Qui scrute l'espace IPv6 ? Et, honnêtement, pourquoi s'en soucier ?

Synthèse

• Les chercheurs d'Akamai, en collaboration avec le Max Planck Institute for Informatics, ont réalisé la première étude empirique sur le balayage des vulnérabilités à grande échelle dans l'espace IPv6 et compilé leurs conclusions.

• Ces résultats confirment que les scanners ont commencé à balayer l'espace IPv6. Le balayage de l'espace IPv6 est beaucoup plus compliqué que celui de l'espace IPv4, et cette activité dans l'espace IPv6 est donc encore rare par rapport à celle qui a lieu dans l'espace IPv4.

• Le trafic de balayage est fortement concentré sur un petit nombre de sources actives ; géographiquement, les deux sources les plus actives effectuent leurs balayages depuis la Chine. Si l'on examine les principaux réseaux à l'origine du trafic de balayage, on constate également des balayages menés par des entreprises de cybersécurité et d'autres exécutés à partir de l'espace d'adressage des fournisseurs de cloud.

• Souvent, les scanners n'utilisent pas une seule adresse IPv6 de 128 bits pour générer le trafic de balayage, mais une myriade d'adresses sources provenant de préfixes entiers allant jusqu'à 32 bits (/32) pour générer leurs balayages, afin d'échapper à la détection. Cela rend la détection et le blocage des scanners extrêmement difficiles.

• La détection et le blocage fiables des balayages IPv6 constitueront un défi de taille si et quand le balayage de vulnérabilité de l'espace IPv6 deviendra plus courant.

Introduction

Les attaquants, les chercheurs et les défenseurs ont souvent utilisé le balayage comme moyen de détecter/exposer les vulnérabilités des terminaux connectés à Internet. Bien que leurs objectifs soient très différents, avec des dizaines de milliers de sources continues dans l'IPv4, le balayage est l'une des pierres angulaires de quiconque recherche ou se défend contre les cybermenaces. Lorsque de nouvelles vulnérabilités sont découvertes dans un logiciel, les attaquants se pressent de balayer l'espace d'adressage pour trouver des hôtes vulnérables à exploiter ou infecter. Dans le même temps, les botnets balaient en permanence l'espace d'adressage pour trouver de nouvelles cibles exploitables à des fins de propagation latérale. Les entreprises de sécurité et les chercheurs balaient l'espace d'adressage pour étudier ses propriétés et identifier les points faibles. En bref, l'espace IPv4 est très fréquenté.

Et l'IPv6 dans tout cela ? Quelqu'un balaie-t-il l'espace IPv6 ? Faut-il même y prêter attention ?

La réponse est simple : Nous ne pouvons plus faire abstraction de l'espace IPv6 du point de vue de la sécurité. Pour notre nouvel article, que nous présenterons à l'ACM Internet Measurement Conference 2022, nous avons utilisé les journaux de pare-feu capturés sur les serveurs en bordure de l'Internet d'Akamai pour mettre en lumière l'activité de balayage dans l'Internet IPv6. Pendant 15 mois, nous avons étudié qui balaie, ce que ces personnes recherchent et quels sont les principaux défis à relever pour identifier et bloquer ces balayages.

Pourquoi le balayage de l'espace IPv6 est-il difficile ?

L'espace IPv4 est composé de quelque 4 milliards d'adresses, et l'ensemble de cet espace peut aujourd'hui être balayé en moins d'une heure depuis une machine à large bande passante. De même, les bots IoT à faible bande passante se contentent de générer et balayer des adresses IPv4 aléatoires à des fins de propagation latérale. La génération aléatoire d'adresses cibles est généralement suffisante pour trouver un hôte réactif, et exploitable, si l'on dispose de suffisamment de temps.

IPv6, en revanche, a une longueur d'adresse de 128 bits, génère 10 puissance 38 adresses, soit plusieurs ordres de grandeur de plus que le nombre d'adresses dans l'espace IPv4. Le balayage de la totalité de l'espace IPv6 nécessiterait au moins plusieurs milliers de milliards d'années avec les capacités technologiques actuelles. Le balayage complet est donc impossible dans cet espace. Si un attaquant veut procéder à un balayage, il doit trouver d'autres moyens de trouver des adresses cibles, par exemple en utilisant des listes d'adresses IPv6 ou le DNS pour résoudre les noms de domaine en adresses IPv6. Bien que l'immensité de l'espace IPv6 rende difficile pour les attaquants l'utilisation du balayage aléatoire à la recherche de cibles, cela ne signifie pas qu'il peut être négligé. Cela reviendrait à l'idéologie de « sécurité par l'obscurité », avec ses recommandations visant à « sécuriser » IPv6 simplement en le « bloquant ». 

Pourquoi la détection des balayages IPv6 est-elle difficile ?

Dans l'espace IPv4, chaque adresse routée reçoit quotidiennement des milliers de paquets, résultat du balayage de l'ensemble de l'espace IPv4 par des acteurs ou de la génération aléatoire d'adresses cibles à la recherche d'hôtes vulnérables. Ainsi, la surveillance du trafic de balayage arrivant dans les préfixes inutilisés (« darknets ») nous offre un moyen direct d'étudier les tendances générales de balayage dans l'espace IPv4.

En ce qui concerne IPv6, cependant, le premier défi consiste à trouver des points d'observation permettant de voir des niveaux suffisants de trafic de balayage. Comme mentionné précédemment, il n'est pas pratique de cibler de manière aléatoire l'ensemble de l'espace IPv6. Par conséquent, la surveillance du trafic sur les préfixes IPv6 inutilisés (darknets, qui sont courants pour IPv4) ne révélera pratiquement aucun trafic de balayage. C'est là que l'Intelligent Edge Platform d'Akamai entre en jeu. Nous utilisons des centaines de milliers de machines dans plus de 1 300 réseaux. Chaque serveur héberge le contenu de nos clients et, comme nous renvoyons leurs adresses en réponse aux requêtes DNS, les adresses IPv6 de nos machines sont exposées à l'Internet. Elles peuvent donc être détectées par des scanners et font partie des listes de résultats IPv6 accessibles au public.

Le deuxième défi consiste à localiser et isoler les sources de balayage IPv6. Les attaquants et les sources de balayage légitimes procédant à un balayage actif, il est important de comprendre le contexte de balayage tel qu'il se présente aujourd'hui. De plus, l'isolation sera essentielle dans les environnements de production si un réseau veut bloquer le trafic d'un acteur malveillant. En étudiant le trafic de balayage, nous avons constaté que certains scanners n'utilisent pas une seule adresse source IPv6 de 128 bits pour lancer leurs tentatives de balayage, mais plutôt une myriade d'adresses sources dans des préfixes moins spécifiques comme /64, /48, ou même /32. Encore une fois, la dimension de l'espace IPv6 rend cela possible. Un scanner peut facilement obtenir une allocation IPv6 importante (par exemple, en obtenant un préfixe /32 directement auprès des registres Internet régionaux (RIR), ou même simplement en s'abonnant à des fournisseurs de services Internet, dont certains allouent un préfixe /48 entier par abonné). Nous constatons que la répartition du trafic entre les préfixes peut être utilisée pour éviter la détection, puisque chaque adresse source ne peut émettre qu'un seul paquet. D'autres scanners semblent utiliser les bits disponibles dans les adresses IPv6 pour coder les informations de balayage.

Comment détecter les balayages IPv6 à grande échelle ?

Le pare-feu d'Akamai enregistre le trafic non sollicité envoyé à nos machines en bordure de l'Internet, y compris le trafic de balayage. Pour la détection des balayages, nous exigeons qu'une source donnée cible au moins 100 adresses IP de destination de nos machines, de la même manière que nous avons détecté les balayages IPv4 à grande échelle dans des études antérieures. 

Comme nous l'avons mentionné précédemment, puisque certains scanners utilisent des préfixes plus grands à partir desquels ils sourcent leur trafic, nous indiquons les scanners que nous détectons lorsque nous n'agrégeons pas le trafic (sources /128), lorsque nous agrégeons d'abord tous les paquets d'une source /64 ensemble, ainsi que lorsque nous agrégeons tous les paquets d'une source /48 ensemble.

Tendances du balayage IPv6 en 2021 et 2022