Threat intelligence IPv6 : la réputation au-delà d’IPv4

De nombreux programmes de sécurité traitent encore IPv6 comme un cas marginal. Les attaquants n’ont pas cette contrainte. Dès qu’un workload, un VPN, un résolveur ou un service cloud fonctionne en dual stack, le trafic malveillant peut emprunter le protocole le moins journalisé et le moins enrichi.

La threat intelligence IPv6 ne peut pas être une simple blocklist IPv4 agrandie. L’espace d’adressage, les allocations, les adresses temporaires et la sémantique des préfixes imposent des choix différents de stockage, d’enrichissement et de réponse.

Pourquoi IPv6 change le modèle de réputation

Une adresse IPv4 reste souvent une unité d’enrichissement pratique, malgré le NAT et l’hébergement partagé. IPv6 ajoute plusieurs réalités :

• une interface peut utiliser plusieurs adresses simultanément ;
• les extensions de confidentialité font tourner l’identifiant d’interface ;
• clouds et opérateurs attribuent de larges préfixes ;
• plusieurs représentations textuelles peuvent désigner la même adresse ;
• un seul /64 contient un espace immense ;
• une connexion dual stack peut changer de protocole sans changer d’utilisateur.

Le NIST SP 800-119 recommande une planification explicite du déploiement sécurisé d’IPv6. Pour les équipes CTI, elle commence par une télémétrie complète et des données canoniques.

Normaliser avant de corréler

Analysez les adresses avec une bibliothèque compatible IPv6, jamais avec des règles de chaînes. La forme développée ou compressée ne doit servir qu’à l’affichage ; conservez une représentation binaire canonique. Retirez les crochets utilisés autour des littéraux dans les URL et stockez le port séparément.

Conservez toujours :

• l’adresse complète observée ;
• le préfixe routé et son attributaire ;
• l’ASN et l’organisation réseau ;
• les dates de première et dernière observation ;
• la source et le niveau de confiance ;
• l’utilisateur, appareil, workload ou session associé lorsque le cadre légal le permet.

Sans canonicalisation, une même adresse se disperse entre plusieurs enregistrements et la déduplication échoue.

De la réputation d’adresse au contexte de préfixe

La preuve individuelle reste décisive : une connexion C2 confirmée doit demeurer attachée à l’adresse exacte. Mais la décision doit examiner le voisinage :

• plusieurs adresses du même /64 ou préfixe routé partagent-elles le comportement ?
• le réseau est-il résidentiel, mobile, cloud ou hébergeur ?
• cet ASN apparaît-il normalement parmi les utilisateurs ?
• les observations malveillantes sont-elles concentrées ?
• l’adresse est-elle temporaire, stable ou liée à un workload connu ?

Ne propagez jamais automatiquement le verdict d’une IP à tout son /64. L’agrégation par préfixe sert à formuler une hypothèse, pas à déclarer chaque adresse hostile.

Fermer l’angle mort dual stack

Inventoriez chaque contrôle IPv4 et vérifiez son équivalent IPv6 : pare-feu, WAF, CDN, load balancer, VPN, EDR, résolveur, proxy, SIEM et enrichissement. Testez la conservation de l’adresse cliente originale et le support des valeurs sur 128 bits.

Créez des détections pour :

• une session alternant IPv4 et IPv6 afin de contourner une limite ;
• une connexion IPv6 vers un domaine déjà malveillant ;
• un trafic IPv6 sortant alors que le chemin IPv4 est restreint ;
• des tunnels de transition inattendus ;
• un actif interne utilisant IPv6 sans figurer dans l’inventaire.

Utilisez la réputation IP pour les observations individuelles et la recherche en masse pour les campagnes. Associez l’adresse au contexte domaine et DNS, que l’attaquant renouvelle souvent moins vite.

Bloquer et limiter sans excès

Commencez par le contrôle fiable le plus étroit. Bloquez une adresse exacte lorsque la preuve est forte et sa stabilité suffisante. Préférez le domaine, le compte, l’appareil ou le workload lorsque l’identifiant d’interface tourne.

Un blocage de préfixe exige l’analyse du trafic légitime, de la multi-location et de la durée. Pour un réseau résidentiel ou mobile ambigu, choisissez limitation, challenge et suivi comportemental. Donnez une date d’expiration à chaque blocage d’urgence.

Mesurer la préparation IPv6

Mesurez la part IPv6 par source de télémétrie, le taux d’enrichissement, les erreurs de parsing, la corrélation d’identité dual stack et le temps de confinement. Comparez la précision des alertes à IPv4 et repérez les contrôles qui tronquent encore les adresses.

La métrique la plus dangereuse est parfois vide. Si une entité annonce zéro trafic IPv6 alors que son cloud est dual stack, vérifiez la collecte avant de conclure à une absence d’exposition.

Conclusion

La réputation IPv6 dépend du contexte : adresse exacte, préfixe, ASN, workload et temps. Normalisez les observations, fermez les lacunes dual stack et évitez les blocklists permanentes de grands préfixes. Un workflow mature de threat intelligence IP considère IPv6 comme un protocole de premier rang.