Toute réponse à votre question impliquera une certaine quantité de devinettes. Les déploiements IPv6 sont encore assez peu nombreux pour que nous ne sachions tout simplement pas à quoi ressemblera exactement le scénario de menace.
Le grand nombre d'adresses IPv6 introduira plusieurs modifications au scénario de menace que vous devrez prendre en compte.
Tout d'abord avec IPv4, il est tout à fait possible pour un attaquant de scanner le numéro de port par défaut pour un service vulnérable sur les 3700 millions d'adresses IPv4 routables. De telles attaques non ciblées ne sont pas réalisables avec IPv6. Ces attaques que vous voyez encore devront être plus ciblées. Il reste à voir si cela signifie que nous devrons changer beaucoup dans notre gestion des attaques.
Le but principal de l'interdiction des adresses IP sur la base des messages de journal serait de réduire le bruit dans les journaux et dans une certaine mesure de réduire la charge du système. Il ne devrait pas servir de protection contre les exploits. Un attaquant qui connaît une faiblesse se trouverait à l'intérieur avant l'interdiction, donc pour vous protéger contre cela, vous devez corriger les vulnérabilités - comme vous l'avez toujours fait.
L'interdiction d'adresses IPv6 individuelles peut être suffisante pour réduire le bruit dans les journaux. Mais ce n'est pas acquis. Il n'est pas improbable qu'un attaquant utilise une nouvelle adresse IP de la plage disponible pour chaque connexion. Si les attaquants devaient se comporter de la sorte, interdire des adresses IPv6 individuelles ne serait pas seulement inefficace, mais vous pourriez même provoquer par inadvertance une attaque DoS contre vous-même en utilisant toute votre mémoire pour les règles de pare-feu.
Vous ne pouvez pas connaître la longueur du préfixe disponible pour chaque attaquant individuel. Le blocage d'un préfixe trop court provoquera une attaque DoS en couvrant également les utilisateurs légitimes. Bloquer un préfixe trop long sera inefficace. Les tentatives de force brute de mot de passe en particulier sont susceptibles d'utiliser un grand nombre d'adresses IPv6 clientes.
Afin d'être efficace contre les attaquants qui changent d'adresse IPv6 à chaque demande et afin de réduire l'utilisation de la mémoire, vous devez bloquer les plages et, comme vous ne connaissez pas les longueurs de préfixe à l'avance, vous devez ajuster dynamiquement les longueurs de préfixe.
Il est possible de proposer des heuristiques déjà maintenant. Comment ils fonctionneront, nous ne le savons pas encore.
Une heuristique serait pour chaque longueur de préfixe de définir un seuil du nombre d'adresses IP nécessaires pour bloquer un préfixe de cette longueur. Et le blocage ne doit être appliqué qu'à une longueur spécifique, si un préfixe plus long ne suffit pas. En d'autres termes, vous avez besoin de suffisamment d'adresses IP bloquées individuellement dans chacune des deux moitiés afin d'initier réellement un blocage.
Par exemple, on pourrait décider que pour bloquer un / 48, il doit y avoir 100 IP bloquées dans chacun des deux / 49 composant le / 48. Plus le préfixe est long, plus le nombre d'IP nécessaires pour le bloquer doit être petit, mais dans tous les cas, il doit être réparti sur les deux moitiés.
/64raison d'une adresse IP problématique entraînera le blocage d'utilisateurs légitimes.