2017_DDoS与Web应用攻击态势报告_68页_5mb

2017 DDoS 与 Web 应用攻击态势报告总结

核心内容

本报告全面分析了2017年DDoS攻击和Web应用攻击的整体态势，揭示了攻击规模、攻击类型、攻击源特征、攻击时间分布和地域分布等关键信息。同时，报告还特别关注了物联网僵尸网络的发展趋势及其对安全的威胁，并提供了相应的防护建议。

主要观点

1. DDoS 攻击趋势

• 攻击规模增大：2017年DDoS攻击总流量达到64万TBytes，相比2016年增长79.4%。
• 攻击峰值创新高：单次攻击最高峰值达到1.4Tbps，是2016年的近2倍。
• 攻击类型变化：SYN Flood攻击占比最大，达61.6%，而反射攻击（如NTP、SSDP等）占比下降。
• 攻击时间特征：攻击多集中于业务高峰期（10-22点），占全天攻击的75.7%。
• 攻击地域分布：中国是DDoS攻击源最多的国家，占全球约47.3%；中国也是受攻击最严重的国家，占60.6%。

2. Web 应用攻击态势

• 攻击广泛性：73.6%的Web站点遭受过任意类型的Web应用攻击，92.2%的攻击针对互联网企业。
• 攻击类型分布：XSS攻击占比37.7%，注入类攻击占比20.7%。
• 攻击源特征：攻击源主要来自北京和浙江，Web应用攻击多发生在业务高峰期。

3. 物联网僵尸网络趋势

• 感染方式升级：从弱口令破解发展为Oday漏洞利用。
• 感染平台扩张：具备跨平台传播能力，覆盖Windows、Linux和IoT设备。
• 隐蔽性增强：采用更隐蔽的扫描方式和沙箱技术。
• 攻击武器库升级：集成反射攻击能力，如DNS、NTP等。
• 黑产争夺加剧：物联网设备成为黑产争夺的重要资源。
• 威胁持续扩大：物联网设备数量庞大，漏洞多，修复难度大，威胁不可忽视。

关键信息

1. DDoS 攻击特征

• 攻击次数：2017年DDoS攻击次数为20.7万次，相比2016年下降5.8%。
• 攻击源类型：
  • Linux/Unix类主机或服务器占比最高（55%）。
  • IoT类设备占比12%，其中家用路由器占69.7%。
• 攻击持续时间：
  • 短时攻击（30分钟以内）占比43.9%。
  • 长时攻击（超过24小时）占比15.7%，较2016年增长5%。
• 攻击流量趋势：
  • 2017年全年攻击流量呈现先增后降趋势。
  • 下半年总流量下降27.2%，主要由于攻击资源转向挖矿活动。

2. Web 应用攻击特征

• 攻击频率：约73.6%的Web站点遭受过Web应用攻击。
• 攻击类型：
  • XSS攻击占比37.7%，是黑客最常使用的攻击方式。
  • 注入类攻击占比20.7%，在OWASP Top10中定义为A1级别。
• 攻击源分布：
  • 攻击源多集中于北京、浙江等省份。
  • 利用Web服务器漏洞的攻击占56%，其中Apache Struts2漏洞被频繁利用。

3. 物联网僵尸网络

• 感染设备：2017年全球暴露的物联网设备约6200万台，其中路由器设备最多。
• 攻击方式：
  • 利用TR-069和TR-064协议的漏洞，对路由器进行控制。
  • Mirai僵尸网络及其变种成为攻击主力，利用多种漏洞进行传播。
• 攻击能力：
  • 集成反射攻击能力，如DNS、NTP等。
  • 攻击流量可高达1.35Tbps（Memcached反射攻击）。

防护建议

1. DDoS 攻击防护

• 技术手段：采用云堤等一体化防御平台，进行攻击流量识别与清洗。
• 策略调整：加强服务器和网络设备的安全防护，尤其是Linux/Unix类设备和Web服务器。

2. Web 应用攻击防护

• 漏洞修复：及时修补Web服务器和应用框架的已知漏洞。
• 安全加固：对Web应用进行安全评估，增强输入验证和权限控制。

3. 物联网安全防护

• 漏洞管理：加强对物联网设备的漏洞扫描和修复。
• 访问控制：限制不必要的端口开放，如TR-064和TR-069。
• 安全意识：提升对物联网设备安全的关注和防护措施。

数据来源与统计

• 所有数据均来自绿盟科技威胁情报中心（NTI）和中国电信云堤。
• 数据在分析前已进行匿名化处理，避免泄露客户信息。

总结

2017年DDoS攻击和Web应用攻击对互联网安全构成重大威胁，尤其在物联网设备的参与下，攻击规模和频率显著上升。随着攻击技术的不断演变，新型反射攻击（如Memcached）对网络造成更大冲击。面对这些威胁，企业需加强安全防护体系建设，提升安全意识和响应能力。