NETSCOUT监测：IPv6 DDoS攻击占比持续抬升，首波超1Tbps IPv6攻击现身

随着国内和全球运营商、IDC加速推进IPv6双栈改造，IPv6相关安全风险快速浮出水面。NETSCOUTATLAS威胁监测平台发布最新DDoS情报，监测到行业内首起峰值突破1Tbps的IPv6DDoS攻击；虽然IPv6攻击整体占比暂时没有暴涨，但需要执行清洗处置的IPv6攻击量同比暴涨超300%，攻击强度、破坏力同步升级，给大量仅做好IPv4防护的机房敲响警钟。很多中小IDC、裸金属业务、跨境站点只把防护重心放在IPv4链路，IPv6侧防护缺位，极易成为攻击者的突破口。

一、报告核心数据：IPv6正式迈入Tb级攻击时代

本次NETSCOUT上半年威胁报告的标志性发现，就是捕获到首起超过1Tbps的IPv6DDoS攻击，这代表IPv6不再只有小流量、测试型攻击，已经具备和IPv4同等量级的大规模洪泛能力。从统计数据来看，IPv6攻击在全部攻击事件中的占比变化平缓，但需要启动主动清洗的IPv6攻击数量同比上涨300%以上，说明单起IPv6攻击的平均规模、破坏力明显变大，高危攻击占比持续走高。

同期全球整体大流量DDoS攻击同步爆发，峰值1Tbps或包速率1Gpps以上的攻击同比飙升1286%，直连式攻击占比达到64%，攻击者更倾向直接发包，减少反射放大链路，攻击调度更加灵活。在双栈环境下，攻击者可以在IPv4、IPv6两条线路之间来回切换向量，实现分层对抗。

二、IPv6DDoS攻击更容易突破防护的底层原因

IPv6地址空间巨大是它的技术优势，同时也是防护上的巨大难点。IPv4地址总量有限，运维可以基于IP库、IP段信誉做拉黑、风控；而IPv6地址段极宽，单条前缀下地址近乎无限，攻击者可以持续更换源地址，传统拉黑IP的手段几乎失效。

其次，大量机房、WAF、流量清洗设备是先为IPv4设计，IPv6防护模块配置简陋甚至直接关闭，限速、连接监控、报文校验策略缺失。很多企业开启IPv6仅做基础连通，没有同步把IPv6流量接入清洗集群，形成防护盲区。攻击者常采用UDP泛洪、SYN泛洪、分片报文、慢速CC组合方式，利用IPv6分片机制绕过检测，再叠加直连路径攻击，流量直达源站，快速打满带宽或者耗尽服务器连接资源。

三、双栈环境下的攻防新套路：双线切换、地毯式轰炸

报告重点提到“地毯式轰炸”攻击模式在IPv6场景快速流行。攻击者不再集中少量IP发起攻击，而是在整个IPv6前缀内海量分散源地址，分散流量到大量不同地址，规避按单IP限速、单IP封禁的防护策略。

在双栈业务场景，攻击者会采用双线配合战术：IPv4侧用大流量做掩护，牵制清洗集群算力；IPv6侧释放分片小包、长连接耗尽攻击，利用防护侧的配置短板穿透防线。运维告警往往只盯着IPv4流量，IPv6侧的异常流量很容易被忽略，等到业务卡顿、IPv6用户全部无法访问，才发现攻击已经持续很久。这种双线分层攻击，非常适配前面行业简报里提到的分层对抗思路。

四、面向IPv6双栈业务的分层防护落地建议

想要应对Tb级IPv6DDoS，不能简单复用IPv4防护策略，需要把IPv6纳入整套流量清洗、行为风控、自动封禁联动体系。

第一，双栈流量同步牵引清洗，不要单独放行IPv6，清洗设备开启IPv6报文校验、分片重组检测，拦截畸形分片、超大ICMPv6报文；第二，放弃依赖单IP拉黑的思路，改用前缀限速、单源前缀QPS、新建连接速率基线管控，针对IPv6单独设置阈值；第三，完善日志与监控，独立区分IPv4、IPv6流量告警，新增IPv6侧连接数、分片数量、会话时长监控，避免告警盲区；第四，梳理业务端口，收紧IPv6侧对外开放端口，关闭不必要的管理服务，同步加固IPv6的SSH、IPMI等高危端口；第五，定期开展IPv6侧DDoS验证，像MazeBolt持续验证方案一样，主动测试IPv6防护策略是否存在绕过漏洞。