春节七天假黑客在加班：DDoS攻击报告显示受害者激增近四成

时间：2021-02-22 作者：奇安信

分享到：

当大多数人享受春节长假的时候，黑客们却仍在“坚守岗位”。

2021年2月22日，奇安信旗下羲和实验室发布了春节期间DDoS攻击报告。报告显示，春节假期期间（即2021年2月11日至2021年2月17日），奇安信星迹DDoS观测系统累计观测到反射放大DDoS攻击事件65912个，涉及被攻击IP 57096个。

与春节前一周相比，DDoS攻击事件数增加约25.0%，被攻击IP数增加37%。可见，春节期间DDoS攻击呈显著增加态势。

图1 被攻击IP全球分布热力图

报告指出，反射放大攻击是一种具有巨大攻击力的DDoS攻击方式。攻击者只需要付出少量的代价，即可对需要攻击的目标产生巨大的流量，对网络带宽资源（网络层）、连接资源（传输层）和计算机资源（应用层）造成巨大的压力。

2021年春节期间，奇安信在星迹平台上观测到了反射放大DDoS攻击事件65912个，绝大部分被攻击IP分布于中国香港和美国。

根据羲和实验室司南平台统计的被攻击IP地理分布显示，被攻击IP数量排名前五的国家或地区分别是中国香港、美国、英国、中国大陆及法国。

绝大部分（约68.3%）被攻击IP分布于中国香港（被攻击IP 23731个，全球占比约41.6%）和美国（被攻击IP 15244 个，全球占比约26.7%）。中国大陆有1770个被攻击IP。

与春节前一周相比，春节假期期间中国香港被攻击IP数量激增20倍（从1154个增加至23731个），中国大陆被攻击IP数略有下降（从1981个降至1770个）。

春节假期期间，大陆被攻击IP主要分布于我国东部及南部省份，如图2所示：

图2 大陆被攻击IP分布热力图

从攻击时长统计来看，大部分反射放大DDoS攻击事件持续时间较短，75%的反射放大DDoS攻击事件持续时间为124秒以下。最长一次攻击事件持续了49.3小时。

从被攻击端口统计来看，受害者遭受反射放大DDoS攻击的服务以80端口上的Web服务为主；部分受害者的443端口、53端口及部分游戏服务器所开放端口同样遭受了攻击。被攻击端口对应攻击事件数统计如图3所示（只显示数量排名前十位的端口）。

图3 被攻击端口对应攻击事件数统计

而在攻击手段统计方面，春节假期期间，在进行反射放大DDoS攻击时，攻击者倾向于利用有漏洞的NTP和Memcached服务进行攻击。在所观测到的全部反射放大DDoS攻击事件中，不同攻击手段所对应攻击事件数如图4所示：

图4 不同攻击手段所对应攻击事件数统计

奇安信技术研究院研发的星迹系统是一个大网威胁监测系统，该系统力求在“看见攻击”的基础上“看懂攻击”：从单点的Passive DNS、Whois、蜜罐等数据走出去，聚焦僵尸网络、黑产、APT，从攻击团伙、恶意程序家族、在野漏洞切入等提供更高层次的观测维度。利用星迹系统，安全人员可以对大网DDoS事件进行实时监测，发现攻击前的“风吹草动”并记录过程中的攻击行为，实现提前预警和事后溯源。

羲和实验室是奇安信旗下专注于互联网基础协议和基础设施的安全研究、数据驱动的网络威胁检测与防御技术研究的技术团队。以该实验室成员为核心组成的战队曾获得GeekPwn2018年第二名、GeekPwn2019年第一名的成绩，多个漏洞挖掘研究成果获得微软、Google、Apple等国际知名厂商致谢。

羲和实验室研制了天罡安全基础数据平台和司南网络空间威胁导航平台，拥有国内最大规模的PassiveDNS与网络主动测量数据资源，可结合大数据分析技术驱动对大网威胁的分析、捕获以及溯源。

北京网络安全大会

天守终端安全管理系统

天守终端安全管理系统

企业动态