TL;DR

['攻击者正在利用IPv4映射的IPv6地址来隐藏其真实的IP地址,并规避检测。RFC 4038定义了这种转换机制,但它们不应该直接用于网络通信。']

What happened

["攻击者在进行针对包含'/proxy/'URL的目标扫描时,使用了IPv4映射的IPv6地址,这可能导致安全软件无法准确识别源IP地址,从而规避检测。"]

Why it matters for ops

['现代应用通常采用IPv6-only网络代码,而IPv4-mapped IPv6地址允许这些系统在内部表示中使用IPv4地址,但不应该直接在网络层面上被发送出去。因此,在转换到真实的IPv4格式之前,这些地址可能会使攻击行为难以追踪。']

Mitigation

  • 更新防火墙规则以识别和阻止IPv4映射的IPv6地址
  • 部署深度包检查(DPI)工具来解析这些地址并显示真实的源IP
  • 确保安全设备能够正确处理这种类型的地址转换机制

Action items

  • 审查网络策略
  • 监控异常流量
  • 更新防护措施

Detection IOCs

  • ::ffff:192.0.2.1/96
  • 特殊形式的IPv6地址块
  • 异常的流量模式

Source link

https://isc.sans.edu/diary/rss/32804