95015网络安全应急响应分析报告（2024）_24页_2mb

95015网络安全应急响应分析报告（2024）总结

核心内容概览

2024年，奇安信集团安服团队共接到739起网络安全应急响应事件，平均处理时间约为8小时，累计投入工时5912.6小时，折合739.1人天。报告从行业分布、事件发现方式、影响范围、事件损失、攻击者分析、攻击手段、恶意程序类型及典型案例等方面，全面分析了国内政企机构的网络安全状况。

主要观点

• 攻击目标集中：金融机构、事业单位和制造业是攻击的主要目标。
• 安全意识薄弱：内部人员违规操作引发的应急事件占比高达25%，是当前网络安全事件的主要诱因之一。
• 漏洞利用普遍：弱口令和永恒之蓝漏洞是最常见的攻击手段，分别占32.6%和14.5%。
• 应急响应滞后：多数政企机构在遭受明显入侵迹象或被勒索后才进行求助，仅有13.1%通过安全巡检提前发现问题。
• 恶意程序类型多样：勒索病毒、挖矿木马和网站木马是最常见的恶意程序类型，其中勒索病毒占比最高。
• 安全事件影响广泛：65%的事件影响业务专网，35%影响办公网，造成生产效率低下、数据丢失、泄露和篡改等损失。
• 安全建议与措施：加强安全意识培训、定期维护和漏洞修复、部署安全防护系统、优化访问控制策略、加强日常安全巡检等。

行业分布

• 金融机构：94起，占比12.7%
• 事业单位：87起，占比11.8%
• 制造业：79起，占比10.7%
• 政府部门、医疗卫生、IT信息技术：也是高发行业。

事件发现方式

• 入侵迹象后求助：52.3%
• 勒索后报案：29.8%
• 安全巡检提前发现：13.1%
• 第三方通报后启动响应：4.8%

影响范围与损失统计

• 影响业务专网：65%
• 影响办公网：35%
• 失陷服务器：4250台
• 失陷办公终端：1889台
• 损失类型：
  • 生产效率低下：287起，占比38.8%
  • 数据丢失：127起，占比17.2%
  • 数据泄露：84起，占比11.4%
  • 数据被篡改：30起，占比4.1%
  • 声誉影响：22起，占比3%
  • 其他损失：189起，占比25.6%

攻击者分析

• 攻击意图：

  • 内部违规操作：194起，占比26.3%
  • 黑产活动：193起，占比26.2%
  • 窃取重要数据：151起，占比20.5%
  • 敲诈勒索：90起，占比12.2%

• 攻击手段：

  • 漏洞利用：34%
  • 恶意程序：23.8%
  • 钓鱼邮件：7.2%
  • 网页篡改、Web应用CC攻击、网络监听攻击、拒绝服务攻击：较为常见
  • 非攻击事件：26.5%

• 恶意程序类型：

  • 勒索病毒：15.5%
  • 挖矿木马：10.8%
  • 网站木马：4.9%
  • 其他类型：APT专用木马、DDOS木马、蠕虫病毒、永恒之蓝下载器木马等

• 勒索软件类型TOP10：

  1. Phobos勒索软件：14次
  2. Mallox勒索软件：12次
  3. Makop勒索软件：11次
  4. LockBit勒索软件：8次
  5. LIVE勒索软件：3次
  6. Wannacry勒索软件：3次
  7. BeiJingCryp勒索软件：2次
  8. BlackBit勒索软件：2次
  9. DevicDate勒索软件：2次
  10. MoneyIs Time勒索软件：2次

漏洞利用分析

• 弱口令：241起，占比32.6%
• 永恒之蓝漏洞：107起，占比14.5%
• 其他漏洞：占比较低

典型案例分析

1. 某企业服务器感染LIVE勒索病毒

   • 原因：服务器对外开放、存在漏洞、弱口令使用
   • 建议：定期维护、修复漏洞、加强访问控制、提升安全意识、优化安全巡检

2. 某企业内网遭受漏洞利用攻击导致多台服务器失陷

   • 原因：存在积木报表模板注入漏洞、Jboss反序列化漏洞
   • 建议：加强安全评估、渗透测试、代码审计、优化访问控制策略、部署安全防护系统

3. 攻击者利用历史遗留后门植入暗链

   • 原因：存在历史后门、未及时清理
   • 建议：禁止服务器主动连接、定期安全巡检、部署安全加固软件、加强日志监控

4. 某企业内网感染Minerd挖矿病毒

   • 原因：弱口令、RDP暴力破解
   • 建议：加强密码策略、限制危险端口、部署防病毒软件、优化访问控制策略

5. 某单位网站页面遭篡改应急事件

   • 原因：存在未授权文件上传漏洞
   • 建议：部署网页防篡改设备、加强安全评估、代码审计、日常巡检

6. 某学院被微信钓鱼，导致终端感染银狐木马病毒

   • 原因：员工点击钓鱼文件
   • 建议：提高安全意识、部署高级威胁监测设备、加强网络外联监控、定期病毒扫描

7. 某企业被用户投诉APP模块跳转恶意网站

   • 原因：第三方库被篡改
   • 建议：自行托管第三方库、加强开发人员培训、开展安全评估、日常巡检

附录信息

• 95015网络安全服务热线：2022年1月20日开通，整合了多条400热线，实现“一号全通”，为政企机构提供7×24小时应急响应服务。
• 奇安信集团安服团队：具有丰富的应急响应经验，累计处置6000余起事件，覆盖全国31个省（自治区、直辖市）及2个特别行政区。
• 网络安全应急响应图书推荐：
  • 《应急响应-网络安全的预防、发现、处置和恢复》
  • 《网络安全应急响应技术实战指南》
  • 《红蓝攻防：构建实战化网络安全防御体系》

这些书籍为网络安全应急响应提供了理论指导、技术实战和攻防演练的全面支持。