我国DDoS攻击资源分析报告-2020年第1季度_20页_1mb

报告摘要

本报告由国家计算机网络应急技术处理协调中心（CNCERT）发布，旨在分析2020年第一季度DDoS攻击资源的分布情况，涵盖控制端、肉鸡、反射服务器以及伪造流量来源路由器等关键要素。

攻击资源分布广泛：DDoS攻击资源在全球范围内分布，其中境外攻击资源数量显著，且云平台在攻击资源中占据重要位置。
境外攻击资源主导：境外控制端占比高达94.4%，云平台控制端占比83.9%。境外肉鸡主要来自美国、越南和巴西，占比分别为19.9%、7.6%和6.2%。
境内攻击资源集中：境内控制端主要集中在江苏省、上海市和北京市，电信运营商占比最高（38.8%）。境内肉鸡主要分布在江苏省、广东省和浙江省，电信运营商占比达54.8%。
反射攻击资源显著增长：反射攻击资源在本季度中表现突出，其中NTP反射服务器数量最多，占参与反射攻击的服务器总数的41.0%。Memcached和SSDP反射服务器数量也分别达到158855台和3012804台，境内反射服务器占比分别为97.6%和83.7%。
伪造流量来源路由器存在配置缺陷：跨域伪造流量来源路由器主要位于浙江省、上海市和北京市，电信运营商占比达76.5%；本地伪造流量来源路由器主要位于浙江省和四川省，移动运营商占比最高（49.3%）。

总数量：1294个活跃控制端。
境外占比：94.4%。
云平台占比：83.9%。
境外控制端分布：美国（35.4%）、荷兰（13.8%）、德国（13.3%）。
境内控制端分布：
- 按省份：江苏省（23.6%）、上海市（20.8%）、北京市（15.3%）。
- 按运营商：电信（38.8%）、联通（32.1%）、移动（21.6%）。
境内控制端TOP20地址：主要集中在江苏省和上海市，电信和华为云、腾讯云等云服务商为常见归属。

总数量：810081个活跃肉鸡。
境内占比：91.5%。
云平台占比：2.8%。
境外肉鸡分布：美国（19.9%）、越南（7.6%）、巴西（6.2%）。
境内肉鸡分布：
- 按省份：江苏省（12.6%）、广东省（10.5%）、浙江省（9.1%）。
- 按运营商：电信（54.8%）、联通（25.9%）、移动（9.7%）。
境内肉鸡TOP20地址：主要集中在北京市，联通和阿里云、腾讯云等为常见归属。

三类反射服务器总数量：5379142台。
Memcached反射服务器：
- 总数量：158855台。
- 境内占比：97.6%。
- 境外分布：美国（22.7%）、中国香港（7.1%）、法国（6.9%）。
- 境内分布：
  - 按省份：广东省（14.7%）、湖南省（7.7%）、广西省（6.9%）。
  - 按运营商：电信（76.7%）、联通（14.4%）、移动（8.4%）。
- 境内Memcached反射服务器TOP20地址：主要集中在上海市和北京市，联通和电信为主要运营商。
NTP反射服务器：
- 总数量：2207483台。
- 境内占比：36.4%。
- 境外分布：越南（59.5%）、巴西（11.8%）、巴基斯坦（5.2%）。
- 境内分布：
  - 按省份：河北省（20.3%）、湖北省（18.3%）、河南省（10.5%）。
  - 按运营商：联通（51.3%）、电信（41.5%）、移动（7.0%）。
- 境内NTP反射服务器TOP20地址：主要集中在安徽省，移动运营商占比最高。
SSDP反射服务器：
- 总数量：3012804台。
- 境内占比：83.7%。
- 境外分布：中国台湾（16.6%）、俄罗斯（13.0%）、加拿大（5.5%）。
- 境内分布：
  - 按省份：辽宁省（20.7%）、浙江省（13.0%）、广东省（10.7%）。
  - 按运营商：联通（60.5%）、电信（38.0%）、移动（0.9%）。
- 境内SSDP反射服务器TOP20地址：主要集中在上海市，电信和联通为主要运营商。

跨域伪造流量来源路由器：
- 总数量：34个。
- 按省份：浙江省（26.5%）、上海市（23.5%）、北京市（20.6%）。
- 按运营商：电信（76.5%）、联通（11.8%）、移动（11.8%）。
- 境内跨域伪造流量来源路由器TOP20地址：主要集中在上海市和北京市，电信运营商占比最高。
本地伪造流量来源路由器：
- 总数量：71个。
- 按省份：浙江省（19.7%）、四川省（18.3%）、江苏省（15.5%）。
- 按运营商：移动（49.3%）、电信（43.7%）、联通（7.0%）。
- 境内本地伪造流量来源路由器TOP20地址：主要集中在浙江省和四川省，电信运营商占比最高。