我国DDoS攻击资源分析报告-2020年第3季度_20页_1mb

报告摘要

我国DDoS攻击资源分析报告（2020年第3季度）总结

一、引言

本报告基于国家计算机网络应急技术处理协调中心（CNCERT/CC）对2020年第3季度DDoS攻击事件的监测数据，分析了DDoS攻击所使用的网络资源，包括控制端、肉鸡、反射服务器及伪造流量来源路由器等。报告重点研究了攻击资源的地理分布与运营商归属情况，以帮助理解DDoS攻击的来源与趋势。

二、DDoS攻击资源分析

（一）控制端资源分析

总数：2020年第3季度监测到1194个活跃控制端。
境外控制端占比：96.3%，其中美国、德国和荷兰分别为前三。
境内控制端占比：3.7%，按省份统计，上海市、江苏省和北京市分别为前三；按运营商统计，BGP多线占比最高（61.4%），其次是电信（25.0%）和联通（11.4%）。
TOP20境内控制端地址：上海市的地址最多，如119.X.X.153、122.X.X.62等。

（二）肉鸡资源分析

总数：参与真实地址攻击的肉鸡799824个。
境内肉鸡占比：92.3%，云平台肉鸡占比2.9%。
境外肉鸡分布：越南、美国和印度分别为前三。
境内肉鸡分布：江苏省、安徽省和广东省为前三；电信占比最大（60.6%），其次是联通（27.0%）和移动（11.3%）。
TOP20境内肉鸡地址：北京市的地址最多，如123.X.X.121、36.X.X.5等。

（三）反射攻击资源分析

总数：参与反射攻击的服务器6059573台。
境内反射服务器占比：57.6%。
Memcached反射服务器：
- 总数：88517台。
- 境内占比：96.9%，云平台占比2.7%。
- 境内分布：广东省、河北省、四川省为前三；电信占比81.1%。
- TOP20境内Memcached反射服务器地址：北京市的地址最多，如117.X.X.4、106.X.X.98等。
NTP反射服务器：
- 总数：3869980台。
- 境内占比：40.8%，云平台占比1.1%。
- 境内分布：河北省、河南省、山东省为前三；联通占比76.9%。
- TOP20境内NTP反射服务器地址：山西省的地址最多，如221.X.X.201、221.X.X.52等。
SSDP反射服务器：
- 总数：2101076台。
- 境内占比：86.9%，云平台占比0.1%。
- 境内分布：浙江省、辽宁省、广东省为前三；联通占比51.0%，电信占比47.9%。
- TOP20境内SSDP反射服务器地址：陕西省的地址最多，如61.X.X.14、219.X.X.60等。

（四）转发伪造流量的路由器分析

跨域伪造流量来源路由器：
- 总数：57个。
- 地理分布：浙江省、上海市、江苏省为前三。
- 运营商分布：电信占比84.2%，移动8.8%，联通7.0%。
- TOP20跨域伪造流量来源路由器地址：浙江省的地址最多，如61.X.X.1、61.X.X.8等。
本地伪造流量来源路由器：
- 总数：505个。
- 地理分布：江苏省、湖南省、江西省为前三。
- 运营商分布：电信占比53.7%，移动30.7%，联通15.6%。
- TOP20本地伪造流量来源路由器地址：江苏省的地址最多，如222.X.X.127、61.X.X.1等。

三、主要观点与关键信息

境外控制端主导：DDoS攻击控制端主要来自境外，尤其是美国、德国和荷兰，占绝大多数。
境内肉鸡集中于江苏、安徽、广东：境内肉鸡主要集中在江苏省，且电信为最大运营商。
反射攻击资源丰富：反射攻击资源数量庞大，NTP反射服务器数量最多，其次是SSDP和Memcached反射服务器。
Memcached反射攻击高发：境内Memcached反射服务器数量居多，且多由电信提供。
NTP反射攻击集中在山西：境内NTP反射服务器主要集中在山西省，联通为最大运营商。
SSDP反射攻击集中在浙江、辽宁、广东：境内SSDP反射服务器主要由联通和电信提供。
伪造流量路由器多分布于江苏、浙江、上海：跨域和本地伪造流量来源路由器主要分布于这些省份，电信运营商占比最高。
攻击流量来源存在漏洞：跨域伪造流量的存在表明部分路由器的源地址验证配置存在缺陷，需加强网络设备安全防护。

四、总结

2020年第3季度，我国DDoS攻击资源呈现出明显的境外主导趋势，控制端主要来自美国、德国和荷兰，而境内肉鸡主要集中在江苏、安徽、广东，电信为最大运营商。反射攻击资源中，NTP反射服务器数量最多，Memcached和SSDP反射服务器亦为重要资源类型，境内反射服务器主要由电信和联通提供。伪造流量来源路由器主要分布于江苏、浙江、上海，其中电信运营商占比最高，反映出部分网络设备存在配置漏洞，需进一步加强监管与防护。

展开完整摘要