為全面反映2020年上半年我國(guó)互聯(lián)網(wǎng)在惡意程序傳播、漏洞風(fēng)險(xiǎn)、DDoS攻擊、網(wǎng)站安全等方面的情況，CNCERT對(duì)上半年監(jiān)測(cè)數(shù)據(jù)進(jìn)行了梳理，形成監(jiān)測(cè)數(shù)據(jù)分析報(bào)告如下。

目 錄

一、惡意程序

（一）計(jì)算機(jī)惡意程序捕獲情況

（二）計(jì)算機(jī)惡意程序用戶(hù)感染情況

（三）移動(dòng)互聯(lián)網(wǎng)惡意程序

（四）聯(lián)網(wǎng)智能設(shè)備惡意程序

二、安全漏洞

三、拒絕服務(wù)攻擊

（一）攻擊資源活躍情況

（二）境內(nèi)大流量攻擊情況

（三）主流攻擊平臺(tái)活躍情況

四、網(wǎng)站安全

（一）網(wǎng)頁(yè)仿冒

（二）網(wǎng)站后門(mén)

（三）網(wǎng)頁(yè)篡改

五、云平臺(tái)安全

六、工業(yè)控制系統(tǒng)安全

（一）工業(yè)控制系統(tǒng)互聯(lián)網(wǎng)側(cè)暴露情況

（二）工業(yè)控制系統(tǒng)互聯(lián)網(wǎng)側(cè)威脅監(jiān)測(cè)情況

（三）工業(yè)控制產(chǎn)品安全漏洞情況

一、惡意程序

（一）計(jì)算機(jī)惡意程序捕獲情況

2020年上半年，捕獲計(jì)算機(jī)惡意程序樣本數(shù)量約1,815萬(wàn)個(gè)，日均傳播次數(shù)達(dá)483萬(wàn)余次，涉及計(jì)算機(jī)惡意程序家族約1.1萬(wàn)余個(gè)。按照傳播來(lái)源統(tǒng)計(jì)，境外惡意程序主要來(lái)自美國(guó)、塞舌爾和加拿大等，境外具體分布如圖1所示；位于境內(nèi)的惡意程序主要來(lái)自浙江省、廣東省和北京市等。按照目標(biāo)IP統(tǒng)計(jì)，我國(guó)境內(nèi)受計(jì)算機(jī)惡意程序攻擊的IP地址約4,208萬(wàn)個(gè)，約占我國(guó)IP總數(shù)的12.4%，這些受攻擊的IP地址主要集中在山東省、江蘇省、廣東省、浙江省等，我國(guó)受計(jì)算機(jī)惡意程序攻擊的IP分布情況如圖2所示。

（二）計(jì)算機(jī)惡意程序用戶(hù)感染情況

我國(guó)境內(nèi)感染計(jì)算機(jī)惡意程序的主機(jī)數(shù)量約304萬(wàn)臺(tái)，同比增長(zhǎng)25.7%。位于境外的約2.5萬(wàn)個(gè)計(jì)算機(jī)惡意程序控制服務(wù)器控制我國(guó)境內(nèi)約303萬(wàn)臺(tái)主機(jī)。就控制服務(wù)器所屬?lài)?guó)家或地區(qū)來(lái)看，位于美國(guó)、中國(guó)香港地區(qū)和荷蘭的控制服務(wù)器數(shù)量分列前三位，分別是約8,216個(gè)、1,478個(gè)和1,064個(gè)，具體分布如圖3所示；就所控制我國(guó)境內(nèi)主機(jī)數(shù)量來(lái)看，位于美國(guó)、荷蘭和德國(guó)的控制服務(wù)器控制規(guī)模分列前三位，分別控制我國(guó)境內(nèi)約252萬(wàn)、127萬(wàn)和117萬(wàn)臺(tái)主機(jī)，如圖4所示。此外，根據(jù)抽樣監(jiān)測(cè)數(shù)據(jù)發(fā)現(xiàn)，針對(duì)IPv6網(wǎng)絡(luò)的攻擊情況也開(kāi)始出現(xiàn)，境外累計(jì)約1,200個(gè)IPv6地址的計(jì)算機(jī)惡意程序控制服務(wù)器控制了我國(guó)境內(nèi)累計(jì)約1.5萬(wàn)臺(tái)IPv6地址主機(jī)。

從我國(guó)境內(nèi)感染計(jì)算機(jī)惡意程序主機(jī)數(shù)量地區(qū)分布來(lái)看，主要分布在江蘇省（占我國(guó)境內(nèi)感染數(shù)量的15.3%）、浙江?。ㄕ?1.9%）、廣東省（占11.6%）等，具體分布如圖5所示。在因感染計(jì)算機(jī)惡意程序而形成的僵尸網(wǎng)絡(luò)中，規(guī)模在100臺(tái)主機(jī)以上的僵尸網(wǎng)絡(luò)數(shù)量4,696個(gè)，規(guī)模在10萬(wàn)臺(tái)以上的僵尸網(wǎng)絡(luò)數(shù)量16個(gè)，如圖6所示。相關(guān)機(jī)構(gòu)處置了45個(gè)控制規(guī)模較大的僵尸網(wǎng)絡(luò)，有效控制計(jì)算機(jī)惡意程序感染主機(jī)引發(fā)的危害。

（三）移動(dòng)互聯(lián)網(wǎng)惡意程序

通過(guò)自主捕獲和廠商交換發(fā)現(xiàn)新增移動(dòng)互聯(lián)網(wǎng)惡意程序163萬(wàn)余個(gè)，同比增長(zhǎng)58.3%。通過(guò)對(duì)惡意程序的惡意行為統(tǒng)計(jì)發(fā)現(xiàn)，排名前三的仍然是流氓行為類(lèi)、資費(fèi)消耗類(lèi)和信息竊取類(lèi)，占比分別為36.5%、29.2%和15.1%。為有效防范移動(dòng)互聯(lián)網(wǎng)惡意程序的危害，嚴(yán)格控制移動(dòng)互聯(lián)網(wǎng)惡意程序傳播途徑，國(guó)內(nèi)125家提供移動(dòng)應(yīng)用程序下載服務(wù)的平臺(tái)下架812個(gè)移動(dòng)互聯(lián)網(wǎng)惡意程序，有效防范移動(dòng)互聯(lián)網(wǎng)惡意程序危害，嚴(yán)格控制移動(dòng)互聯(lián)網(wǎng)惡意程序傳播途徑。

近年來(lái)，我國(guó)逐步加大對(duì)應(yīng)用商店、應(yīng)用程序的安全管理力度，要求應(yīng)用商店對(duì)上架App的開(kāi)發(fā)者進(jìn)行實(shí)名審核，對(duì)App進(jìn)行安全檢測(cè)和內(nèi)容版權(quán)審核等，使得互聯(lián)網(wǎng)黑產(chǎn)應(yīng)用商店傳播惡意App的難度明顯增加。但同時(shí)，能夠逃避監(jiān)管并實(shí)現(xiàn)不良目的的“擦邊球”式灰色應(yīng)用卻有所增長(zhǎng)，例如：具有釣魚(yú)目的、欺詐行為的仿冒App成為黑產(chǎn)的重要工具，持續(xù)對(duì)金融、交通、電信等重要行業(yè)的用戶(hù)形成較大威脅。2020年上半年，通過(guò)自主監(jiān)測(cè)和投訴舉報(bào)方式發(fā)現(xiàn)新出現(xiàn)的仿冒App下載鏈接180個(gè)。這些仿冒App具有容易復(fù)制、版本更新頻繁、蹭熱點(diǎn)快速傳播等特點(diǎn)，主要集中在仿冒公檢法、銀行、社交軟件、支付軟件、搶票軟件等熱門(mén)應(yīng)用上，仿冒方式以仿冒名稱(chēng)、圖標(biāo)、頁(yè)面等內(nèi)容為主，具有很強(qiáng)的欺騙性。目前，由于開(kāi)發(fā)者在應(yīng)用商店申請(qǐng)App上架前，需提交軟件著作權(quán)等證明材料，因此仿冒App很難在應(yīng)用商店上架，其流通渠道主要集中在網(wǎng)盤(pán)、云盤(pán)、廣告平臺(tái)等其他線上傳播渠道。

（四）聯(lián)網(wǎng)智能設(shè)備惡意程序

目前活躍在智能設(shè)備上的惡意程序家族超過(guò)15種，包括Mirai、Gafgyt、Dofloo、Tsunami、Hajime、MrBlack、Mozi、PinkPot等。這些惡意程序一般通過(guò)漏洞、暴力破解等途徑入侵和控制智能設(shè)備。遭入侵控制后，聯(lián)網(wǎng)智能設(shè)備存在用戶(hù)信息和設(shè)備數(shù)據(jù)被竊、硬件設(shè)備遭控制和破壞、設(shè)備被用作跳板對(duì)內(nèi)攻擊內(nèi)網(wǎng)其他主機(jī)或?qū)ν獍l(fā)動(dòng)DDoS攻擊等安全威脅和風(fēng)險(xiǎn)。

上半年，發(fā)現(xiàn)智能設(shè)備惡意程序樣本約126萬(wàn)余個(gè)，其中大部分屬于Mirai家族和Gafgyt家族，占比超過(guò)96.0%。服務(wù)端傳播源IP地址5萬(wàn)余個(gè)，我國(guó)境內(nèi)疑似受感染智能設(shè)備IP地址數(shù)量約92萬(wàn)個(gè)，與2019上半年相比基本持平，主要位于浙江省、江蘇省、安徽省、山東省、遼寧省等地。被控聯(lián)網(wǎng)智能設(shè)備日均向1千余個(gè)目標(biāo)發(fā)起DDoS攻擊，與2019年上半年相比也基本持平。

二、安全漏洞

國(guó)家信息安全漏洞共享平臺(tái)（CNVD）收錄通用型安全漏洞11,073個(gè)，同比大幅增長(zhǎng)89.0%。其中，高危漏洞收錄數(shù)量為4,280個(gè)（占38.7%），同比大幅增長(zhǎng)108.3%，“零日”漏洞收錄數(shù)量為4,582個(gè)（占41.4%），同比大幅增長(zhǎng)80.7%。安全漏洞主要涵蓋的廠商或平臺(tái)為谷歌（Google）、WordPress、甲骨文（Oracle）等。按影響對(duì)象分類(lèi)統(tǒng)計(jì)，排名前三的是應(yīng)用程序漏洞（占48.5%）、Web應(yīng)用漏洞（占26.5%）、操作系統(tǒng)漏洞（占10.0%），如圖7所示。2020年上半年，CNVD處置涉及政府機(jī)構(gòu)、重要信息系統(tǒng)等網(wǎng)絡(luò)安全漏洞事件近1.5萬(wàn)起。

三、拒絕服務(wù)攻擊

因攻擊成本低、攻擊效果明顯等特點(diǎn)，DDoS攻擊仍然是互聯(lián)網(wǎng)用戶(hù)面臨的最常見(jiàn)、影響較大的網(wǎng)絡(luò)安全威脅之一。抽樣監(jiān)測(cè)發(fā)現(xiàn)，我國(guó)每日峰值流量超過(guò)10Gbps的大流量DDoS攻擊事件數(shù)量與2019年基本持平，約220起。

（一）攻擊資源活躍情況

經(jīng)過(guò)持續(xù)監(jiān)測(cè)分析與處置，可被利用的DDoS攻擊資源穩(wěn)定性降低，可利用活躍資源數(shù)量被控制在較低水平。累計(jì)監(jiān)測(cè)發(fā)現(xiàn)用于發(fā)起DDoS攻擊的活躍C&C控制服務(wù)器2,379臺(tái)，其中位于境外的占比95.5%，主要來(lái)自美國(guó)、荷蘭、德國(guó)等；活躍的受控主機(jī)約122萬(wàn)臺(tái)，其中來(lái)自境內(nèi)的占比90.3%，主要來(lái)自江蘇省、廣東省、浙江省、山東省、安徽省等；反射攻擊服務(wù)器約801萬(wàn)臺(tái)，其中來(lái)自境內(nèi)的占比67.4%，主要來(lái)自遼寧省、浙江省、廣東省、吉林省、黑龍江省等。

（二）境內(nèi)大流量攻擊情況

在監(jiān)測(cè)發(fā)現(xiàn)境內(nèi)峰值流量超過(guò)10Gbps的大流量攻擊事件中，主要攻擊方式仍然是TCP SYN Flood、NTP Amplification、SSDP Amplification、DNS Amplification和UDP Flood，以上五種攻擊占比達(dá)到82.9%。為躲避溯源，攻擊者傾向于使用這些便于隱藏攻擊源的攻擊方式，并會(huì)根據(jù)攻擊目標(biāo)防護(hù)情況靈活組合攻擊流量，混合型攻擊方式占比為16.4%。此外，隨著近年來(lái)“DDoS即服務(wù)”黑產(chǎn)模式猖獗，攻擊者傾向于使用大流量攻擊將攻擊目標(biāo)網(wǎng)絡(luò)瞬間癱瘓，DDoS攻擊時(shí)長(zhǎng)小于半小時(shí)的攻擊占比達(dá)81.5%，攻擊目標(biāo)主要位于浙江省、江蘇省、福建省、山東省、廣東省、北京市等，占比高達(dá)81.1%。

（三）主流攻擊平臺(tái)活躍情況

通過(guò)持續(xù)監(jiān)測(cè)和跟蹤DDoS攻擊平臺(tái)活躍情況發(fā)現(xiàn)，網(wǎng)頁(yè)DDoS攻擊平臺(tái)以及利用Gafgyt、Mirai、Xor、BillGates、Mayday等僵尸網(wǎng)絡(luò)家族發(fā)起攻擊仍持續(xù)活躍，發(fā)起DDoS攻擊事件較多。作為“DDoS即服務(wù)”黑產(chǎn)模式之一的網(wǎng)頁(yè)DDoS攻擊平臺(tái)，因其直接面向用戶(hù)提供服務(wù)，可由用戶(hù)按需自主發(fā)起攻擊，極大降低了發(fā)起DDoS攻擊難度，導(dǎo)致DDoS攻擊進(jìn)一步泛濫。監(jiān)測(cè)發(fā)現(xiàn)，由網(wǎng)頁(yè)DDoS攻擊平臺(tái)發(fā)起的DDoS攻擊事件數(shù)量最多，同比2019年上半年增加32.2%。當(dāng)前互聯(lián)網(wǎng)上大量活躍的缺乏安全防護(hù)的物聯(lián)網(wǎng)設(shè)備，為DDoS攻擊平臺(tái)猖獗發(fā)展提供了大量被控資源，導(dǎo)致DDoS攻擊事件一直高居不下。Gafgyt和Mirai惡意程序新變種不斷出現(xiàn)，使得利用其形成的僵尸網(wǎng)絡(luò)控制端和攻擊事件數(shù)量維持在較高水平，而Xor惡意程序家族有明顯特征顯示其在對(duì)外提供“DDoS即服務(wù)”黑產(chǎn)業(yè)務(wù)，表現(xiàn)出以少量控制端維持較高攻擊頻度。

四、網(wǎng)站安全

（一）網(wǎng)頁(yè)仿冒

監(jiān)測(cè)發(fā)現(xiàn)針對(duì)我國(guó)境內(nèi)網(wǎng)站仿冒頁(yè)面約1.9萬(wàn)個(gè)。CNCERT重點(diǎn)針對(duì)金融行業(yè)、電信行業(yè)網(wǎng)上營(yíng)業(yè)廳等6,226個(gè)仿冒頁(yè)面進(jìn)行處置，同比減少48.1%。在已協(xié)調(diào)處置的仿冒頁(yè)面中，承載仿冒頁(yè)面IP地址歸屬地居首位仍然是中國(guó)香港地區(qū)，占比達(dá)74.0%。

同時(shí)，互聯(lián)網(wǎng)上關(guān)于“ETC在線認(rèn)證”網(wǎng)站的仿冒頁(yè)面數(shù)量呈井噴式增長(zhǎng)。進(jìn)入5月后，在針對(duì)我國(guó)境內(nèi)網(wǎng)站的仿冒頁(yè)面中，涉及“ETC在線認(rèn)證”相關(guān)的網(wǎng)頁(yè)仿冒數(shù)量占比高達(dá)61.2%，此類(lèi)釣魚(yú)網(wǎng)站的主要承載IP地址仍然位于境外。仿冒形式主要包括“ETC信息認(rèn)證”“ETC在線辦理認(rèn)證”“ETC在線認(rèn)證中心”等不同頁(yè)面主題，詐騙分子誘騙用戶(hù)提交真實(shí)姓名、銀行卡賬號(hào)、身份證號(hào)、銀行預(yù)留手機(jī)號(hào)、取款密碼等個(gè)人隱私信息。

（二）網(wǎng)站后門(mén)

境內(nèi)外約1.8萬(wàn)個(gè)IP地址對(duì)我國(guó)境內(nèi)約3.59萬(wàn)個(gè)網(wǎng)站植入后門(mén)，我國(guó)境內(nèi)被植入后門(mén)的網(wǎng)站數(shù)量較2019年上半年增長(zhǎng)36.9%。其中，約有1.8萬(wàn)個(gè)境外IP地址（占全部IP地址總數(shù)的99.3%）對(duì)境內(nèi)約3.57萬(wàn)個(gè)網(wǎng)站植入后門(mén)，位于美國(guó)的IP地址最多，占境外IP地址總數(shù)的19.0%，其次是位于菲律賓和中國(guó)香港地區(qū)的IP地址，如圖8所示。從控制我國(guó)境內(nèi)網(wǎng)站總數(shù)來(lái)看，位于菲律賓的IP地址控制我國(guó)境內(nèi)網(wǎng)站數(shù)量最多，約為1.36萬(wàn)個(gè)，其次是位于中國(guó)香港地區(qū)和美國(guó)的IP地址，分別控制我國(guó)境內(nèi)7,300個(gè)和6,020個(gè)網(wǎng)站。此外，隨著我國(guó)IPv6規(guī)模部署工作加速推進(jìn)，支持IPv6的網(wǎng)站范圍不斷擴(kuò)大。此外，攻擊源、攻擊目標(biāo)為IPv6地址的網(wǎng)站后門(mén)事件592起，共涉及攻擊源IPv6地址累計(jì)35個(gè)、被攻擊IPv6地址解析網(wǎng)站域名累計(jì)72個(gè)。

（三）網(wǎng)頁(yè)篡改

我國(guó)境內(nèi)遭篡改的網(wǎng)站有約7.4萬(wàn)個(gè)，其中被篡改的政府網(wǎng)站有318個(gè)。從境內(nèi)被篡改網(wǎng)頁(yè)的頂級(jí)域名分布來(lái)看，占比分列前三位的仍然是“.com”“.net”和“.org”，分別占總數(shù)的74.1%、5.1%和1.7%，如圖9所示。

五、云平臺(tái)安全

我國(guó)云平臺(tái)上網(wǎng)絡(luò)安全威脅形勢(shì)依然較為嚴(yán)峻。首先，發(fā)生在我國(guó)主流云平臺(tái)上的各類(lèi)網(wǎng)絡(luò)安全事件數(shù)量占比仍然較高。其中云平臺(tái)上遭受DDoS攻擊次數(shù)占境內(nèi)目標(biāo)被攻擊次數(shù)的76.1%、被植入后門(mén)鏈接數(shù)量占境內(nèi)全部被植入后門(mén)鏈接數(shù)量的90.3%、被篡改網(wǎng)頁(yè)數(shù)量占境內(nèi)被篡改網(wǎng)頁(yè)數(shù)量的93.2%。其次，攻擊者經(jīng)常利用我國(guó)云平臺(tái)發(fā)起網(wǎng)絡(luò)攻擊。其中云平臺(tái)作為控制端發(fā)起DDoS攻擊次數(shù)占境內(nèi)控制發(fā)起DDoS攻擊次數(shù)的79.0%，作為木馬和僵尸網(wǎng)絡(luò)惡意程序控制的被控端IP地址數(shù)量占境內(nèi)全部被控端IP地址數(shù)量的96.3%，承載的惡意程序種類(lèi)數(shù)量占境內(nèi)互聯(lián)網(wǎng)上承載的惡意程序種類(lèi)數(shù)量的79.0%。

六、工業(yè)控制系統(tǒng)安全

（一）工業(yè)控制系統(tǒng)互聯(lián)網(wǎng)側(cè)暴露情況

監(jiān)測(cè)發(fā)現(xiàn)暴露在互聯(lián)網(wǎng)上的工業(yè)設(shè)備達(dá)4,630臺(tái)，涉及國(guó)內(nèi)外35家廠商的可編程邏輯控制器、智能樓宇、數(shù)據(jù)采集等47種設(shè)備類(lèi)型，具體類(lèi)型分布如圖10所示。其中存在高危漏洞隱患的設(shè)備占比約41%。監(jiān)測(cè)發(fā)現(xiàn)電力、石油天然氣、城市軌道交通等重點(diǎn)行業(yè)暴露的聯(lián)網(wǎng)監(jiān)控管理系統(tǒng)480套，其中電力262套、石油天然氣118套、城市軌道交通100套，涉及的類(lèi)型包括政府監(jiān)管平臺(tái)、遠(yuǎn)程監(jiān)控、資產(chǎn)管理、工程安全、數(shù)據(jù)檢測(cè)系統(tǒng)、管網(wǎng)調(diào)度系統(tǒng)、OA系統(tǒng)、云平臺(tái)等，具體平臺(tái)類(lèi)型分布如圖11所示。其中存在信息泄露、跨站請(qǐng)求偽造、輸入驗(yàn)證不當(dāng)?shù)雀呶Ｂ┒措[患的系統(tǒng)占比約11.1%。暴露在互聯(lián)網(wǎng)的工業(yè)控制系統(tǒng)一旦被攻擊，將嚴(yán)重威脅生產(chǎn)系統(tǒng)的安全。

（二）工業(yè)控制系統(tǒng)互聯(lián)網(wǎng)側(cè)威脅監(jiān)測(cè)情況

境內(nèi)工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)資產(chǎn)持續(xù)遭受來(lái)自境外的掃描嗅探，日均超過(guò)2萬(wàn)次。經(jīng)分析，嗅探行為源自于美國(guó)、英國(guó)、德國(guó)等境外90個(gè)國(guó)家，目標(biāo)涉及境內(nèi)能源、制造、通信等重點(diǎn)行業(yè)的聯(lián)網(wǎng)工業(yè)控制設(shè)備和系統(tǒng)。大量關(guān)鍵信息基礎(chǔ)設(shè)施及其聯(lián)網(wǎng)控制系統(tǒng)的網(wǎng)絡(luò)資產(chǎn)信息被境外嗅探，給我國(guó)網(wǎng)絡(luò)空間安全帶來(lái)隱患。

我國(guó)根云、航天云網(wǎng)、OneNET、COSMOPlat、奧普云、機(jī)智云等大型工業(yè)云平臺(tái)持續(xù)遭受來(lái)自境外的網(wǎng)絡(luò)攻擊，平均攻擊次數(shù)114次/日，同比上升27%，攻擊類(lèi)型如圖12所示，涉及遠(yuǎn)程代碼執(zhí)行、拒絕服務(wù)、Web漏洞利用等，工業(yè)云平臺(tái)承載著大量接入設(shè)備、業(yè)務(wù)系統(tǒng)，以及企業(yè)、個(gè)人信息和重要數(shù)據(jù)，使其成為網(wǎng)絡(luò)攻擊的重點(diǎn)目標(biāo)。

（三）工業(yè)控制產(chǎn)品安全漏洞情況

CNVD、CVE、NVD及CNNVD四大漏洞平臺(tái)新增收錄工業(yè)控制系統(tǒng)產(chǎn)品漏洞共計(jì)323個(gè)，其中高中危漏洞占比達(dá)94.7%。如圖13和圖14所示，漏洞影響的產(chǎn)品廣泛應(yīng)用于制造業(yè)、能源、水處理、信息技術(shù)、化工、交通運(yùn)輸、商業(yè)設(shè)施、農(nóng)業(yè)、水利工程、政府機(jī)關(guān)等關(guān)鍵信息基礎(chǔ)設(shè)施行業(yè)，漏洞涉及的產(chǎn)品供應(yīng)商主要包括ABB、萬(wàn)可、西門(mén)子、研華、施耐德、摩莎、三菱、海為、亞控、永宏等。