国家互联网应急中心-我国DDoS攻击资源分析报告-2021年第4季度-22页_999kb

我国DDoS攻击资源分析报告（2021年第4季度）总结

一、引言

本报告基于国家计算机网络应急技术处理协调中心（CNCERT）监测的DDoS攻击事件数据，对攻击资源的分布情况进行分析，旨在揭示DDoS攻击的来源与特征，为互联网安全治理提供参考。

攻击资源定义

1. 控制端资源：用于控制僵尸主机发起DDoS攻击的僵尸网络控制端。
2. 肉鸡资源：被控制端利用，向攻击目标发起DDoS攻击的僵尸主机节点。
3. 反射服务器资源：能够被黑客利用发起反射攻击的服务器，如SSDP、NTP、Memcached等，因其协议漏洞和放大效应易被滥用。
4. 跨域伪造流量来源路由器：转发伪造IP攻击流量的路由器，可能因源地址验证配置缺陷被利用。
5. 本地伪造流量来源路由器：转发伪造本区域IP攻击流量的路由器，表明其网络中存在攻击设备。

二、DDoS攻击资源分析

（一）控制端资源分析

• 总数：2021年第4季度共监测到549个活跃控制端。
• 分布情况：
  • 境外控制端：占比95.1%，主要来自美国（41.6%）、荷兰（10.3%）、德国（9.0%）。
  • 境内控制端：27个，主要分布于北京市（25.9%）、山东省（14.8%）、福建省（7.4%）。
  • 运营商分布：电信（25.9%）、联通（22.2%）、其他（51.9%）。
  • 云平台分布：腾讯云（32%）、阿里云（18.2%）、亿速云（4.5%）、其他（45.5%）。
• TOP10境内控制端地址：位于北京市的地址最多，具体如下：
  • 117.X.X.158（福建，电信）
  • 139.X.X.17（重庆，腾讯云）
  • 111.X.X.28（北京，联通）
  • 42.X.X.80（四川，腾讯云）
  • 150.X.X.235（上海，腾讯云）
  • 120.X.X.125（广东，阿里云）
  • 101.X.X.65（北京，腾讯云）
  • 42.X.X.139（广东，腾讯云）
  • 113.X.X.85（湖南，联通）
  • 61.X.X.12（湖北，电信）

（二）肉鸡资源分析

• 总数：共监测到666,515个参与攻击的肉鸡。
• 分布情况：
  • 境外肉鸡：占比2.9%，主要来自日本（18.2%）、美国（12.5%）、越南（6.3%）。
  • 境内肉鸡：占比95.1%，主要分布于山东省（14.3%）、浙江省（10.7%）、重庆市（8.4%）。
  • 运营商分布：联通（49.2%）、电信（44.6%）、移动（4.0%）、其他（2.3%）。
  • 云平台分布：阿里云（38.3%）、腾讯云（25.7%）、华为云（3.7%）、百度云（2.6%）、其他（29.7%）。
• TOP20境内肉鸡地址：位于广东省的地址最多，具体如下：
  • 139.X.X.6（上海，阿里云）
  • 123.X.X.121（北京，联通）
  • 106.X.X.14（广东，百度云）
  • 183.X.X.182（广东，电信）
  • 106.X.X.32（广东，百度云）
  • 124.X.X.117（北京，联通）
  • 202.X.X.178（吉林，联通）
  • 124.X.X.94（山西，联通）
  • 110.X.X.18（青海，电信）
  • 121.X.X.90（山西，联通）
  • 60.X.X.210（黑龙江，联通）
  • 183.X.X.106（云南，移动）
  • 114.X.X.248（江苏，电信）
  • 223.X.X.220（安徽，电信）
  • 114.X.X.195（安徽，电信）
  • 36.X.X.192（安徽，电信）
  • 117.X.X.19（安徽，电信）
  • 58.X.X.70（山东，电信）
  • 117.X.X.85（湖南，联通）
  • 122.X.X.132（浙江，电信）

（三）反射攻击资源分析

• 总数：共监测到1,318,074台反射服务器参与反射攻击。
• 分布情况：
  • SSDP反射服务器：占比77.4%，境内占比96.8%，云平台占比0.1%。
  • NTP反射服务器：占比18.8%，境内占比40.2%，云平台占比4.8%。
  • Memcached反射服务器：占比3.8%，境内占比96.4%，云平台占比2.9%。
• SSDP反射服务器TOP20地址：位于吉林省的地址最多。
• NTP反射服务器TOP20地址：位于安徽省的地址最多。
• Memcached反射服务器TOP20地址：位于北京市和广东省的地址最多。

（四）转发伪造流量的路由器分析

（1）跨域伪造流量来源路由器

• 总数：19个。
• 分布情况：
  • 省份分布：北京市（47.4%）、陕西省（21.1%）、甘肃省（10.5%）。
  • 运营商分布：电信（63.2%）、联通（21.1%）、移动（15.8%）。
• TOP20跨域伪造流量来源路由器地址：位于北京市的地址最多，具体如下：
  • 111.X.X.12（吉林，移动）
  • 219.X.X.45（北京，电信）
  • 219.X.X.30（北京，电信）
  • 61.X.X.255（江苏，电信）
  • 219.X.X.144（北京，电信）
  • 220.X.X.63（北京，电信）
  • 220.X.X.61（北京，电信）
  • 219.X.X.70（北京，电信）
  • 202.X.X.232（甘肃，电信）
  • 202.X.X.233（甘肃，电信）
  • 220.X.X.253（北京，电信）
  • 220.X.X.243（北京，电信）
  • 111.X.X.255（陕西，移动）
  • 111.X.X.254（陕西，移动）
  • 113.X.X.1（陕西，联通）
  • 113.X.X.2（陕西，联通）
  • 180.X.X.1（北京，电信）
  • 111.X.X.12（吉林，移动）
  • 220.X.X.21（湖南，联通）
  • 220.X.X.23（湖南，联通）

（2）本地伪造流量来源路由器

• 总数：449个。
• 分布情况：
  • 省份分布：湖南省（10.7%）、河南省（9.8%）、江苏省（9.8%）。
  • 运营商分布：电信（69.3%）、联通（17.8%）、移动（12.9%）。
• TOP20本地伪造流量来源路由器地址：位于北京市的地址最多，具体如下：
  • 124.X.X.250（上海，电信）
  • 124.X.X.1（上海，电信）
  • 219.X.X.45（北京，电信）
  • 116.X.X.1（湖北，电信）
  • 111.X.X.12（吉林，移动）
  • 116.X.X.2（湖北，电信）
  • 219.X.X.144（北京，电信）
  • 219.X.X.70（北京，电信）
  • 222.X.X.127（江苏，电信）
  • 219.X.X.62（辽宁，电信）
  • 222.X.X.2（江苏，电信）
  • 219.X.X.61（辽宁，电信）
  • 124.X.X.201（上海，电信）
  • 116.X.X.1（湖北，电信）
  • 220.X.X.243（北京，电信）
  • 220.X.X.253（北京，电信）
  • 219.X.X.30（北京，电信）
  • 61.X.X.196（北京，联通）
  • 219.X.X.1（山西，电信）
  • 219.X.X.2（山西，电信）