江 魁，丘远东，郑浩城

1.深圳大学 信息中心，广东 深圳518000

2.深圳大学 电子与信息工程学院，广东 深圳518000

随着IPv4地址的耗尽，IPv6将取代IPv4，成为建设下一代互联网的基础。虽然IPv6相较于IPv4在很多方面都有所改进，但仍存在多种网络安全问题，例如信道安全问题[1]、非法入侵、信息泄露、分布式拒绝服务攻击（Distribute Denial of Service，DDoS）等等[2]，DDos攻击对业务破坏性大、影响面广、威胁程度高。近年来，DDoS攻击在网络安全事件中的占比越来越高，甚至发展成完整的攻击产业链，IPv6 DDoS攻击防御对于保障未来的网络安全十分重要[3]。

ICMPv6（Internet Control Management Protocol version 6），即互联网控制信息协议版本六，是为了与IPv6配套使用而开发的互联网控制信息协议[4]。与ICMPv4是IPv4的可选协议不同，在IPv6网络中，ICMPv6是强制性协议，每个启动IPv6的节点必须完全实现ICMPv6协议才能在网络中正常工作。由于ICMPv6的不可或缺性，利用其协议漏洞来实施DDoS攻击是最普遍的IPv6攻击之一[5]。

ICMPv6 DDoS攻击的主要类型[6]如图1所示，包括：（1）ICMPv6泛洪攻击，攻击者可以向受害者注入大量的ICMPv6数据包来进行攻击；（2）ICMPv6放大攻击，如基于ICMPv6多播地址的rSmurf攻击，攻击者通过将ECHO请求数据包发送到具有欺骗性源地址（指向受害者地址）的多播地址来执行DDoS攻击；（3）基于利用ICMPv6协议规范的攻击，如通过发送ICMPv6路由器通告（RA）数据包冒充其他路由器来执行MITM攻击。此外还有利用路由器请求（RS）、邻居通告（NA）、邻居请求（NS）、重定向消息数据包等其他DDoS攻击方式[7]。

图1 基于ICMPv6的DDoS攻击类型Fig.1 Types of DDoS attacks based on ICMPv6

IPv4网络中，网络管理员为了避免潜在的攻击，可以通过丢弃所有的ICMPv4数据包来阻止ICMPv4 DDoS攻击。但在IPv6网络中，由于ICMPv6与IPv6节点的高度相关性，网络管理员无法使用该机制抵御DDoS攻击[8]。……