IPv6發展帶來的反欺詐難題

发布日期:2019-09-30 11:28
IPv6發展帶來的反欺詐難題

一、黑灰產採用IPv6發起攻擊的趨勢不可逆轉

IP並不是一個新鮮的詞,對於我們普通人來說,它是設備聯網之後,就會被分配的地址。但在黑灰產手裡,對IP的利用幾乎超出我們的想像。它憑藉黑色產業的強大需求已臥居在黑暗市場多年。
和我們在大熒幕上看見的網絡攻擊工具不同,IP沒有病毒的強大殺傷力,也不具備摧枯拉朽的破壞力,卻是黑灰產業務活動不可或缺的底層資源支撐,支持著惡意註冊、刷量、薅羊毛、撞庫等惡意行動的順利進行。
目前我們所說的IP通常是指IPv4地址,這也是當前我們與黑產進行安全對抗的最激烈的攻防點之一。
IPv4由32個二進制位組成,空間裡面有2^32(約43億)個地址,其中約有2.8億的地址是為特殊用途所保留的。然而,隨著地址不斷被分配給終端用戶,IPv4地址枯竭的問題也在隨之產生。
這個情況刺激了作為當前唯一的長期解決方案的IPv6的推進。
和IPv4相比,IPv6由128個二進制位組成,擁有2^128(約3.4×10^38)個地址,是IPv4的7.9×10^28倍,龐大的地址空間幾乎接近無限,被十分形象的稱為可以為全世界的每一粒沙子分配一個地址。
然福兮禍之所伏,IPv6的地址空間遠超當前IPv4,也意味著黑灰產掌握的IP資源體量也將無限擴大,他們將有能力為每個惡意賬號獨立使用一個IP。以往在對抗過程中積累下的風控策略,具備的完備IPv4安全體系,在IPv6規模化普及後將面臨新的挑戰。
網絡發展,安全先行。威脅獵人鬼谷實驗室監測到的數據顯示,目前已存在數據中心IPv6地址上發起的惡意機器流量,並且國外黑灰市場上早已出現IPv6代理資源,實驗室推測,這在一定程度上與IPv6的普及度有關。當國內IPv6部署逐步展開,以此為基礎的黑灰產攻擊必順勢而來,值得注意的是,當前讓業務方最頭疼的的黑產IP資源——秒撥,也悄然增加了對IPv6的支持。

二、黑灰產已經開始利用IPv6資源

由市場強大需求帶動的IP資源發展,已經成為黑灰產業鏈上的重要環節,專門提供IP資源的黑灰產團伙也隨之產生。
黑灰產的技術非常與時俱進,在與企業玩轉“貓鼠遊戲”的過程中攻擊手段也有所升級。比如從早期的通過代理IP繞過風控規則的方式,到現在已經演化出“秒撥”“混撥”等,甲方的對抗策略也在IPv4的環境下也有相應的得到提升和積累。
然而,當IPv4開始向IPv6遷移,IP環境的變化不僅牽涉了網絡設備、路由管理、IPv6協議棧的相應改變,IPv4下搭建的風控體系在遷移的過程也會面臨改造和升級。
原本適用於IPv4的防護策略如果改造不及時,將會面臨多大的風險?這是所有企業都需要考慮和麵對的問題。比如:
  • 海量地址掃描:IPv6由128個二進制構成,這意味著,如果一個子網使用其中IPv6網絡中的64位來分配IP,則子網的總容量,也就是可分配的IP數為2的64次方。假設遍歷IPv4的全部地址需要一個小時。那麼將這個子網下面的所有IP地址遍歷一遍,將需要50萬年…
  • 黑名單庫失效:在IPv4環境下積累的大量黑IP數據,對黑產IP進行識別有顯著的幫助。但是,當IPv6時代來臨,接近無限的IP地址會對黑名單庫造成強烈衝擊,原本高效的識別機制,在IPv6環境下將接近“無效”。
  • 未知下的誤判:IPv6部署的初級階段,將面臨IPv6地理位置、設備指紋等風險數據缺失的問題,從而導致無法準確判定IP性質,產生誤判。
  • ……
目前全球IPv6普及率達到23.97%,發達國家的IPv6普及率為25%,而全亞洲IPv6普及率達到27.13%,其中,中國的IPv6普及率達到了14.46%。以下是各大洲和發達國家以及中國的IPv6普及率統計結果:
IPv6發展帶來的反欺詐難題
IPv6發展帶來的反欺詐難題
隨後,我們查看了威脅獵人監控平台捕獲到的惡意機器流量,通過對資源進行分析,我們發現目前黑灰產掌握的主要IP資源中都存在IPv6的踪跡
代理
據調查,國外的代理平台早已存在出售IPv6代理的情況。由於當前IPv6普及率還較低,IPv6代理商並不是直接提供IPv6地址和端口,提供的依舊是IPv4和端口,通過類似6in4的隧道協議,將IPv6數據包封裝在IPv4數據包中,再經由代理傳送給用戶。
IPv6發展帶來的反欺詐難題
我們對這些IPv6代理進行收集,分析其特徵特點,發現其主要來自國外IDC機房。
IPv6發展帶來的反欺詐難題
而相比國外,國內並沒有發現專門批量出售IPv6代理的平台,但是我們也捕獲到一些國內IPv6代理樣本,而且很有意思的是,國內的IPv6代理大部分源於國內教育網的IDC機房
由於其教育網的性質,如果簡單地將各個教育網IDC對應的IPv6段進行攔截,最直接的結果就是誤傷很大部分的正常學生用戶。
秒撥
秒撥IP是黑灰產掌握的零一主要IP資源,並且,現在已有部分秒撥廠商開始支持並提供IPv6的服務。
我們對從秒撥機器上獲取的IPv6地址進行分析,發現它的性質屬於國內家庭寬帶,利用撥號上網(PPPoE)的原理,每一次斷線重連都會獲取一個新的IP。和IPv4的秒撥性質類似,但比IPv4更具優勢的地方在於,它的IP池龐大到接近無限,並且IP地址更難以識別的問題。
  • 無限IP池
假設某秒波機上的寬帶資源屬於XX地區電信運營商,那麼該秒撥機可撥到整個XX地區電信IP池中的IP,在IPv4環境下具有少則十萬多則百萬的量級。而IPv6環境下,量級巨大,難以估計。我們對某一批IPv6地址進行重複性統計,監測到的10萬數據中幾乎不存在重複的IPv6地址,而實際的IPv6秒撥池中,遠不止這個數。這意味著,傳統的利用IP黑名單庫給IP打風險標籤的方式將不再適用
  • 秒撥IP難以識別
另外,由於秒撥IP和正常用戶IP存在於同一個IP池,每次斷開連接,原本屬於被黑產使用的秒撥IP,都有可能在下一次撥號的時候流入到正常用戶手中,這會給秒撥IP和正常IP的區分帶來非常大的難度
IPv6發展帶來的反欺詐難題
圖:利用秒撥測試IPv6支持情況
實驗室通過IPv6對國內的各類主流網站進行測試,發現大部分的廠商並沒有開始支持IPv6訪問。少部分支持IPv6的廠商,也僅是支持主網可以通過IPv6進行訪問,但網頁加載的速率,以及訪問鏈接的穩定程度就顯得有點差強人意。一旦需要涉及到用戶登陸或者其他用戶操作的時候,就會經常出現訪問失敗或者登陸超時的情況。而國外支持IPv6訪問的網站不論在穩定性和響應速率,還是支持用戶相關的操作上,都比國內情況好很多。

三、總結與思考

發展基於IPv6的下一代互聯網,看似取之不盡的IP資源的確為當前逐漸枯竭的IPv4帶來了救贖,但不容忽視的也恰是“取之不盡”背後潛藏的安全隱患。從上述數據我們可以推測,黑灰產對IPv6的利用情況很大程度上和普及度相關。
由於大多數發達國家IPv6的普及度及採用度都處於高位,相應的也誕生了專門售賣IPv6代理的平台。目前,在我國大部分主流網站都尚未支持IPv6訪問的情況下,黑灰產已經開始研習IPv6技術,利用IPv6資源。當我國IPv6部署規模緊隨政策一步步落實和推進,IPv4不得不向IPv6轉移的檔口,如果企業的風控設施的改造和升級沒有跟上部署的腳步,將會面臨一段時間的安全防護的“空窗期”,黑灰產可以毫不費力的進入平台,興風作浪,歌舞昇平。
因此,未雨綢繆是企業應對風險的最佳手段。我們有理由相信,當越來越多的國內網站支持IPv6,並且功能性和穩定性趨於完善後,基於IPv4的攻防戰場勢必會向IPv6轉移,對於所有的技術和安全人員,在保障技術穩定升級的同時,安全性問題的考量同等重要。威脅獵人作為業務安全行業的先行者,已投入大量人力和資源在IPv6黑產資源的研究上,並開始積累實時IPv6風險數據,期望能幫助向IPv6遷移的廠商解決預想不到的安全問題。
分享到:
Please Login to comment
没有评论
gamer-vlog
  • 1571310061368
    公安部:關於封停中緬邊境QQ、微...

    國務院打擊治理電信網絡新型違法犯罪工作部際聯席會議辦公室正在組織開展專項打擊行動,決定自2019年10月14日起,對緬北部分電信網絡詐騙活動嚴重區域的QQ、微信、支付寶、POS機等社交和支付賬戶採取封停措施。


  • .png
    NBA开打美政府发大财 体育博彩...

    美国职业篮球联赛(NBA)新赛季在本月22日开锣,NBA月初宣布,与博彩公司威廉希尔(William Hill)合作,后者成为NBA授权的美国地区体育博彩营运伙伴。


  • 1571310374046
    第三方支付迎強監管五大亂象成行業...

    近日中國人民銀行下發文件【2019】177號文,文中顯示支付結算司將在全國范圍內開展加強支付結算督查工作,本次檢查工作囊括銀行和支付機構,主要包括取消銀行開戶許可證,防範電信網絡新型犯罪,以斷直連和備付金集中存管的3大類檢查內容主要為3個階段截至本月底各機構要完成自查自糾,9月份將進行現場督查,查看機構落實情況,11月份將針對相對應的問題進行處理。


  • 1571296235987
    河北查獲“680遊戲”賭博平台,...

    河北省衡水市冀州區公安局重拳出擊,歷經七個月戮力奮戰,於近日成功打掉一個以經營遊戲平台為名,實際暗中勾結為玩家、平台之間提供結算服務的銀商,實現賭博獲利的非法平台。


  • 1571310373709
    海外棋牌類游戲頭部競爭激烈,地域...

    從數據上看,出海遊戲的活躍度在印度和印尼遊戲市場均佔有一定比例。觸寶大數據認為,開發者可以針對地域特徵開發飛行棋和Domino 玩法類型遊戲,這類游戲成本較低,而且無需太多的本土化運營,性價比較高,獲客情況也較好。


  • 1571310256158
    奇招並出!為了限制國內博彩,意大...

    國外媒體報導稱,意大利政府計劃出台更多限制博彩的措施,作為意大利政府新計劃的一部分,可能會對巨額獎金徵收更高的博彩稅,並禁止在彩票零售店使用現金。


  • 1571228940047
    美高梅出售旗下兩賭場酒店套現51...

    美高梅度假村公布,分別訂立合約,出售旗下位於美國拉斯維加斯兩間賭場酒店權益,套現金額合共約為51億美元。