GAT 1390.8-2025 信息安全技术　网络安全等级保护基本要求　第8部分：IPv6网络安全扩展要求标准立项发展报告

标题：信息安全技术网络安全等级保护基本要求第8部分：IPv6网络安全扩展要求标准立项发展报告EnglishTitle:StandardizationDevelopmentReport:InformationSecurityTechnology–BaselineforClassifiedProtectionofCybersecurity–Part8:ExtendedRequirementsforIPv6Cybersecurity摘要摘要：随着全球互联网向IPv6协议的规模化部署与演进，原有的基于IPv4网络环境的网络安全等级保护体系面临新的技术挑战与安全威胁。本报告旨在系统阐述《信息安全技术网络安全等级保护基本要求第8部分：IPv6网络安全扩展要求》（GA/T1390.8-2025）标准的立项背景、核心内容及其战略意义。报告首先剖析了IPv6协议引入的地址空间扩展、无状态地址自动配置（SLAAC）、邻居发现协议（NDP）等新技术特性所带来的安全盲区与合规性需求。其次，详细解析了该标准如何对现有网络安全等级保护基本要求进行体系化扩展，覆盖了安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心及安全管理制度等多个方面，并针对IPv6特有威胁如路由头攻击、邻居发现欺骗等提出了具体技术管控措施。报告指出，该标准的发布标志着我国网络安全等级保护制度迈入全面适应下一代互联网架构的新阶段，为关键信息基础设施运营者及网络服务提供商在IPv6环境下的合规建设与安全运维提供了权威、可操作的技术依据。通过实施本标准，可有效提升我国网络空间在IPv6环境下的整体防护能力，保障网络数据的机密性、完整性和可用性。关键词：IPv6；网络安全；等级保护；GA/T1390.8-2025；网络扩展要求；标准修订Keywords:IPv6;Cybersecurity;ClassifiedProtection;GA/T1390.8-2025;NetworkExtensionRequirements;StandardRevision正文1.引言与背景随着全球信息技术的飞速发展，互联网协议第四版（IPv4）地址资源枯竭问题日益凸显，向互联网协议第六版（IPv6）的演进已成为全球互联网发展不可逆转的趋势。中国政府高度重视IPv6的部署应用，自《推进互联网协议第六版（IPv6）规模部署行动计划》发布以来，我国在网络基础设施、应用平台、终端设备等各环节的IPv6改造取得了显著成效。然而，技术的迭代升级必然伴随着新安全挑战的出现。IPv6在设计之初虽融入了IPSec等安全机制，但其核心协议的复杂性，如无状态地址自动配置（SLAAC）、邻居发现协议（NDP）、扩展头部及分片机制等，也引入了前所未有的攻击面。原有基于IPv4的网络安全等级保护标准体系，在面对IPv6环境下的新威胁时显得力不从心，存在要求无法适用、防护策略失效等突出问题。在此背景下，为了衔接并扩展我国网络安全等级保护制度的核心标准《信息安全技术网络安全等级保护基本要求》（GB/T22239），公安部第三研究所（国家网络与信息系统安全产品质量监督检验中心）联合多家单位，启动了GA/T1390系列标准的制定工作。其中，GA/T1390.8-2025《信息安全技术网络安全等级保护基本要求第8部分：IPv6网络安全扩展要求》作为专门针对IPv6安全场景的扩展标准，旨在解决现有等级保护体系在IPv6环境下的适用性与完备性问题。该标准于2025年10月13日发布，并将于2026年2月1日起正式实施，其颁布标志着我国网络安全等级保护制度正式迈入“IPv6+”时代，具有里程碑式的意义。2.标准主要内容解析（技术层面）GA/T1390.8-2025标准并非对已有等级保护基本要求的颠覆，而是在其基础上进行的针对性补充与强化。标准严格遵循了网络安全等级保护“一个中心、三重防护”的核心思想，即构建以安全管理中心为核心，覆盖安全计算环境、安全区域边界、安全通信网络的三层纵深防御体系。同时，标准对IPv6特有技术进行了深度剖析，提出了明确的安全扩展要求。主要内容可归纳为以下几个方面：2.1安全通信网络安全扩展要求IPv6消除了对网络地址转换（NAT）的依赖，实现了端到端的全球可达性。这虽简化了网络结构，但也使得内部网络直接暴露于互联网。针对此，标准特别强调了：-避免地址暴露风险：要求对网络设备上的IPv6接口标识符进行规划，推荐使用基于随机接口标识符的临时地址或加密生成的地址，降低攻击者通过MAC地址关联用户设备的可能性。-路由协议安全：针对OSPFv3、BGP-4+等路由协议，要求启用认证和加密机制，防止路由劫持和伪造路由通告。同时，对IPv6扩展头（如逐跳选项头、路由头、目标选项头）的转发和处理进行严格控制，防止利用扩展头实施的拒绝服务攻击或穿透访问控制列表。-SLAAC与DHCPv6安全：要求对SLAAC和DHCPv6过程进行安全防护，启用RA（路由器通告）Guard、源地址验证改进协议（SAVI）等技术，防止恶意DHCPv6服务器或伪造RA报文引发的中间人攻击。2.2安全区域边界安全扩展要求IPv6的引入对边界网关、防火墙、入侵检测系统提出了新的处理能力与安全策略要求。-NAT64/DNS64安全：要求在IPv6单栈或双栈环境下，对过渡技术如NAT64/DNS64进行安全审查，防止其成为攻击跳板。应限制和审计NAT64转换表，防范针对翻译网关的攻击。-IPv6分片攻击防护：标准明确要求边防设备必须正确处理IPv6分片报文，支持对极小分片、重叠分片、原子分片等攻击方式的检测与阻断，防止利用IPv6分片机制绕过安全策略。-邻居发现协议安全：边界设备需具备对恶意NDP报文（如伪造的邻居请求、邻居通告）的检测能力。要求启用IPv6ND检测（NDInspection）或SAVI功能，确保MAC与IP地址绑定的合法性。2.3安全计算环境安全扩展要求计算环境的安全扩展主要聚焦在主机、服务器和虚拟化平台上。-IPv6协议栈安全：要求操作系统和应用系统及时更新IPv6协议栈，修补已知的IPv6协议栈漏洞（如DOX漏洞、ICMPv6攻击等）。需禁用非必要的IPv6服务与接口，如ISATAP、6to4等自动隧道技术，防止攻击者利用遗留隧道进入内部网络。-主机防火墙与Sinkhole：节点层面的防火墙规则需支持IPv6。建议部署IPv6Sinkhole（黑洞）技术，将内部恶意DNS流量或已知恶意IP的IPv6请求引流至分析服务器。-SMARTOS等特征识别：监控新增的IPv6唯一类型的操作系统或应用的行为特征。3.标准在管理体系与安全场景上的创新点3.1安全管理中心的IPv6适配标准强调安全管理中心需具备对IPv6网络对象的集中管理能力。这包括对IPv6格式的日志、告警、配置的统一采集、分析、审计与可视化展示。要求安全管理员能够利用IPv6地址对远程设备进行安全配置，并且确保管理流量本身经过加密与认证。同时，针对IPv6环境中设备获取到的全球单播地址，管理中心需具备对庞大地地址空间进行有效监控和资源管理的算法能力。3.2增强隐私与数据安全防护区别于IPv4时代对地址的随意使用，本标准前瞻性地关注了隐私保护问题。要求组织在部署IPv6时，应定期轮转临时地址（TemporaryAddress），减少因地址长期固定带来的身份追踪风险。对于涉及个人隐私或重要数据的系统，建议采用隐私扩展地址，并在网络层加密通讯数据流。这体现了等级保护标准从“技术壁垒”向“数据安全与隐私保护”并重的演进。3.3与现有IPv4策略的协同与过渡期要求标准充分考虑了双栈（IPv4和IPv6）长期并存的复杂环境。要求组织必须编制清晰的IPv6安全策略，并与IPv4安全策略联动。在过渡阶段，要求对隧道技术（如6in4、Teredo、DS-Lite）进行严格管控。默认应禁止终端用户自行搭建隧道。双栈环境下的安全审计应能统一关联IPv4和IPv6的同一会话流量，实现全流量取证。4.标准实施的技术基础与挑战4.1实施基础标准的实施建立在网络设备、安全设备、操作系统、中间件及业务应用系统均已支持并开启IPv6功能的基础之上。现阶段，主流厂商（如华为、思科、启明星辰、绿盟科技）的网络防火墙、入侵防御系统已具备基本的IPv6防火墙规则和威胁特征库。国产操作系统（如麒麟、统信）及WindowsServer2025+等均已原生支持IPv6，这为标准的落地提供了设备层面的条件。4.2面临的主要挑战尽管基础已具备，但标准实施仍面临挑战：-运维人员的IP技能缺失：传统网络运维人员普遍对IPv6协议栈运营、故障排查（如使用tcpdump获取ICMPv6报文）缺乏经验。-IPv6威胁情报的匮乏：当前安全厂商的IPv6威胁情报库相比IPv4仍有显著差距，尤其是针对IPv6特有攻击场景（如恶意的NS/NA泛洪）的检测能力较弱。-设备的改造与测试成本：部分老旧安全设备仅支持IPv4，或其对IPv6六元组策略（源/目的IP+端口+协议+ICMP类型+扩展头）的支持不完善，强行启用可能导致带宽下降或丢包。主要参与单位介绍——公安部第三研究所本次GA/T1390.8-2025标准的制定过程中，公安部第三研究所（以下简称“公安部三所”）承担了最关键的技术起草与验证工作。公安部三所成立于1978年，是公安部直属的综合性研究机构。其核心职责涵盖网络信息安全、社会公共安全防范技术、物证鉴定技术等多个领域。在网络安全与标准化方面，三所内的“国家网络与信息系统安全产品质量监督检验中心”是我国首批国家级网络产品质检机构，长期承担着国家网络安全等级保护标准的研制、修订与宣贯工作。该中心拥有国际一流的漏洞挖掘、协议分析、攻防对抗试验场，汇聚了众多网络安全与通信协议专家。在此次标准研制过程中，公安部三所团队基于GB17859、GB/T22239等基础标准，结合IPv6协议的核心RFC（如RFC8200、RFC4861、RFC4862、RFC6104等），系统梳理了IPv6网络环境中存在的15类以上新安全威胁。他们利用自建的IPv6网络安全测试验证平台，对三十余款国内主流防火墙、IDS/IPS安全设备进行了IPv6环境下安全策略的可用性测试，验证了标准条款的合理性与可操作性。三所还组织多次行业研讨会，广泛征求了中国移动、中国联通、华为、阿里云等运营商及大型互联网企业的技术意见，确保标准既能引领技术前沿，又能贴近实际部署场景。因此，公安部第三研究所在网络安全等级保护标准化体系，特别是针对新兴技术（IPv6、云计算、物联网）的扩展标准制定中，扮演着“技术中坚”与“规则制定者”的核心角色。结论GA/T1390.8-2025《信息安全技术网络安全等级保护基本要求第8部分：IPv6网络安全扩展要求》的发布，是我国网络安全标准化工作在应对下一代互联网技术变革中的重要里程碑。该标准不仅填补了等级保护制度在IPv6安全领域的空白，更是一次对“等保2.0”框架在特定技术场景下的深化与创新。标准通过明确提出对IPv6协议特有属性（如扩展头、NDP、SLAAC）的安全管控要求，以及对双栈环境下的