GA-T 1390.8-2025 中文版 信息安全技术 网络安全等级保护基本要求 第8部分：IPv6网络安全扩展要求

GA/T1390.8-2025中文版信息安全技术网络安全等级保护基本要求第8部分：IPv6网络安全扩展要求前言GA/T1390.8-2025《信息安全技术网络安全等级保护基本要求第8部分：IPv6网络安全扩展要求》是我国网络安全等级保护2.0制度体系针对IPv6新一代网络技术升级改造、双栈过渡组网、纯IPv6单栈运营场景专属配套公共安全行业推荐性标准，由中华人民共和国公安部正式批准发布，2025年10月13日完成标准备案公示，2026年2月1日起全国范围内正式落地强制实施常态化合规应用。本标准作为网络安全等级保护基本要求系列新技术专项扩展第八分册核心安全规范，深度衔接网络安全等级保护安全通用要求、等级保护测评要求、安全建设整改指南等全系等保核心标准体系，专门针对全国各级党政机关政务信息化网络、关键行业关键信息基础设施网络、企事业单位办公及业务运营网络、各类政务外网与行业专网、互联网服务运营网络等所有完成IPv6升级改造、双栈并行运行、纯IPv6组网部署的等级保护定级对象，规范IPv6网络环境下等保定级对象分级安全防护基线划定、IPv6专属通信网络安全加固、区域边界差异化防护配置、计算环境IPv6适配安全管控、过渡组网安全隔离防护、IPv6特有网络攻击专项防范、安全运维管理体系适配升级、等级保护IPv6专项测评核验全链条合规建设管理工作，是所有已完成或规划IPv6网络升级改造定级单位开展等保定级备案、安全建设整改、日常网络运维、等级测评验收、监管合规核查的唯一权威专项实操遵循与合规判定法定依据。本标准深度对标《中华人民共和国网络安全法》《关键信息基础设施安全保护条例》《网络安全等级保护管理办法》等国家法律法规及专项监管规章硬性合规约束，全面适配一级至四级不同安全保护等级IPv6及IPv4/IPv6双栈组网信息系统差异化安全扩展防护基线要求，核心解决当前各类单位IPv6改造重网络开通轻安全防护、双栈组网防护策略失衡、IPv6特有协议攻击防护缺失、地址规划无序管控薄弱、过渡隧道技术安全风险突出、边界设备IPv6防护策略空置、运维管理适配滞后、安全审计溯源缺失等行业共性突出安全风险与合规短板问题，填补等级保护体系下新一代IPv6网络专项安全防护标准化管控空白。本标准核心编制定位为构建全国统一、分级适配、过渡兼容、协议可控、攻防设防、运维长效的IPv6等级保护专项安全防护标准化体系，系统明确IPv6网络等保定级对象适配界定规则、双栈与单栈组网合规适配边界、一级至四级分级安全扩展防护基线、IPv6安全通信网络专项技术要求、IPv6安全区域边界防护规范、IPv6安全计算环境适配细则、IPv4与IPv6过渡组网安全防护规则、IPv6特有网络攻击专项防范技术标准、IPv6专属安全建设管理规范、IPv6常态化安全运维管理要求、等级保护IPv6专项测评核验适配标准、日常监督管理与标准实施附则规定，从IPv6网络规划改造初期、双栈过渡运行中期、纯IPv6单栈运维后期全周期规范定级单位新一代网络安全建设与运维管理行为，确保所有IPv6网络安全防护建设贴合等保标准强制合规底线、贴合IPv6协议技术固有特性、贴合双栈过渡组网运行实际、贴合业务网络持续稳定运营需求，切实通过专项扩展安全要求筑牢IPv6网络地址安全、通信安全、边界安全、终端安全、运维安全、攻防安全六位一体的等级保护新一代网络专项安全防护根基。本标准不作为独立执法处罚直接依据，IPv6网络定级单位网络安全合规追责、监管行政处罚等强制管理要求，以国家现行网络安全法律法规及等级保护专项监管规章为准，本标准重点提供各类IPv4/IPv6双栈过渡网络、纯IPv6单栈运营网络定级系统安全升级改造、防护加固优化、运维管控适配、专项测评核验全流程标准化实操指导规范，所有IPv6相关网络改造运维工作均需对标本标准落地实施。本标准适用范围覆盖全国所有已开展IPv6升级改造的等保定级运营单位、网络升级改造集成承建服务商、网络安全设备运维厂商、等保安全整改咨询辅导机构、IPv6专项等级保护测评机构、网络安全等级保护属地监管指导部门，既是定级单位IPv6等保合规建设必备专项纲领文件，也是集成商网络改造施工建设、测评机构专项核验、监管部门合规核查的统一权威行业执行依据。1总则范围本标准全面界定网络安全等级保护IPv6网络安全扩展要求通用适用边界、核心适用定级对象范围、全维度网络安全防护覆盖范畴、分级防护核心目标及整体合规实施定位，统一IPv6及双栈组网定级对象等级划定适配规则、IPv6专项安全技术与管理扩展要求适用规范、不同组网模式IPv6网络差异化防护实施准则、IPv6安全整改建设与专项测评验收全闭环标准化合规工作规则，适配政务专网IPv6改造、行业业务网双栈运行、办公网络纯IPv6部署、互联网业务IPv6升级、跨区域协同组网IPv6适配等各类单栈、双栈、隧道过渡组网架构下不同安全保护等级定级对象的等级保护专项安全防护全流程工作。本标准系统规定了IPv6网络等级保护专项安全建设核心总体防护原则、一级至四级IPv6组网系统分级安全扩展基线划分标准、IPv6安全通信网络专项扩展技术要求、IPv6安全区域边界防护规范、IPv6安全计算环境适配管控细则、IPv4与IPv6各类过渡组网安全防护规则、IPv6特有网络攻击专项防范技术要求、IPv6安全管理中心适配集成规范、IPv6专属安全建设管理体系要求、IPv6常态化安全运维管理工作准则、IPv6网络迭代升级改造安全管控规则、等级保护IPv6专项测评核验对接规范、日常监督管理与合规持续加固附则要求，聚焦IPv6等保合规基线达标、网络组网防护可控、协议攻击防范到位、地址规划管控规范、双栈策略均衡防护、运维管理适配同步、安全风险闭环处置等核心专项安全管控环节。本标准适用定级对象涵盖所有已完成IPv6网络协议升级改造、部署IPv4/IPv6双栈并行运行、采用6over4、4over6、GRE隧道等过渡技术组网、实现纯IPv6单栈独立运营的各类等级保护定级信息系统及配套网络基础设施，全面覆盖政务、金融、能源、交通、医疗、教育等关键行业核心业务网络与办公辅助网络，所有涉及IPv6网络组网运行的等保定级系统均需强制适配本标准扩展要求，无豁免适用情形。适用工作主体包含IPv6网络定级运营管理单位、网络升级改造集成实施单位、网络及安全设备调试运维团队、等保安全整改咨询辅导机构、IPv6专项等级保护测评实施机构、属地网络安全等级保护监管主管部门，所有涉及IPv6网络等级保护定级备案、网络规划改造、安全防护加固、日常运维管理、组网迭代优化、等级测评验收、合规监督核查相关专项安全工作，均需严格遵照本标准统一IPv6网络安全扩展规范要求执行，不得自行降低分级防护基线、删减IPv6专属必备安全措施、简化双栈防护配置流程、弱化IPv6攻击专项防范、放松IPv6网络运维安全管控。本标准同步适配全新IPv6网络首次规划建设整改、存量IPv4网络升级双栈改造整改、纯IPv6单栈网络优化加固整改、过渡隧道组网安全补强整改、等保周期复测IPv6合规优化整改等各类IPv6专项安全建设场景需求，全方位规范IPv6运营单位、网络改造集成商、测评机构、监管部门四方协同专项安全管理行为。本标准管控应用场景覆盖IPv6网络前期规划设计改造、中期组网部署与安全配置加固、后期运维迭代优化升级、等级测评专项验收对接、安全合规长期监督核查等IPv6网络全生命周期安全管理场景，无论IPv6系统安全保护等级高低、网络节点部署规模大小、双栈单栈组网模式差异、网络改造资金体量多少，均需按照本标准统一IPv6网络安全扩展建设规范与实施要求落实全流程专项安全防护工作。本标准仅规范等级保护框架下IPv6新一代网络专项安全扩展防护建设管理工作，不增设超出国家网络安全法律法规强制要求的额外合规义务，所有IPv6专项安全防护工作始终坚持合规基线刚性达标、双栈同质均衡防护、协议特性专项设防、过渡组网风险隔离、运维管理同步适配、攻防防护长效可控核心防护原则，坚决杜绝重IPv6网络开通部署轻安全防护配置、重双栈业务连通轻策略均衡管控、重基础网络运维轻IPv6特有攻击防范等无效改造乱象。2规范性引用文件本标准所有IPv6分级安全扩展防护基线、专项技术防护要求、安全管理建设规范、过渡组网防护规则、IPv6攻击防范标准、测评验收适配依据均以国家现行网络安全等级保护基础标准、新一代IPv6网络建设规范、网络安全防护技术标准、网络运维管理标准相关法律法规、部门规章及国家基础性标准族配套文件为核心规范性引用依据，所有引用文件均以最新有效修订版本为统一适用基准，各类IPv6定级单位开展专项安全改造整改工作无需额外开展版本适配核验，直接遵照最新版引用文件协同落实IPv6网络等级保护全流程合规防护建设工作。核心规范性法律法规引用包含《中华人民共和国网络安全法》作为IPv6网络等级保护安全防护核心母法，明确IPv6网络运营单位网络安全主体责任、新一代网络专项安全建设法定基础要求；同步引用《关键信息基础设施安全保护条例》筑牢关键行业IPv6核心业务网络专项安全防护监管根基；配套引用《网络安全等级保护管理办法》《IPv6规模部署和应用推进管理相关规定》等核心监管规章，明确不同等级IPv6组网系统安全防护强制要求、双栈改造合规底线、专项验收复核管控规定。核心规范性国家及行业标准引用包含网络安全等级保护安全通用要求、等级保护测评要求、等级保护安全建设整改指南、IPv6网络技术规范、网络边界安全防护技术要求、网络入侵防范安全规范、网络安全运维管理指南、等级保护安全管理中心技术要求等全系配套标准，为IPv6分级防护基线划定、双栈专项技术加固、管理体系适配建设、IPv6攻击专项防范、过渡组网安全管控、等级专项测评核验提供标准化技术支撑依据。所有规范性引用文件中的法定强制安全防护底线、基础防护建设原则、IPv6网络专项实施基准、双栈组网合规强制应用条款，全部同步纳入本标准IPv6网络安全扩展整体管控范畴，各类IPv6定级单位在开展专项安全改造防护各项工作时，必须严格契合引用文件对应合规防护规定要求，坚决杜绝IPv6网络安全改造与法定合规要求脱节、双栈防护配置与标准规范割裂、攻击防范措施与协议特性脱钩、运维管理与风险管控脱节的改造漏洞，确保IPv6网络等级保护专项安全建设合规对标、防护标准统一、改造实施规范、测评验收达标。3核心术语定义与缩略语说明本章节统一规范GA/T1390.8-2025IPv6网络等级保护安全扩展全流程专属核心术语、基础概念法定定义及专业权威释义，所有释义与网络安全等级保护2.0标准族、国家IPv6建设技术标准、网络安全防护管理标准整体口径保持高度一致，确保监管部门、IPv6网络运营单位、网络改造集成商、测评机构四方认知统一、安全防护判定标准一致、IPv6网络安全管理边界清晰明确，各类单位编制IPv6网络安全改造方案、开展双栈防护加固整改、落实IPv6攻击防范配置、对接专项等级测评全流程工作，均需严格依照本章节统一术语释义规范执行，严禁单位自行篡改、简化、曲解核心术语法定内涵与IPv6网络专项安全管控边界。本标准重点界定网络安全等级保护IPv6定级对象、IPv4/IPv6双栈组网、纯IPv6单栈组网、IPv6过渡隧道技术、NDP邻居发现协议、DAD地址重复检测协议、IPv6扩展头、IPv6地址仿冒攻击、路由通告伪造攻击、IPv6网络边界防护、双栈访问控制策略、IPv6地址精细化规划、IPv6网络安全审计、IPv6分级安全扩展基线、IPv6网络应急处置、双栈运维同步管理等等级保护IPv6网络专项安全核心术语。本标准清晰区分一级二级基础IPv6防护与三级四级高阶强化防护基线差异、双栈并行组网防护与纯IPv6单栈组网防护侧重点区别、IPv6基础网络连通运维安全与IPv6特有协议攻击防护两类管控工作适配定位差异、等保通用基础网络要求与IPv6专项扩展强制要求不同，精准界定IPv6网络等级保护安全防护合规达标与防护不合格未达标的核心专项技术与管理判定基准。针对IPv6网络等级保护安全防护工作中高频使用的专业缩略语、IPv6协议专属技术表述及双栈运维专业术语，统一规范防护改造建设使用场景及精准合规管控判定口径，杜绝术语使用歧义、概念理解偏差导致的IPv6改造方案编制失误、双栈防护加固失当、等级专项测评验收判定争议问题。所有术语定义严格贴合我国网络安全等级保护法律法规、IPv6规模部署管理规定及公安行业标准编制核心内涵，兼顾IPv6定级单位网络改造实操落地适配性与监管验收合规权威性，全面保障IPv6网络等级保护专项安全防护全流程工作术语规范、口径统一、改造精准、合规达标、闭环可追溯。4IPv6安全扩展总体防护原则与分级适配基线恪守总体防护核心原则、落实分级差异化适配基线，是IPv6网络等级保护专项安全防护合规达标、双栈防护均衡可控、攻击防范长效有效的前置核心根基，防护原则偏离、分级基线降级将直接导致IPv6网络防护体系残缺、双栈策略失衡、专项合规不达标、无法通过IPv6专项等级测评核验，本标准明确IPv6安全扩展六大核心刚性防护原则，划定一级至四级IPv6及双栈组网系统分级安全扩展基线梯度标准，所有IPv6专项安全改造防护工作必须严格遵循原则推进、对标基线落实，严禁一刀切同质化改造、高等级降级简化防护、低等级盲目过度改造资源浪费。IPv6安全扩展六大核心防护原则首先为合规基线刚性适配原则，严格对标对应安全保护等级等保通用网络要求及本标准IPv6专项扩展强制要求，IPv4与IPv6网络防护同等标准、同等强度、同等管控，所有必备技术与管理防护措施全部改造到位，不删减、不豁免、不降级，守住新一代网络合规硬性底线；其次为双栈同质均衡防护原则，针对IPv4/IPv6双栈并行组网核心特性，杜绝重IPv4防护轻IPv6防护、IPv4策略严格IPv6策略空置的防护失衡问题，实现双栈网络边界防护、访问控制、入侵防范、安全审计配置标准统一、防护力度一致；第三为协议特性专项设防原则，聚焦IPv6协议NDP、DAD、扩展头等特有机制及新增攻击面，针对性部署专属防护措施，专项防范IPv6仿冒、伪造、扫描、溢出等特有高频攻击，补齐协议固有安全短板；第四为过渡组网风险隔离原则，针对6over4、4over6、隧道代理等过渡组网技术，强化隧道通道安全加密、访问管控、异常监测，严防过渡隧道成为网络渗透攻击旁路通道；第五为地址规划精准管控原则，落实IPv6大地址空间精细化规划、地址实名制绑定、地址白名单管控，杜绝IPv6地址随意分配、仿冒冒用、无序接入管控失盲问题；第六为运维管理同步适配原则，IPv6网络运维、设备管理、安全审计、应急处置与IPv4运维体系同步升级、同步管控、同步复盘，适配新一代网络长期运维迭代需求，确保防护能力适配网络升级长期有效。分级适配基线方面，一级IPv6组网系统以基础连通简易防护为核心，仅落实IPv6基础地址规划、简易访问控制、基础日志留存极简扩展要求，适配低风险小型内部办公简易IPv6私有网络应用；二级IPv6组网系统以基础可控可溯防护为核心，落实双栈基础边界管控、IPv6基础协议防护、简易攻击拦截、基础运维审计扩展要求，适配普通行业非敏感业务双栈常规网络应用；三级IPv6组网系统为核心强制防护基线，完整落实双栈均衡防护、IPv6特有攻击全量防范、地址白名单管控、IPSec加密传输、运维审计全量留存、过渡隧道专项防护全量专项扩展要求，适配政务核心业务、敏感数据传输、重点行业核心双栈网络关键应用；四级IPv6组网系统为高阶强化防护基线，在三级全量防护基础上叠加IPv6地址强认证、仿冒地址实时阻断、跨区域IPv6组网协同防护、隧道高阶加密加固、IPv6网络智能态势感知、双栈容灾冗余防护高阶能力，适配涉及国计民生、关键信息基础设施核心IPv6极高风险网络应用。所有IPv6定级单位必须严格按照自身网络系统既定等级对标对应基线改造建设，确保分级适配、防护精准、合规达标、资源合理。5IPv6安全通信网络专项扩展技术要求IPv6安全通信网络是新一代网络数据传输、节点互通、业务承载的基础安全底座，通信配置不规范、传输无加密、组网无隔离、协议管控薄弱将直接导致IPv6网络通信被窃听、数据被篡改、路由被伪造、网络传输链路失控，本标准全面细化IPv6网络地址规划管控、双栈通信传输安全、网络分区隔离防护、过渡隧道通信安全、路由协议安全管控、通信网络安全审计全维度IPv6安全通信网络专项扩展技术要求，适配IPv6大地址空间及双栈过渡组网架构特性，筑牢IPv6底层通信网络安全传输防护屏障。IPv6地址精细化规划与实名制管控方面，所有IPv6组网定级单位必须按照网络区域、业务类型、设备属性、岗位人员开展IPv6地址分段精细化统一规划，落实地址实名制绑定管理，每台网络设备、服务器、终端均实行地址与设备标识、运维责任人一一对应绑定，建立IPv6地址台账动态更新管理，严禁私设IPv6地址、随意篡改地址、匿名地址无序入网；三级及以上系统强制启用IPv6地址白名单准入机制，非白名单地址一律拒绝接入网络，从源头遏制地址仿冒、非法接入风险。双栈通信传输安全加固方面，IPv4与IPv6双栈并行组网环境下，两类协议通信链路同步落实安全防护配置，核心业务通信数据采用合规加密方式传输，三级及以上IPv6系统强制部署IPSec协议双向认证与加密传输防护，严防IPv6通信数据明文传输导致的窃听、篡改、中间人攻击；双栈网络通信会话实行超时自动断开、异常会话自动清理、失败访问自动锁定管控，保障通信会话安全可控。IPv6网络分区与逻辑隔离管控方面，按照业务重要程度、安全防护级别划分IPv6核心业务区、办公运维区、外网接入区、数据存储区，不同安全分区之间实施严格逻辑隔离与访问控制策略，分区之间按需最小权限互通，禁止跨分区无序访问、越权通信，核心业务IPv6分区实施高强度隔离防护，重点防范分区之间攻击横向扩散风险。IPv6过渡隧道通信专项防护方面，所有6over4、4over6、GRE等IPv6过渡隧道通道单独部署安全防护策略，隧道两端设备严格身份认证、隧道通信数据全程加密传输，定期监测隧道异常流量、非法封装数据包，严防过渡隧道成为绕过边界防护的非法渗透旁路通道，隧道运维操作全程审计留存。IPv6路由协议安全管控方面，IPv6路由通告、路由更新协议实施安全认证防护，禁用不必要IPv6路由广播功能，严防路由通告伪造、路由篡改、路由劫持攻击，定期核查IPv6路由表合规性，清理无效冗余路由、非法路由条目，保障IPv6路由转发安全稳定。IPv6通信网络安全审计留存方面，IPv6全网通信交互、地址接入、路由变更、隧道通信、双栈策略调整全行为开启安全审计日志记录，日志留存时长严格匹配对应等级合规要求，审计数据不可篡改、全程留存、可查可溯，为IPv6网络安全事件溯源、违规接入追责提供审计依据。所有IPv6通信网络专项技术防护改造完成后，实测网络隔离有效性、传输加密合规性、地址管控严格性、审计留存完整性，确保IPv6底层通信网络安全稳定、防护到位、风险可控。6IPv6安全区域边界专项扩展技术要求IPv6安全区域边界是网络内外隔离、攻击拦截、访问管控的核心安全关口，边界IPv6防护策略空置、攻击防范缺失、访问控制宽松、边界设备适配不足将直接导致IPv6网络边界裸奔防护、外部攻击轻易渗透、非法访问肆意入侵，本标准全面细化IPv6边界设备适配配置、双栈边界访问控制、IPv6特有攻击专项防范、边界入侵防范加固、边界安全策略管控、边界异常流量防护全维度IPv6安全区域边界专项扩展技术要求，强化IPv6网络内外边界及分区边界高强度安全防护，筑牢IPv6网络第一道安全防线。IPv6边界安全设备适配配置方面，网络出口防火墙、入侵防御、上网行为管理等边界安全设备必须完整适配IPv6协议全功能防护，同步开启IPv4与IPv6双栈防护模块，严禁仅配置IPv4防护策略、IPv6防护策略默认放行空置；边界设备关闭IPv6不必要开放端口、冗余协议、高危服务，仅开放业务通信必需IPv6专属端口与协议，定期更新IPv6安全防护特征库、攻击病毒库，保障边界设备IPv6防护能力持续有效。双栈边界精细化访问控制方面，边界安全设备针对IPv4与IPv6协议分别配置独立且同等严格的访问控制策略，遵循最小访问权限原则，精准管控内外网双向IPv6访问行为，禁止外网非法IPv6地址对内网核心区域无序访问，严控内网IPv6终端违规外联访问；定期梳理清理IPv6边界无效冗余策略、过期放行策略、宽松默认策略，确保边界访问控制精准收紧、无防护短板。IPv6特有网络攻击专项防范方面，边界设备强制开启NDP邻居发现协议攻击防护、DAD地址重复检测攻击防护、IPv6扩展头异常数据包拦截、IPv6地址扫描攻击防护、路由通告伪造攻击防护、ICMPv6异常报文拦截等IPv6专属攻击防范功能，精准识别并自动阻断各类IPv6协议特有高频攻击行为，严防利用IPv6协议固有漏洞发起的网络渗透与内网探测攻击。IPv6边界入侵防范与异常流量管控方面，边界设备实时监测IPv6网络异常流量、高频扫描流量、恶意攻击流量、隧道封装异常流量，自动识别告警并阻断异常流量攻击，针对IPv6暴力破解、端口探测、恶意渗透等行为实施联动阻断处置，定期统计IPv6边界攻击防护日志，优化边界防护策略。IPv6边界安全策略全生命周期管控方面，IPv6边界防护策略新增、修改、删除必须履行审批备案流程，策略变更全程留痕审计留存，严禁私自修改、随意放宽IPv6边界防护策略；定期开展IPv6边界策略合规性核查，整改宽松违规策略，确保边界防护策略长期合规有效。IPv6边界应急联动防护方面，三级及以上系统边界设备与安全管理中心联动对接，发生IPv6大规模攻击渗透、异常流量冲击等安全事件时，自动联动强化边界阻断防护、临时收紧访问策略，快速处置边界安全风险，降低攻击损失。所有IPv6安全区域边界专项防护改造完成后，实测边界策略有效性、攻击防范精准性、访问管控严格性，确保IPv6网络边界防护严密、攻击拦截到位、非法访问阻断有效。7IPv6安全计算环境专项扩展技术要求IPv6安全计算环境涵盖服务器、业务终端、操作系统、数据库等核心算力承载节点，终端及主机IPv6配置混乱、系统防护适配不足、终端接入管控松散、主机攻击防范缺失将直接导致内网终端沦陷、主机被入侵、核心业务数据泄露、内网横向扩散攻击频发，本标准全面细化主机终端IPv6安全基线加固、操作系统IPv6适配防护、终端IPv6接入管控、主机IPv6安全审计、计算环境双栈防护同步、终端异常行为管控全维度IPv6安全计算环境专项扩展技术要求，夯实IPv6网络内网终端与主机底层运行安全根基。主机终端IPv6安全基线差异化加固方面，所有服务器、办公终端、业务终端统一完成IPv6安全基线加固配置，关闭主机及终端不必要IPv6闲置服务、无用协议、高危后台端口，禁用主机默认IPv6匿名接入配置，强制设置主机IPv6网络访问安全权限；核心业务服务器执行高阶加固标准，启用IPv6多因素身份鉴别登录防护，普通办公终端落实基础加固要求，杜绝弱配置、默认配置带来的IPv6终端安全隐患。操作系统IPv6适配安全防护方面，服务器与终端操作系统及时适配IPv6安全补丁更新，修复操作系统IPv6协议相关高危漏洞，关闭操作系统IPv6自动随机地址生成、匿名网络访问等高危功能，严控操作系统IPv6网络权限配置；主机操作系统部署恶意代码防护软件，同步适配IPv6网络环境病毒查杀、恶意程序拦截，防范针对IPv6主机的病毒木马入侵攻击。终端IPv6接入精细化管控方面，内网所有终端IPv6接入实行统一身份认证与地址绑定管控，终端接入网络必须合规匹配IPv6白名单地址与设备信息，非法终端、匿名终端、仿冒终端一律禁止接入内网IPv6网络；终端IPv6网络接入行为实时监测，异常接入、异地接入、频繁地址变更行为自动告警处置，严控内网终端非法接入与仿冒篡改风险。主机IPv6安全审计与日志留存方面，所有服务器、终端主机IPv6网络访问、地址变更、网络配置修改、账户登录操作全程开启安全审计日志留存，日志留存时长达标、数据不可篡改，主机IPv6安全操作全程可查可溯，为内网安全事件溯源追责提供依据。计算环境双栈防护同步适配方面，主机终端IPv4与IPv6防护配置同步加固、同步管控、同步更新，杜绝终端IPv4防护到位、IPv6防护空置的内网防护失衡问题，双栈环境下主机安全策略统一标准、同等防护。终端IPv6异常行为管控处置方面，实时监测终端IPv6异常扫描、异常外联、异常数据传输等违规行为，发现终端异常行为自动告警、隔离处置，防止终端被入侵后作为跳板发起内网IPv6横向攻击扩散。所有IPv6安全计算环境专项防护改造完成后，逐项核验主机终端加固成效、接入管控合规、审计留存有效，确保IPv6内网计算环境安全稳定、终端管控有序、主机防护到位。8安全管理中心IPv6适配专项扩展要求等级保护安全管理中心是全网安全集中管控核心枢纽，IPv6网络需全面适配接入安全管理中心实现集中管控、态势感知、审计溯源、应急联动，管理中心IPv6适配对接不完善将导致IPv6网络安全管控游离于全网防护体系之外，管控失盲、审计缺失、风险无法集中感知、攻击无法联动处置，本标准全面细化IPv6网络数据标准化采集接入、双栈安全策略集中管控、IPv6安全态势专项感知、IPv6审计数据集中溯源、IPv6安全应急联动处置、管理中心自身IPv6适配防护全维度安全管理中心专项扩展适配技术要求，实现IPv6网络与等保安全管理中心无缝集成、一体管控。IPv6网络数据标准化采集接入方面，安全管理中心全面适配IPv4/IPv6双栈数据采集规范，标准化采集IPv6网络设备运行日志、边界防护告警日志、主机终端接入日志、IPv6攻击防范记录、地址变更台账、策略调整数据等全维度IPv6安全基础数据，实现IPv6安全数据与全网安全数据统一归一化处理、集中汇聚存储，杜绝IPv6安全数据孤立分散、无法集中管控、风险感知失盲问题。IPv6双栈安全策略集中管控适配方面，安全管理中心具备IPv4与IPv6双栈网络安全策略集中编辑、审核、统一下发部署能力，可统一调整IPv6边界防护策略、终端接入策略、攻击防范策略，实现IPv6全网安全策略统一合规校验、冗余策略清理、策略变更全程留痕，无需单独登录各网络设备后台分散运维管控，提升IPv6网络安全运维集中管控效能。IPv6安全态势专项感知方面，安全管理中心态势感知模块新增IPv6网络专项安全态势研判功能，集中汇总IPv6网络攻击行为、异常流量访问、地址违规接入、边界防护告警、终端异常行为等风险数据，可视化展示IPv6全网安全态势，自动研判IPv6高、中、低三级安全风险并及时预警告警，实现IPv6网络风险动态可视、提前预警、精准管控。IPv6网络审计数据集中溯源方面，IPv6所有网络通信审计、边界防护审计、终端接入审计、策略变更审计数据全部集中汇聚至安全审计管理中心，实现IPv6网络安全审计与全网审计一体化关联分析，支持IPv6网络安全事件跨设备、跨区域精准溯源查询取证，满足等保审计合规与安全事件追责需求。IPv6安全应急联动处置适配方面，安全管理中心应急处置模块适配IPv6网络安全事件专项联动处置，发生IPv6边界攻击、终端违规接入、路由伪造、异常流量冲击等安全事件时，自动联动边界设备阻断攻击源、隔离违规终端、收紧防护策略，快速闭环处置IPv6网络安全突发事件，降低网络安全事件损失。管理中心自身IPv6适配防护方面，安全管理中心对接IPv6网络新增适配接口、数据传输通道全部落实安全加密防护与访问管控，严防IPv6数据对接传输过程中泄露篡改，管理中心针对IPv6专项管控账号强化权限管控与安全加固，避免IPv6适配对接环节引入新安全短板。所有安全管理中心IPv6适配改造完成后，实测数据采集完整性、策略管控有效性、态势感知精准性、应急联动及时性，确保IPv6网络全面纳入全网集中安全管控体系，防护一体、管控同步、合规达标。9IPv6专属安全建设与运维管理扩展要求完善的IPv6专属安全建设与运维管理体系是IPv6技术防护措施落地见效、长期稳定运行的管理根基，建设制度缺失、运维流程不规范、人员管控不到位、培训应急不配套，即便IPv6技术防护全部部署也无法实现长效安全防护，本标准全面细化IPv6组织责任管理、双栈专项制度建设、IPv6网络建设管理、日常运维操作管控、第三方改造管理、安全培训应急演练全维度专属安全管理扩展要求，构建适配IPv6双栈组网特性的分级安全管理体系。IPv6组织与责任安全管理方面，定级单位健全IPv6网络专项安全管理组织架构，明确单位主要负责人IPv6网络安全主体责任、分管领导专项管理责任、网络运维部门落实责任、IPv6专项运维岗位一线安全责任，设立IPv6专职网络安全管理岗位，细化各岗位运维工作职责，建立IPv6常态化安全工作会商机制，定期研究IPv6网络防护加固、隐患整改、风险管控工作，杜绝IPv6网络安全管理责任悬空、无人统筹、无人落实问题。IPv6专项安全制度体系建设方面，对照本标准IPv6扩展要求及等保通用管理要求，新增修订IPv6网络安全总体管理制度、双栈网络防护运维管理制度、IPv6地址规划台账管理制度、IPv6过渡隧道安全管理制度、IPv6网络攻击应急处置管理制度全系列专属制度文件，配套编制IPv6网络改造建设规范、运维操作作业流程、隐患整改管理表单，杜绝制度缺失、制度与IPv6双栈运维实操脱节问题。IPv6网络建设改造安全管理方面，规范IPv6网络规划设计、升级改造、设备部署、策略配置全流程建设审批管理，所有IPv6改造项目必须开展安全风险评估、安全方案审核，改造施工错峰实施、分步割接、全量测试，避免改造施工影响核心业务网络正常运行，改造完成后专项核验IPv6防护合规性方可正式投用。IPv6日常运维操作安全管理方面，规范IPv6网络巡检、策略变更、地址调整、设备维护、隧道运维全流程运维操作审批流程，所有IPv6运维操作必须履行审批手续、全程留痕记录、操作审计留存，严禁私自修改IPv6网络配置、随意放宽边界策略、擅自调整IPv6地址规划等无序运维行为。IPv6网络改造第三方外包管理方面，针对IPv6网络升级改造外包集成商、设备运维