Cybersecurity-implicaties bij de implementatie van IPv6
IPv6 vereist een eigen beveiligingsstrategie
IPv6 vereist een eigen beveiligingsstrategie
De transitie naar IPv6 in enterprise-omgevingen brengt specifieke veiligheidsimplicaties met zich mee. Veel daarvan hebben te maken met (geautomatiseerde) tools en systemen voor netwerkbeveiliging. Enno Rey, IPv6-specialist van het eerste uur en inmiddels werkzaam bij Apple, geeft in deze blog post een globaal overzicht.
Daarbij gaat hij uit van deze 3 functies van het IP-adres: identificatie (van een netwerk-interface of systeem), acties (zoals routering en filtering) en logging/analyse (bijvoorbeeld voor incident response en fraudedetectie). Belangrijk daarbij is dat een IPv6-adres – volgens Rey vaker dan een IPv4-adres – een tijdscomponent heeft voor wat betreft identificatie en dientengevolge analyse: een adres identificeert een interface of systeem alleen voor specifieke tijdspanne. Van de 3 bovengenoemde functies is logging/analyse de belangrijkste reden dat grote IPv6-implementaties zo lang duren en veel planning vereisen. Als eerste moet immers de apparatuur en programmatuur geschikt gemaakt worden voor de verwerking van IPv6-adressen. Pas daarna kun je je routers en firewalls configureren en je systemen van IPv6-adressen voorzien.
In het vervolg van zijn blog post zet Rey voor alle 3 functies een paar aandachtspunten op een rij: aanpassing databasevelden, stringverwerking, vulnerability scanning, IPv6-specifieke risico's, aanpassingen in de features en configuraties van netwerksystemen, nieuwe/aangepaste analysemethoden, training van personeel, en aanpassingen in de monitoring- en response-processen. Bij dit alles baseert hij zich op het NIST Cybersecurity Framework, een Amerikaans raamwerk om de digitale infrastructuur te beschermen. Het raamwerk is gezamenlijk ontwikkeld door overheid, academia en bedrijfsleven, en primair bedoeld voor de kritische Amerikaanse infrastructuur. Maar volgens NIST zijn deze richtlijnen ook prima geschikt voor niet-kritische en kleine organisaties om hun cybersecurity-risico's te beheersen.
Ook in de Europese richtlijn 'Guidelines and Process: IPv6 for Public Administrations in Europe' wordt gehamerd op het belang van de ontwikkeling van een aparte, expliciete security-strategie bij de implementatie van IPv6. Tegelijkertijd constateert de auteur van deze richtlijn dat een dergelijk strategiedocument eigenlijk tien jaar geleden al gemaakt had moeten worden, namelijk toen alle netwerkapparatuur van IPv6-functionaliteit werd voorzien. In Europese verordening 2019/881, beter bekend als de Cybersecurity Act, wordt IPv6 (naast DNS en BGP) expliciet genoemd als kritiek onderdeel van de internet-infrastructuur. De verantwoordelijkheid hiervoor op Europees niveau wordt in deze verordening belegd bij het Europees Agentschap voor netwerk- en informatiebeveiliging (ENISA: European Union Agency for Cybersecurity).
"De overstap naar IPv6 omhelst veel meer dan het toekennen van IPv6-adressen aan systemen." zo besluit Rey zijn blog post. "Tegelijkertijd is er geen ander alternatief dan IPv6."