2018年中国政企机构网络安全形势分析报告.pdf

2018 年 中国政企机构网络安全形势 分析报告 奇安信 威胁情报中心 2019 年 4 月 13 日 摘 要 终端安全 2018 年， 奇安信 公有云监测数据显示国内大中型政企机 构 遭到勒索、蠕虫和漏洞攻击 207961 次，其中，蠕虫病毒攻击数量最多，共 170173 次，其次是漏洞利用攻击 30938 次，勒索软件攻击 6850 次。从感染病毒的角度来看，共有 3762 家政企机构感染了病 毒。其中遭遇蠕虫攻击感染最多，共有 3253 家政企机构，其次是漏洞利用攻击，有 1591 家政企机构，还有 397 家感染了勒索病毒。 2018 年，国内大中型政企机 构 遭到网络蠕虫病毒攻击 170173 次。其中，遭到蠕虫病毒 攻击最多的关键行业是医疗卫生行业，达 48966 次。从感染病毒的角度来看，政府部门 是遭蠕虫攻击感染病毒最多的行业部门，有 828 家单位感染。 2018 年，针对国内大中型政企机构遭到漏洞利用攻击（不含蠕虫病毒、勒索软件和挖 矿木马攻击） 30938 次，在关键行业中，能源行业遭受漏洞利用攻击最为频繁，多达 4611 次。从感染病毒的角度来看，政府部门是遭漏洞利用攻击而感染病毒最多的行业部门， 有 449 家单位感染。 2018 年，国内大中型政企机构终端设备（含服务器）遭到勒索软件攻击 6850 次，在关 键行业中，金融机构遭受勒索软件攻击的次数最多，达 2180 次。从感染病毒的角度来 看，政府部门是感染勒索病毒最多的行业部门，有 83 家单位感染。在感染勒索病毒的 政企单位中， 34.0%感染了 GlobeImposter， 22.0%感染了 GandCrab， 17.6%感染了 Crysis， 10.1%感染了 Satan，仍然有 7.5%单位感染 WannaCry。 网站 安全 2018 年， 奇安信 网站安全检测平台共扫描检测网站 149.2 万个（年度去重），存在漏洞 的网站 110.3 万个（月度去重），占比为 73.9%，共扫描出漏洞 1230.4 万次。其中，共 扫出存在高危漏洞的网站 23.1 万个，占扫描网站总数的 15.5%，共扫描出 217.0 万次高 危漏洞。 2018 年全年 ， 奇安信 网站卫士共 为 76.1 万个 网站 （月度去重） 拦截各类网站漏洞攻击 32.6 亿次， 平均每天拦截 漏洞攻击 945.8 万次。 2018 年，补天平台 SRC 共收录各类网站安全漏洞 21238 个，共涉及 11227 个网站。高 危漏洞占比为 29.7%，中危漏洞占比为 40.8%，低危漏洞占比为 29.5%。 补天平台收录的网站漏洞中，政府机构及事业单位网站的漏洞数量是最多的，占比为 19.0%；其次，教育培训网站漏洞为 18.3%，互联网行业为 11.5%。从高危漏洞网站来 看，金融行业的网站高危漏洞占比最多，均为 50.6%。 2018 年， 奇安信 威胁 情报中心在全球范围内共监测发现扫描源 IP 1400 万个，累积监测 到扫描事件约 3.93 亿次。全球平均每日活跃的扫描源 IP 大约有 13.3 万个，对应的日均 扫描事件约 107.6 万起。 2018 年， 奇安信 威胁情报中心监测到 626.2 万个 IP 在过去一年曾遭到过 1064.3 万次 DDoS 攻击，平均每天监测到 DDoS 攻击 2.9 万次。 工业互联网安全 从 2011 年 -2015 年， CNVD 收录的工控系统漏洞数量， 呈现了一个持续的稳中有降的 态势。 但在 2015 年底至 2016 年初的乌克兰大停电事件之后，工控系统漏洞的发现再次 进入高速增长期： 2016 年 191 个； 2017 年 351 个；而到了 2018 年，增长到了 442 个。 在 2018 年四大漏洞平台收录的工业控 制 系统漏洞中，漏洞成因多样化特征明显，技术 类型多达 30 种以上。其中，拒绝服务漏洞（ 103）、缓冲区溢出漏洞（ 54）和访问控制 漏洞 (32)数量最多，最为常见。从危险等级 看，高危漏洞占比 53.6%，中危漏洞占比为 36.4%。 从漏洞涉及到的行业来看，制造业占比最高，涉及的相关漏洞数量占比达到 30.6%，其 次是能源行业涉及的相关 漏 洞数量 占比 23.9%。 信息泄露 2018 年 1-10 月，补天平台共收录可导致百万条以上数据泄露的网站漏洞 280 个，约占 补天平台全年漏洞收录总数（ 18200 个）的 1.5%，涉及网站 129 个，共可造成 86.5 亿 条数据泄露。 从可导致数据泄露的网站漏洞技术类型来看，命令执行占比最高，为 81.1%。其次为代 码执行和弱口令，占比分别为 7.9%和 7.1%。 2018 年 1-11 月， 奇安信 安服团队共为全国多家大中型政企机构，提供了 717 次网络安 全应急响应服务，其中，涉及到数据泄露事件共 130 次，占应急响应处置事件总数的 18.1%。 政企机构对网络攻击的重视程度、发现能力和主动响应的能力正在显著上升。 95.5%的 数据泄露事件是企业自行发现的 。 2018年，抽样收集的 206起全球政企机构重大数据泄漏事件中， 13.1%为生活服务行业， 12.1%为 IT 信息技术， 11.7%为互联网行业。从泄露数据的原因来看， 49%的事件是由 于外部攻击导致的。从泄露的数据规模分布来看， 47.1%的事件泄露的数据规模在 100 万条以上。值的注意的是， 7.1%的事件泄露规模在 1 亿条以上。 2018 年，抽样收集的 1000 条暗网中关于数据交易的行业来看，金融行业占比为 23.1%； 互联网行业占比为 16.3%；数据交易的规模来看， 10 万条以上的数据占到了 46.0%； 10 万至 100 万条的数据占到了 23.4%； 100 万至 500 万条的数据占到了 11.0%； 500 万至 1000 万条的数据占到了 3.6%； 1000 万至 5000 万条的数据占到了 8.6%； 5000 万到 1 亿 条的数据占比为 1.4%； 1 亿条以上的数据，占比为 5.8%。 APT 攻击 奇安信威胁情报中心在 2018 年监测 到 的高级持续性威胁相关公开报告总共 478 篇，其 中下半年报告披露的频次和 数量明显高于上半年。 2018年全球公开披露的 APT分析报告中，被攻击目标涉及最多的 5个行业领域分别是： 军队与国防（ 17.1%）、政府（ 16.0%）、金融（ 15.5%）、外交（ 11.6%）、能源（ 10.5%）。 在 2018 年， APT 攻击活动几乎覆盖 全球绝大部分地区的国家和区域。其中，针对韩国、 中东、美国、俄罗斯、巴基斯坦等地区的 APT 活动最为活跃，也被披露的最多。 应急响应事件 2018 年， 奇安信 安服团队为全国各地多家大中型政企机构，提供了网络安全应急响应 服务，参与和协助处置各类网络安全应急响应事件 717 次。 2017 年和 2018 年的统计数据显示，近九成的攻击事件都是政企机构自行发现并请求援 助的。 2017 年 6 月网络安全法的实施后，大中型政企机构对安全事件的应急响应 重视程度大幅提高，尽早发现，尽早处置，自行响应渐成主流。 从大中型政企机构网络安全事件中的失陷区域来看， 25.3%为网站； 18.7%为内部服务 器、数据库； 17.5%为办公终端。 目前网络安全事件对机构的最常见影响有以下三类：生产效率低下、数据丢失和破坏性 攻击。统计显示， 20%的安全事件导致了生产效率下降， 13%的事件导致数据丢失， 10% 的安全事 件对政企机构的系统造成了破坏 在 2018 年， 奇安信 安服团队现场处置的网络安全应急响应事件中，有 223 个网络安全 事件背后有明显的黑产活动的影子， 189 个安全事件属于敲诈勒索事件。 关键词： 终端、 蠕虫 、勒索、 网站 安全 、 工业互联网、信息泄露、 漏洞、 APT、 应急响应 目 录 第一章 终端安全 . 1 一、 攻击概况 . 1 二、 蠕虫病毒攻击 . 3 三、 漏洞利用攻击 . 4 四、 勒索软件攻击 . 5 第二章 网站安全 . 8 一、 网站漏洞检测 . 8 二、 网站漏洞攻击 . 11 三、 人工漏洞挖掘 . 13 四、 网络扫描 . 17 五、 DDOS 攻击 . 20 第三章 工业互联网 . 26 一、 工控系统互联网暴露情况 . 26 二、 工业互联网安全漏洞分析 . 27 三、 工业互联网安全威胁 . 30 第四章 信息泄露 . 32 一、 网站漏洞泄露数据风险分析 . 32 二、 应急响应处置的数据泄露事件 . 34 三、 全球政企机构数据泄露分析 . 38 四、 暗网上非法数据的交易情况 . 40 五、 政企机构数据泄露的原因 . 43 第五章 APT 攻击 . 45 一、 公开披露的全球高级持续性威胁 . 45 二、 针对中国境内的 APT 组织和威胁 . 49 三、 APT 威胁的现状和挑战 . 52 第六章 应急响应 . 57 一、 行业分布 . 57 二、 事件发现 . 58 三、 失陷区域 . 59 四、 事件类型 . 60 五、 事件影响 . 60 六、 攻击目的 . 61 第七章 应急响应典型案例 . 63 一、 某医院服务器勒索软件事件应急响应 . 63 二、 某电网公司终端勒索软件 事件应急响应 . 63 三、 某汽车公司挖矿木马事件应急响应 . 64 四、 某部委 CC 事件应急响应 . 65 五、 某证券公司 DDOS 事件应急响应 . 65 六、 某集团网站挂马事件应急响应 . 66 七、 某大学网站非法页面应急响应 . 66 八、 某部委蠕虫病毒事件应急响应 . 67 九、 某地法院遭到 APT 攻击事件应急响应 . 68 附录 1 奇安信网神终端安全管理系统 . 70 附录 2 奇安信网站安全云防护系统介绍 . 71 附录 3 补天平台介绍 . 72 附录 4 奇安信安服团队 . 73 附录 5 奇安信威胁情报中心 . 74 1 第一章 终端安全 终端设备 是政企机构 内部 网络 不可或缺 的 组成 ， 其 安全状况 与 组织 内 每个成员 息息相 关。 在很多 情况下， 终端 也 是内部网络和外部网络的连接点， 是 外部 恶意程序进入 内部网络 常见的 入口节点，甚至是“跳板” 。 因此 ， 终端设备 一旦失守 ， 整个 办公 或 生产 网络 的 安全 状况就十分 堪忧 。 针对 政企机构 终端 设备 的 网络攻击形式多样，本 章 主要对典型的四类网络攻击进行分 析 ：勒索软件 攻击、 挖矿 木马攻击、蠕虫病毒攻击、漏洞利用攻击。 本章 研究数据 主要 来自 奇安信 公有云安全监测数据（数据源于客户主动开启上报的统 计类数据，不包含客户信息和终端信息，仅有客户标识和统计数据等） ，监测 时间段为 2018 年，监测 数据 表示 360企业级 终端 安全 产品 对 特定威胁的拦截量 。这些 数据 可以在 一定程度 上 反映出 相关机构遭到 特定类型 攻击 的数量 和 强度 ， 但不 表示 相关 机构 已经 感染病毒或被 成 功 攻击。 一、 攻击概况 （一） 遭典型网络攻击的 攻击量 2018 年 ， 奇安信 公有云监测数据显示 国内 大中型 政企 机 构 遭到勒索 、蠕虫和漏洞攻击 207961 次 ， 其中 ，蠕虫病毒 攻击 数量 最大， 共 170173 次 ， 其次是漏洞利用 攻击 30938 次， 勒索软件攻击 6850 次 。 特别需要 说明 的 是 ，本文 的 漏洞利用主要是指： 1） 文档等非 PE 文件 作为常规攻击手 段； 2） 感染 型 病毒 创建 的快捷方式文件，这些文件利用系统漏洞引诱用户点击； 3） 黑客工 具类软件 。 从 关键 行业 来看， 医疗卫生 行业 是 遭受 典型 网络 攻击最多 的 行业部门 。如 前 文 所述， 遭 受 攻击 多 ， 并不 意味着医疗卫生 行业 的网络 感染次数多 ， 因为 这些 攻击 都 已 被 终端安全 软件 阻止。 但 这 也说明 ，该 行业 面临 的 典型网络 攻击威胁比较 明显 。 2 （二） 遭典型网络攻击的感染量 从 感染病毒的 角度来看， 2018年共有 3762 家政企机构感染了病毒。其中 遭遇 蠕虫 攻击 感染 最多，共有 3253家政企机构，其次是漏洞利用 攻击 ，有 1591家政企机构，还有 397 家 感染了勒索病毒。 从关键行业 来看， 政府部门 是 感染网络病毒 最多 的 行业部门，有 979 家单位感染。其次 是卫生 机构，有 790家单位感染，公检法部门有 384家单位感染。 3 二、 蠕虫病毒攻击 蠕虫病毒 的历史非常悠久，最早可以追溯 到 鼎鼎大名的 莫里斯 蠕虫 （上个世纪 80 年代 出现 ，影响当时 作为 稀有品的 6000 多台 计算机 ）。中国最有 名的蠕虫病毒莫过于 “熊猫烧 香”，硬盘 中大量出现的 “怪异 熊猫 ”的文档 缩略图，让当时 很多 人对 病毒 有 了 直观的 、 印 象深刻的认识。 2017年 5 月造成 重大影响的 WannaCry（ 永恒之蓝 勒索蠕虫） 病毒 也是蠕虫 病毒。 2018 年 ， 奇安信 公有云监测数据显示 国内大中型 政企机 构 遭到 网络 蠕虫 病毒 攻击 170173 次。 其中 ， 遭到 蠕虫 病毒 攻击最多的 关键 行业 是 医疗卫生 行业，达 48966 次 ； 其次 是能源 行业 24011 次 ， 政府部门 18303 次 。 从感染病毒的角度来看， 政府部门是 遭蠕虫攻击感染 病毒最多 的 行业部门，有 828 家单 位感染。其次是卫生机构，有 740 家单位感染，公检法部门有 338 家单位感染。 4 三、 漏洞利用攻击 很多恶意软件都会利用 终端 设备 系统 及其上应 用 的 漏洞 发起攻击 。 2018 年 ， 奇安信 公 有云监测 安全 监测数据显示 ， 针对国内 大中型 政企机构 遭到 漏洞利用攻击（ 不含 蠕虫 病毒 、 勒索软件 ） 30938 次 ， 在 关键行业中， 能源 行业遭受 漏洞 利用 攻击最为 频繁， 多达 4611 次 ； 其次是政府部门 3785次 ， 金融 机构 2952 次 。 从感染病毒的角度来看，政府部门是 遭漏洞利用攻击而 感染病毒最多 的 行业部门，有 449 家单位感染。其次是卫生机构，有 194 家单位感染，公检法部门有 151 家单位感染。 5 四、 勒索软件攻击 2018 年 ， 奇安信 公有云监测数据显示 国内大中型 政企机构 终端设备 （ 含 服务器） 遭到 勒索 软件攻击 6850 次 ，在 关键行业中， 金融 机构 遭受勒索软件 攻击 的次数最多 ，达 2180 次； 其次 是 政府部门 ， 712 次 ； 能源机构 612 次 。 从感染病毒的角度来看，政府部门是感染 勒索 病毒最多 的 行业部门，有 83家单位感染。 其次是卫生机构，有 48 家单位感染，金融机构有 33家单位感染。 6 在政企单位所遭遇的勒索病毒攻击事件中，单日单次攻击事件仅针对一台终端的比例 占到攻击事件总量的 79.8%，仅有 0.6%的攻击事件针对的终端总数超过 50台 。 在感染勒索病毒的政企单位中， 34.0%感染了 GlobeImposter， 22.0%感染了 GandCrab， 17.6%感染了 Crysis， 10.1%感染了 Satan，仍然有 7.5%单位感染 WannaCry。 7 GlobeImposter 感染最多的是政府单位，占感染政企单位总数的 29.6%；其次是卫生行 业，占比为 16.7%； GandCrab 感染最多的是政府单位，占感染政企单位总数的 28.6%；其次 是公检法行业，占比为 11.4%； Crysis 感染最多的是政府单位，占感染政企单位总数的 25.0%； 其次是卫生行业，占比为 21.4%； Satan感染最多的是政府单位，占感染政企单位总数的 25.0%； 其次是卫生行业，占比为 18.8%；而 WannaCry的感染则相对平均。 8 第二章 网站 安全 一、 网站漏洞 检测 （一） 漏洞数量概况 2018 年 ， 奇安信 网站安全检测平台共 扫描 检测 网站 149.2 万 个 （年度去重） ，其中 ， 扫 出存在漏洞的网站 110.3万个 （月度去重） ，占比 为 73.9%，共 扫描出 1230.4 万 次 漏洞 。 从 高危漏洞 的 检测情况来看 ， 扫出存在高危漏洞的网站 23.1 万个（相比 2017年 的 34.5 万 个 网站 漏洞， 下降了 33%），占扫 描网站总数的 15.5%，共扫描 出 217.0 万次 高危漏洞 。 高危 漏洞 更 容易被病毒、木马、黑客等侵入，导致软件崩溃或者盗取重要信息、密码等 ， 其危害 性更大， 影响 更 深远 。 下图 给出 了 2014年 至 2018 年网站存在漏洞 的 情况 对比。 9 （二） 漏洞 危险等级 情况 2018 年， 奇安信 网站安全检测平台 共 扫描出 1230.4万 次 漏洞 。其中，扫出高危漏洞次 数占比 为 17.6 %， 扫出 中危漏洞 次数 占比为 4.6%， 扫出 低危漏洞 次数 占比为 77.8%。具体 如 下图所示。 下图给出了 2014 年 -2018 年网站漏洞危险等级分布对比。 下图给出了 奇安信 网站安全检测平台每月扫描出存在高危漏洞的网站个数（当月去重）。 在全年各月 中， 7 月扫出的有高危漏洞的网站数量最多，为 6.0 万 个 。 2018年第三季度检出 含有高危漏洞网站数量较多于其他季度 。 10 奇安信 网站安全检测平台全年共扫描发现网站高危 漏 洞 217.0 万次 ， 平均每天扫出高危 漏洞约 5944 次。下图给出了 2018 年每月扫描出网站高危漏洞的次数。整体基本保持 平稳， 其中 7 月份是扫出高危漏洞最多的月份，数量达到 23.8 万次。 （三） 网站漏洞域名分析 从域名类型统计来看， 2018 年 奇安信 网站安全检测平台扫描到的网站所属全球通用 域 名中 域名最多，占比为 67.1%；其次是 （ 22.4%）、 （ 5.2%）；作为本土化域名， .gov 占比为 2.6%， .edu占比为 1.5%。 从扫出的含有高危漏洞的网站域名来看， 奇安信 网站安全检测平台共扫描到含有高危 漏洞的网站 23.1 万个，其中， 域名最多 ，占 81.9%；其次为 （ 11.1%）、 （ 3.5%）； 作为本土化域名， .gov 占比为（ 1.3%）、 .edu占比为（ 0.8%） 具 体分布情况如下图所示。 11 （四） 漏洞类型分析 根据 奇安信 网站安全检测平台 扫描 出高危 漏洞的 情况，跨站脚本攻击漏洞的 扫 出 次数 和涉及 网站数 都是 最多 的 ，稳居排行榜榜首。 其次是 SQL 注入漏洞（盲注） 、 SQL 注入漏 洞、 phpweb 成品站伪静态注入 等 漏洞 类型 。 下表给出 了 2018 年 1-12 月份高危漏洞 TOP10。 漏洞名称 扫出次数 (万 ) 涉及 网站数（万） 跨站脚本攻击漏洞 92.3 6.4 SQL 注入漏洞（盲注） 20.9 2.0 SQL 注入漏洞 14.1 1.3 phpweb 成品站伪静态注入 9.4 8.9 跨站脚本攻击漏洞 (路径 ) 4.7 1.8 PHPWEB myord 参数 sql injection 漏洞 3.7 3.6 发现 SVN 版本控制信息文件 2.7 0.4 PHP 错误信息泄露 2.3 0.5 MS15-034 HTTP.sys 远程代码执行 2.3 1.4 DedeCMS sql 注入添加用户漏洞 1.3 0.9 表 2018 年 1-12 月份 扫描出的 高危漏洞 TOP10 二、 网站漏洞攻击 黑客对网站发动攻击一般有两种方式，一种方式是利用漏洞入侵网站 ， 另一种方式是对 网站发动流量攻击。 （一） 漏洞攻击数量统计 2018 年全年 ， 奇安信 网站 卫士共为 76.1万个 网站 （月度去重） 拦截各类网站漏洞攻击 32.6 亿次， 平均每天拦截 漏洞攻击 945.8 万次。 下半年拦截漏洞攻击次数增多，其中， 8 月、 9 月是攻击量最大的两个月， 8 月 达到 最高 5.9 亿 次。 网站 每月 遭遇 漏洞攻击 情况如 下 图 所 示。 12 2018 年全年遭到漏洞攻击的网站 共计 76.1 万个 网站 （月度去重） 。 平均每月 约 有 6.3 万 个 网站 遭遇各类漏洞攻击 ，其中 6 月遭遇漏洞攻击的网站个数最多，达 16.9 万个 。 （二） 漏洞攻击类型分析 下表给出了 奇安信 网站卫士拦截漏洞攻击次数最多的 10 个漏洞类型。这十个类型共 遭 到攻击 2.9 亿 次 ，占到漏洞攻击拦截总量的 98.4%。具体如 下表所示 。 TOP10 漏洞攻击类型 拦截次数 占比 1 SQL 注入 41.1% 2 webshell 27.6% 3 通用漏洞 13.7% 4 XSS 6.6% 5 扫描器 2.9% 6 nginx 攻击 1.8% 13 7 本地文件包含 1.6% 8 代码注入 1.5% 9 文件备份探测 1.1% 10 命令注入 0.6% 表 漏洞攻击拦截量 Top10 的漏洞及其拦截次数 奇安信 威胁 情报中心 监测 显示， 41.1%的网站漏洞攻击类型都为 “ SQL 注入”，稳坐第 一 。其次 为“ Webshell”和“通用漏洞”， 占比分别为 27.6%和 13.7%。 下图给出了 网站 漏洞 攻击类型 的 具体 分布情况。 三、 人工漏洞 挖掘 本 节 从人工挖掘 角度，对 网站漏洞情况进行分析 。 主要根据补天平台公开 征集 收录白帽 子提交的漏洞信息，结合平台自身对漏洞的研究积累， 从而分析 2018 年上半年 ，存在漏洞 且被白帽子关注的全国网站的安全状况。 （一） 漏洞报告数量 2018 年全年，补天平台 SRC 共收录网站安全漏洞报告 21238 个，共涉及 11227 个网 站 。第四季度收录漏洞数量增多，其中 ， 10 月份 收录的网站漏洞数量最多 ， 为 5090 个 。 具 体 如下图所示。 14 （二） 漏洞类型分析 从补天平台收录网站 漏洞的 性质 来 看，通用型漏洞比例很低，仅为 1.6%， 98.4%的网 站漏洞都为事件型漏洞。 鉴于多数通用型漏洞属于可以检测的已知漏洞，而事件型漏洞则存在一定的偶发性和 不可预测性。但从另一个角度来看，网站存在大量的事件型漏洞，这也就意味着：仅仅通 过一般的、通用的安全检测手段并不足以及时的发现网站潜在的安全问题。第三方平台对 网站漏洞的收集和报告，对于正规的网站来说尤为重要。 从补天平台收录 网站 漏洞 的 危害等级来看， 高危 漏洞占比为 29.7%，中危漏洞占比为 40.8%，低危漏洞占比为 29.5%。 下图给出 了 补天 平台 收录 的网站漏洞 的 危险等级情况。 15 从补天平台收录网站漏洞的具体类型来看， SQL注入漏洞最多，占比为 29.4%，其次 是弱口令和信息泄露，占比分别为 16.7%和 13.4%。占比较高的还有命令执行（ 9.4%）、逻 辑（ 9.1%），具体漏洞类型分布请见下图。 （三） 不同 行业网站漏洞情况 在 所有网站中，我们在能够明确的确认其所属行业的网站中选择了 政府机构 及事业 单 位、教育培训、互联网 、 IT 信息 技术、 生活服务、金融 、 制造业、 医疗卫生、通信 运营 商 、交通 运输 十个行业网站进行了 分类， 重点研究 这 十个行业网站的安全状况。 补天平台收录的网站漏洞中， 政府机构及 事业单位 网站的漏洞数量是最多的， 占比为 19.0%；其 次，教育培训网站漏洞为 18.3%， 互联网行业为 11.5%。 每个 行业 的 网站 漏洞分 布 情况，具体如下图所示。 16 被 报告漏洞涉及的不同行业网站中， 通信运营商行业网站 注册率最高为 84.0%，其 次，金融注册率 为 77.3%， 互联网行业网站注册率 为 61.9%。 从 高危漏洞网站来看， 金融网站高危 漏洞占比最多， 为 50.6%， 其次 是 政府机构、事业 单位 网站 高危漏洞为 40.3%。 具体如下表所示 。 行业 高危 中危 低危 政府机构、事业单位 40.3% 36.6% 23.0% 教育培训 21.5% 46.0% 32.5% 互联网 17.0% 46.8% 36.2% IT 信息技术 33.8% 39.4% 26.8% 生活服务 31.8% 43.3% 24.8% 金融 50.6% 21.5% 27.9% 制造业 24.4% 39.1% 36.5% 医疗卫生 25.3% 49.0% 25.7% 电信运营商 27.0% 34.6% 38.4% 17 交通运输 32.8% 40.2% 27.0% 表 不同 行业的 网站 漏洞 等级 情况 部分行业的 网站漏洞类型分布如下表所示 。 可以看出， “ SQL注入”“弱口令”和“信息 泄露” 漏洞 类型无论 是 从总体角度 还是 从 各 行业网站漏洞 类型 均名列前茅 。 行业 SQL 注入 命令执行 信息泄露 政府机构、事业单位 31.3% 19.2% 11.0% 教育培训 33.5% 20.9% 13.0% 互联网 29.3% 9.1% 16.9% IT 信息技术 31.8% 10.4% 13.6% 生活服务 31.3% 13.5% 12.2% 金融 8.9% 13.8% 14.0% 制造业 25.5% 25.1% 14.0% 医疗卫生 32.9% 19.8% 12.8% 电信运营商 12.9% 25.7% 25.1% 交通运输 22.8% 19.9% 10.7% 表 不同行业 的漏洞类型分布 四、 网络 扫描 扫描行为通常处于情报搜集阶段，使用自动化程序对未知主机进行批量检测，根据主机 返回的信息判断其运行状态。通常用于判断主机运行的服务类型、服务程序及版本，是否存 在漏洞等信息，进而有针对性执行攻击手段。 （一） 全网扫描活动监测概况 扫描事件是指在一定时间内，具有相同或相似特征的扫描行为的集合。 2018 年全年 ， 奇安信 威胁情报中心在全球范围内共监测发现扫描源 IP 1400 万个，累积监测到扫描事件 3.93 亿次。全球平均每日活跃的扫描源 IP 大约有 13.3 万个，对应的日均扫描事件约 107.6 万起。 扫描器是一类自动检测本地或远程主机安全弱点的程序，它能够发现扫描目标存在的漏 洞并 将扫描结果提供给使用者 。 其 工作原理是扫描器向目标计算机发送数据包，然后根据对 方反馈的信息来判断对方的操作系统类型、开发端口、提供的服务等敏感信息。 在互联网上， 活跃的扫描器背后往往是活跃的黑客组织和潜在 的 危险 。 对全网扫描器 及其 扫描活动 的监 测、发现与防范，是网络系统安全运维所需的 ， 重要 的 威胁情报信息。 （二） 扫描活动 扫描 的主要端口 通过对 2018 年全年 网络扫描器扫描的端口分析发现，扫描器扫描的端口主要为具备远 程控制能力的端口和存在信息泄露的端口。从具体的端口号来看，被扫描次数最多的端口 仍 是 23 端口和 2323 端口，约 47.3%的网络扫描事件会扫描 23 端口，约 28.1%的网络扫描事 件会扫描 2323 端口。 2017 年起，一个由多个子僵尸网络构成的多重僵尸网络“ MyKings”被发现并披露。该 18 僵尸网络一直积极的扫描互联网上 1433 及其他多个端口，并在渗透进入受害者主机后传播 包括 DDoS、 Proxy、 RAT、 Miner在内的多重不同用途的恶意代码。我们将其命名为 MyKings， 原因之一来自该僵尸网络的一个主控域名 *.mykings.pw。该僵尸网络扫描的端口主要包括： 1433 端口、 3306 端口、 135 端口、 22 端口、 445端口、 23 端口、 80 端口及 3389 端口等。 在 2018.1.172018.1.21 这段时间，针对 1433 端口的扫描流量有一个明显的波谷，我们 怀疑这与该团伙的基础设施变动有直接关系： 2018 年， 永恒之蓝勒索蠕虫（ WannaCry病毒） 等一系列勒索病毒仍然在全球肆虐。其 特征之一就是会扫描 445 端 口，所以，每一台感染 WannaCry 病毒电脑也会成为一个针对 445 端口的扫描器。而该病毒在 2017年的 爆发 ，使得针对 445 端口的扫描活动也异常活跃， 以至于针对 445 端口的扫描器数量在 2017 年排名进入了前十名。 2018 年， 445 端口 仍保持 扫描器扫描端口最多的前十个端口之一 。 下表给出了 2018 年网络扫描事件扫描最多的十个网络端口及其对应的常用服务、 扫描 事件覆盖率 。需要特别说明的是，扫描事件与漏洞、端口并非是一一对应的。一次网络扫描 事件可能会只针对一个网络端口或只针对一个安全漏洞，但也有可能会同时针对多个网络 端 口或多个安全漏洞。所以，在下表中，仅排名前十的网络端口号对应的扫描事件覆盖率之和 就已经大于了 100%。 端口 常用服务 扫描事件 覆盖率 23 telnet 远程登录 47.3% 2323 telnet 远程登录 28.1% 1433 MicrosoftSQLServer 服务端口 15.6% 5555 SoftEtherVPN 服务端口 12.7% 445 SMB 服务端口 8.6% 22 SSH 服务端口 2.4% 80 HTTP 服务端口 1.8% 3389 RDP 服务端口 1.3% 6379 Redis 服务端口 0.9% 3306 MySQLServer 服务端口 0.4% 表 2018 年扫描器扫描 最多的 十个端口 （三） 扫描源 IP 地域分布 统计 显示，在 奇安信 威胁 情报中心 监测到 的 所有 网络扫描活动中 ， 从扫描事件的数量 来看 ， 65.4%的网络扫描事件 是 从中国大陆发起的， 7.8%是 从 俄罗斯 发起的，而 日本、美 国和巴西 位列其后，占比分别为 4.4%、 3.5%和 3.0%。 而从 扫描器的数量 来 看， 47.0%的扫 描源 IP 位于中国 大陆境内 ； 12.1%的扫描源 IP 位于 巴西； 委内瑞拉、俄罗斯和墨西哥 分列 三到五位，比例分别为 4.9%、 3.8%和 3.0%。 相比 2017 年 ， 越来越多 的扫描源 IP 集中 在 中国 大陆 （这主要是由于我们能够看到的数据来源主要来源于中国大陆） ，同时 中国 大陆 发起的网络扫描 事件数量 也 在 增长。 19 对 IP 地址属于中国的网络扫描源 进行 进一步 的 地域分析发现， 位于 上海 的 扫描器 数量 最多，扫描源 IP 占全国总量的 3.7%；其次 是 泉州 ， 占比为 3.5%，排在 三到 五位的城市 分别 是 台州 、 香港 和 金华 ，占比分别为 2.9%、 2.9%和 2.5%。 而 如果从发起扫描事件的数量来看，在国内， IP 属于北京 的扫描 器 发起的扫描事件最 多，占 境内扫描器 发起 的 所有扫描事件的 6.6%，其次 是 杭州 ，占 6.0%， 排 在三到 五位的城 市 分别是 泰州、天津和上海 ，占比 分别为 4.7%、 4.5%和 3.8%。 20 五、 DDoS 攻击 DDoS 攻击仍然是全球最大的互联网安全威胁之一， 根据 DDosMon 网站 （ 数据显示 ， 在过去一段时间内每天检测到大约 2 万次 攻击。本章包含由 DDoS 和僵尸网络追踪系统检测到的各种 DDoS 攻击的观察结果和见解。 它代表了网络攻击趋势的独特视角，包括针对最新 DDoS 攻击统计数据和行为趋势。 （一） DDoS 攻击情况 DDoS 攻击仍然是全球最大的互联网安全威胁之一 。 2018 年 1 月 1 日至 2018 年 12 月 31 日， 奇安信 威胁 情报中心 监测 到 626.2万个 IP 在过去一年曾遭到过 1064.3 万次 DDoS攻 击 ，平均 每天 监测 到 DDoS攻击 2.9 万 次。 2018 年， 奇安信 威胁情报中心监测 显示， 针对 DDoS 攻击的端口中， 80 端口是 DDoS 攻击最常用 的端口， 占比为 39.6%，其次为 23 端口（ 31.3%）、 443 端口（ 9.6%），具体分 布情况如下图所示。 21 下表 是对上图中 DDoS 攻击 常用 端口 的 简单 介绍。 端口 常用服务 80 HTTP 服务端口 23 telnet 远程登录端口 443 HTTPS 服务端口 53 DNS 服务端口 3074 xboxgame 服务端口 表 2018 年 DDoS常用 端口介绍 2018 年， 奇安信 威胁情报中心监测 显示， DDoS 攻击 的 网站 域名中 ， 60.4%为 域名 ， 其占据了 半壁江山。 其次是 和 域名， 占比 分别为 15.0%和 14.0%。 具体分布情况如下 图所示。 22 2018 年， 奇安信 威胁 情报中心 监测 显示， DDoS 攻击 类型 中 ， amp_flood 类型 最多，占 比为 57.3%，其次为 syn_flood 和 plain_flood， 占比 分别 为 12.8%和 11.2%。具体 分布情况 如 下图所示 。 从攻击时长来看，超过 五 成的 DDoS 攻击持续时间小于 10 分钟，而持续时间在 10 分钟 至 30 分钟的攻击占比约为 16.5%， 30 分钟至 1 小时的攻击占比约为 5.3%，持续时间超过 1 小时的攻击占 13.4%。总体而言，短时、小量的攻击仍然是 DDoS 攻击的主流。下图给出了 DDoS 的攻击持续时间分布。 （二） DDoS 僵尸网络 僵尸网络 Botnet 是指采用一种或多种传播手段，将大量主机感染 bot 程序（ 僵尸程序 ） 病毒，从而在控制者和被感染 主机 之间所形成的一个可一对多控制的网络。攻击者通过各种 途径传播僵尸程序感染互联网上的大量主机，而被感染的主机将通过一个控制信道接收攻击 者的指令，组成一个僵尸网络。之所以用僵尸网络这个名 字，是为了更形象地让人们认识到 这类危害的特点：众多的计算机在不知不觉中如同中国古老传说中的僵尸群一样被人驱赶和 指 挥着，成为被人利用的一种工具。 23 DDoS 攻击主要由受控的僵尸网络发动。统计显示， gafgyt 家族 是最为活跃的 DDoS 僵 尸网络家族， 占比为 39.8%； xor 家族紧追其后占比为 20.3%；而 mirai 家族占比为 16.8%位 居第三。下面给出了 2018 年流行的僵尸网络 的 家族分布。 gafgyt 又名 Qbot，是 mirai 出现之前比较流行的一种 IoT botnet 家族，于 2014 年 8 月 第一次被发现， 2014 年末 LizardSquard（黑客组织）利用该样本发起一起 DDoS引起安全 界的小范围关注。 gafgyt 使用了一种类似 IRC的 C 2） 部署终端安全管控软件，实时对终端进行查杀和防护； 3） 对个人 PC 中比较重要的稳定资料进行随时备份，备份应离线存储； 4） 继续加强网络与信息安全意识培训教育。意外收到的或来自未知发件人的电子邮件， 不要按照文字中的说明进行操作，不要打开任何附件，也不要点击任何链接； 5） 操作系统以及安装在计算机上的所有应用程序（例如 Adobe Reader， Adobe Flash， Sun Java 等）必须始终如一地更新。 三、 某汽车公司挖矿木马事件应急响应 （一） 事件概述 2018 年 11 月， 奇安信 安服团队接到某汽车公司的挖矿木马事件应急响应请求，其内网 多台终端被挖矿木马攻击，服务器卡顿、进程缓慢，无法正常运行。 应急人员到达现场后，对内网服务器、终端进程