2019年4月我国DDoS攻击资源月度分析报告_24页_1mb

报告摘要

我国DDoS攻击资源月度分析报告（2019年4月）总结

核心内容

本报告基于CNCERT监测数据，对2019年4月DDoS攻击资源进行分析，重点关注攻击资源的分布、攻击类型及地理位置，旨在为网络威胁治理提供数据支持。

主要观点

攻击资源类型：包括控制端资源、肉鸡资源、反射攻击资源和伪造流量来源路由器。
攻击资源分布：主要集中在境内省份和运营商，其中电信、联通、移动是主要的网络资源提供方。
攻击类型：反射攻击仍是主要手段，尤其是NTP、SSDP等协议被广泛利用。
境外攻击资源：美国、中国香港、俄罗斯等国家和地区是境外攻击资源的主要来源地。

关键信息

一、攻击资源定义

控制端资源：用于控制僵尸主机发起攻击的木马或僵尸网络控制端。
肉鸡资源：被控制的僵尸主机，用于发起DDoS攻击。
反射攻击资源：存在协议漏洞，可被利用进行反射攻击的服务器或主机，如DNS、NTP、SSDP等。
伪造流量来源路由器：
- 跨域伪造流量来源路由器：转发任意伪造IP的攻击流量。
- 本地伪造流量来源路由器：转发伪造本区域IP的攻击流量。

二、DDoS攻击资源分析

（一）控制端资源分析

2019年4月，共有338个控制端资源，其中43个位于境内，295个位于境外。
境内控制端主要分布于江苏省和广东省，占比分别为20.9%。
境外控制端主要位于美国，占比为54.6%。
境内控制端中，电信占比最高，为67.4%。
持续活跃的境内控制端共7个，其中北京市和广东省为主要分布区域。

（二）肉鸡资源分析

本月共有321,835个肉鸡地址参与攻击，其中上海市占比最高，为1.9%。
电信是肉鸡资源的主要提供者，占比为63.0%。
持续活跃的肉鸡资源共36,931个，其中福建省占比最大，为13.2%。
电信在持续活跃肉鸡资源中占比最高，为59.1%。

（三）反射攻击资源分析

Memcached反射服务器：
- 本月境内被利用的Memcached反射服务器共31,540台，境外为2,491台。
- 境内Memcached反射服务器主要分布于广东省，占比12.8%。
- 电信是境内Memcached反射服务器的主要提供者，占比73.0%。
- 持续活跃的境内Memcached反射服务器共2977台，其中广东省占比28.2%。
NTP反射服务器：
- 本月境内被利用的NTP反射服务器共402,770台，境外为265,801台。
- 境内NTP反射服务器主要分布于山东省，占比31.0%。
- 联通和移动是境内NTP反射服务器的主要提供者，分别占比40.8%和40.2%。
- 持续活跃的境内NTP反射服务器共152,915台，其中山东省占比36.2%。
SSDP反射服务器：
- 本月境内被利用的SSDP反射服务器共613,249台，境外为337,391台。
- 境内SSDP反射服务器主要分布于辽宁省，占比24.6%。
- 联通是境内SSDP反射服务器的主要提供者，占比61.1%。
- 持续活跃的境内SSDP反射服务器共42,595台，其中辽宁省占比22.6%。

（四）发起伪造流量的路由器分析

跨域伪造流量来源路由器：
- 本月共有77个路由器参与跨域伪造流量攻击。
- 北京市电信的路由器参与攻击事件最多。
- 持续活跃的跨域伪造流量来源路由器共46个，其中北京市占比27.8%，电信占比36.0%。
本地伪造流量来源路由器：
- 本月共有169个路由器参与本地伪造流量攻击。
- 浙江省电信的路由器参与攻击事件最多。
- 持续活跃的本地伪造流量来源路由器共107个，其中浙江省占比20.6%，电信占比57.7%。

总结

本报告揭示了2019年4月DDoS攻击资源的主要分布情况，表明美国和中国电信是攻击资源的主要来源。江苏省和广东省在境内资源中占比较高，电信、联通和移动是主要的网络资源提供方。反射攻击仍是主要攻击手段，其中NTP和SSDP协议被广泛利用，山东省和辽宁省是境内反射服务器的主要分布区域。此外，北京市电信和浙江省电信在伪造流量来源路由器中表现突出，需加强源地址验证和网络防护措施以应对潜在威胁。