12 октября 2012
IPv6 и сетевая безопасность: невидимку поймать невозможно
В начале июня состоялся Всемирный день запуска Интернет-протокола IPv6. Основные Интернет- и контент-провайдеры включили этот протокол на постоянной основе, что вызвало резкий скачок трафика как собственно IPv6, так и туннельных протоколов – 6in4, Teredo и др. Если взглянуть с позиции все более расширяющегося применения IPv6, официальный его запуск стал значительным шагом вперед. День «сдачи IPv6 в эксплуатацию» прошел, но ответить на вопросы, связанные с безопасностью нового протокола, специалистам еще предстоит.
Серьезной проблемой является способность неавторизованных туннельных протоколов скрывать трафик IPv6, что позволяет обходить устройства сетевой защиты. Для того чтобы перекрыть эти обходные пути, специалистам необходимо четко представлять себе принцип работы переходных механизмов IPv6.
Понять, для чего организациям необходим переход на IPv6, легко. Запас нераспределенных адресов IPv4 уже практически исчерпан. Каждое устройство, подключенное к Интернету, идентифицируется по IP-адресу; в протоколе IPv4-адрес имеет длину 32 бита, то есть всего уникальных IP-адресов – 232. IPv6 расширяет это количество до 2128. Протокол IPv4 до недавних пор справлялся со своей задачей, однако из-за того, что к Интернету подключается все больше и больше устройств, дни его, можно сказать, сочтены. У IPv6 есть и другие преимущества перед IPv4 – например упрощенное выделение адресов.
Переход на IPv6 ставит перед организациями, в которых развернуты компьютерные сети, ряд важных задач. Им следует уделять вопросам безопасности протокола IPv6 такое же серьезное внимание, что и IPv4. Тем, кто отвечает за практическую реализацию систем безопасности, необходимо знать основы нового протокола, чтобы правильно организовать переход. В Интернете уже опубликованы советы и рекомендации по этому поводу – в том числе разработанные Национальным Институтом стандартов и технологий (NIST, США).
Если устройства сетевой защиты обладают поддержкой IPv6, сейчас самое время включить ее. В некоторых операционных системах, например Windows Vista и Windows 7, механизмы перехода на IPv6 активны по умолчанию. Это означает, что возможности нового протокола задействуются без ведома ИТ-специалистов, и трафик начинает следовать в обход межсетевых экранов и систем предотвращения вторжений.
Хосты и маршрутизаторы, использующие IPv6, соединяются с другими IPv6-устройствами в сетях IPv4 посредством туннелей. Проблема заключается в том, что туннели способны пробивать межсетевые экраны, и это позволяет потенциальным злоумышленникам обмануть систему безопасности и получить доступ к ресурсам локальной сети извне. По этой причине следует тщательно просчитывать и по возможности минимизировать использование туннельных протоколов (6to4 и т.п.) для поддержки перехода на IPv6.
Сетевым администраторам необходимо иметь в виду, что протокол IPv6 уже может работать в корпоративной сети и являться скрытым каналом для ботнетов и хакеров. Даже если трафик IPv6 в организации невелик, нужно, чтобы инфраструктура безопасности умела его обнаруживать и обрабатывать. Всем ясно, что невидимку поймать невозможно.
Что касается безопасного развертывания IPv6, ключевыми словами здесь являются обнаружение и контроль. Системы сетевой защиты, работающие в организациях, должны поддерживать IPv6 и корректно обрабатывать его трафик. Иногда это требует обновления систем, так как системы предотвращения вторжений и межсетевые экраны прежних поколений могут оказаться не в состоянии контролировать трафик IPv6. К счастью, в течение последних нескольких лет большинство ведущих производителей систем сетевой защиты обеспечили в них поддержку IPv6. Организациям следует проконсультироваться с поставщиками по вопросу наличия в системах всей необходимой функциональности и начать внедрение нового протокола в своих сетях. Помочь в этом способны официально утвержденные программы тестирования IPv6 – например программа сертификации USGv6, разработанная специалистами NIST
По мере роста числа организаций, внедряющих IPv6, администраторам необходимо следить за работой механизмов перехода и конфигурациями устройств, не допуская несанкционированного открытия доступа в сеть извне. Мониторинг всего сетевого трафика – необходимое условие для обеспечения сетевой безопасности. Все обнаруженные неавторизованные туннели должны своевременно блокироваться, чтобы защитить сеть от атак. Внедрение IPv6 в глобальном масштабе неизбежно, поэтому сегодня нужно предпринять все меры для того, чтобы переход на новый протокол не подверг корпоративные сети дополнительным угрозам вторжений.
