsszenario aussehen wird.
Die große Anzahl von IPv6-Adressen führt zu mehreren Änderungen des zu berücksichtigenden Bedrohungsszenarios.
Zunächst ist es mit IPv4 für einen Angreifer durchaus möglich, die Standard-Portnummer für alle 3700 Millionen routingfähigen IPv4-Adressen nach verwundbaren Diensten zu durchsuchen. Solche ungezielten Angriffe sind mit IPv6 nicht möglich. Die Angriffe, die Sie immer noch sehen, müssen gezielter sein. Ob dies bedeutet, dass wir viel an unserer Behandlung der Angriffe ändern müssen, bleibt abzuwarten.
Der Hauptzweck des Sperrens von IP-Adressen auf der Grundlage von Protokollnachrichten besteht darin, das Rauschen in den Protokollen zu verringern und die Systemlast in gewissem Maße zu verringern. Es sollte nicht als Schutz vor Exploits dienen. Ein Angreifer, der eine Schwäche kennt, würde sich vor dem Einsetzen des Verbots im Innern befinden. Um sich davor zu schützen, müssen Sie Schwachstellen ausbessern - so wie Sie es immer getan haben.
Das Sperren einzelner IPv6-Adressen kann ausreichen, um das Rauschen in Protokollen zu verringern. Das ist aber keine Selbstverständlichkeit. Es ist nicht unwahrscheinlich, dass ein Angreifer für jede Verbindung eine neue IP-Adresse aus dem verfügbaren Bereich verwendet. Wenn sich Angreifer so verhalten, ist das Sperren einzelner IPv6-Adressen nicht nur ineffektiv, sondern Sie können sogar versehentlich einen DoS-Angriff auf sich selbst auslösen, indem Sie Ihren gesamten Speicher für Firewall-Regeln verwenden.
Sie können die Länge des Präfixes, das jedem einzelnen Angreifer zur Verfügung steht, nicht kennen. Das Blockieren eines zu kurzen Präfixes führt zu einem DoS-Angriff, der auch legitime Benutzer erfasst. Das Blockieren eines zu langen Präfixes ist unwirksam. Insbesondere Brute-Force-Versuche mit Passwörtern werden wahrscheinlich eine große Anzahl von Client-IPv6-Adressen verwenden.
Um gegen Angreifer wirksam zu sein, die bei jeder Anforderung die IPv6-Adresse wechseln, und um die Speichernutzung gering zu halten, müssen Sie Bereiche blockieren. Da Sie die Präfixlängen nicht im Voraus kennen, müssen Sie die Präfixlängen dynamisch anpassen.
Es ist bereits jetzt möglich, Heuristiken zu entwickeln. Wie gut sie funktionieren, wissen wir noch nicht.
Eine Heuristik wäre, für jede Präfixlänge einen Schwellenwert für die Anzahl der IPs zu definieren, die zum Blockieren eines Präfixes dieser Länge erforderlich sind. Und das Blockieren sollte nur in einer bestimmten Länge erfolgen, wenn ein längeres Präfix nicht ausreicht. Mit anderen Worten, Sie benötigen in jeder der beiden Hälften genügend einzeln blockierte IPs, um eine Blockierung tatsächlich auszulösen.
Zum Beispiel könnte man entscheiden, dass es 100 blockierte IPs in jeder der beiden / 49s geben muss, aus denen die / 48 besteht, um eine / 48 zu blockieren. Je länger das Präfix ist, desto geringer muss die Anzahl der IPs sein, die zum Blockieren erforderlich sind. In jedem Fall müssen sie jedoch auf beide Hälften verteilt werden.
/64IP- Adresse aufgrund einer problematischen IP-Adresse führt dazu, dass legitime Benutzer blockiert werden.