360-2018年网络安全应急响应分析报告-2019.1-28页_1mb

2018年网络安全应急响应分析报告总结

核心内容

2018年，我国网络安全形势持续严峻，政府、金融、医疗、教育等关键行业成为黑客攻击的主要目标。360安服团队全年共处理了717起网络安全应急响应事件，覆盖全国26个省市和近30个行业，其中政府机构、医疗机构、公检法单位占比最高，合计占25%。这表明，这些行业在安全事件发生后更倾向于主动发现并请求安全服务。

主要观点

• 网络安全应急响应的重要性：网络安全应急响应是安全防护的最后一道防线，应成为政府机构和大中型企业日常管理的重要组成部分。
• 攻击手段多样化：攻击者使用勒索病毒、挖矿木马、DDoS攻击、CC攻击、网页篡改、非法子页面、黑产活动等手段，给系统带来严重影响。
• 安全意识与技术短板：政企机构普遍存在安全意识不足和安全技术防护能力薄弱的问题，导致攻击事件频繁发生，且多数事件是机构自行发现的，说明其安全监测能力仍有待提升。
• 安全服务运营理念：网络安全应急服务应基于数据驱动和安全能力服务化理念，结合云端大数据与专家诊断，为客户提供全方位的安全保障服务。
• 行业合作与协同防御：面对勒索病毒等影响广泛的网络安全事件，需要政府机构、安全厂商和企业加强合作，甚至跨国协作，共同应对。

关键信息

攻击事件发现情况

• 92% 的安全事件是由政企机构自行发现的。
• 8% 的事件是通过监管机构或媒体通报才被发现，说明部分单位缺乏主动发现能力。

安全事件影响范围

• 外部网站和内部网站：25.3%
• 内部服务器和数据库：18.7%
• 办公终端：17.5%
• 业务专网：6.3%

攻击意图与现象

• 主要攻击意图：黑产活动（如挖矿、勒索）、敲诈勒索、恶意竞争。
• 主要攻击现象：
  • 生产效率低下：20%
  • 数据丢失：13%
  • 破坏性攻击：10%
  • 系统不可用：7%
  • 声誉影响：5%

事件类型分布

• 服务器病毒告警：48%
• 网页被篡改：8%
• 勒索病毒：14%
• 运行异常/异常外联：8%
• 邮箱异常：未明确，但有垃圾邮件和DDoS攻击等现象。

安全防护建议

网站安全

1. 建立完善的监测预警机制。
2. 加强访问控制策略，采用白名单机制。
3. 配置应用日志并进行异地备份。
4. 安装防病毒软件，部署入侵防御系统。
5. 定期进行安全评估、渗透测试和代码审计。
6. 建立日常安全巡检制度。
7. 开启HTTPS协议，防止数据窃听。

终端安全

1. 定期更新系统及应用补丁。
2. 使用统一的防病毒软件并及时更新。
3. 部署全流量监测设备，加强溯源能力。
4. 加强员工安全意识培训，避免点击不明链接或打开附件。
5. 加强密码管理，避免使用弱口令和重复密码。

服务器安全

1. 及时清除webshell、木马等恶意程序。
2. 重新安装系统并部署应用，确保彻底清理。
3. 禁止服务器主动发起外部连接，使用白名单机制。
4. 关闭危险端口，限制远程访问。
5. 部署安全加固软件，提高系统安全基线。
6. 定期更新补丁，防止漏洞被利用。
7. 加强日志存储与分析，提升溯源能力。

邮箱安全

1. 使用高复杂强度的密码，开启双因子验证。
2. 部署安全邮件网关，加强邮件系统防护。
3. 开启HTTPS协议，防止数据窃听。
4. 定期进行安全检查与监测，及时阻断攻击行为。

典型案例分析

• 某医院服务器勒索软件事件：感染“永恒之蓝”勒索病毒，导致文件加密。建议加强安全评估、密码管理与访问控制。
• 某电网公司终端勒索软件事件：通过恶意邮件感染终端。建议部署终端安全管控软件、加强补丁更新。
• 某汽车公司挖矿木马事件：通过弱口令爆破获取服务器权限，植入挖矿木马。建议关闭危险端口、加强密码管理、提升安全意识。
• 某部委CC事件：通过大量请求导致动态页面访问缓慢。建议部署验证码、拦截频繁请求、加强日志记录。
• 某证券公司DDoS事件：攻击流量达1G，持续1小时。建议部署云安全防护产品，加强DDoS防御。
• 某集团网站挂马事件：网页被植入恶意JS脚本，存在SQL注入漏洞。建议加强系统补丁更新、避免打开不明链接。
• 某大学网站非法页面事件：网站被植入黑链，进行黑帽SEO。建议加强后台权限管理、更新系统补丁、部署安全加固。
• 某部委蠕虫病毒事件：通过弱口令爆破和漏洞利用传播蠕虫病毒。建议加强系统更新、部署安全加固和全流量监测。
• 某高级人民法院APT攻击事件：遭受APT组织攻击，植入后门程序。建议加强日志管理、部署安全加固、提升网络边界控制能力。

总结

2018年网络安全形势严峻，勒索病毒、挖矿木马、DDoS攻击等事件频发，反映出政企机构在安全意识和技术防护方面仍存在明显短板。360安服团队通过提供全生命周期的应急响应服务，帮助客户及时发现并处理安全事件，同时建议加强安全意识培训、系统加固、补丁管理、访问控制和日志分析，以构建更全面的网络安全防护体系。