質問: ipv6を無効にすると、攻撃の表面積が減り、パフォーマンスが向上しますか? 私には、環境にデプロイする前に新しいマシンが登場するたびに、ipv4を残したままipv6を無効にするというこの全体的なキックに取り組んでいる同僚がいます。彼は個人的な事例証拠を取り上げ、ipv6を無効にすると、バックボーンとノードが処理する必要のある「広告/要求」パケットが少なくなるため、ネットワークのパフォーマンスに役立つと主張しています。次に彼は、攻撃者が攻撃を試みる可能性のある表面積も少なくなるとすぐに付け加えました。これらの議論は紙の上では良いように聞こえますが、提供された事例証拠と、ipv6を無効にすることで提供される可能性のあるセキュリティの「予防措置」に疑問を投げかけます。ちなみに、私はこれを見つけました post ポスターの1つがipv6がわずかな改善さえ提供できると述べているところ。 ネットワークの違いはさておき、これらの主張は水を保持しますか?
回答: これがあなたへの逸話です。以前の雇用主の1つ(フォーチュン500企業)で、ネットワーク管理者がipv6ファイアウォールルールの定義を間違えました。結果? 内部ipv6対応ネットワークはすべてインターネットに公開されていました。私が彼にそれを指摘し、彼がすぐにそれを修正するまで。この男も馬鹿ではなかった。 ipv6のnatがないという性質により、これが誤って実行するのが非常に簡単になっているだけです。それで...攻撃対象領域の増加? 地獄はい。確かに、誰かがこのセキュリティホールを発見する可能性はかなり低いです。 ipv6ホストのブロックをポートスキャンするのは簡単ではありません。しかし、誰かの内部ネットワークのように見えるものからのトラフィックに気付いた場合は、話しているのを見たばかりのホストにいつでも話しかけることができます。