20160612-阿卡迈-Q1_2016_report_akamai’s_state_of_the_internet__security_78页_8mb

文档总结：Akamai Q1 2016 State of the Internet / Security Report

核心内容概述

Akamai 发布了其 Q1 2016 的《State of the Internet / Security Report》，重点分析了 DDoS 攻击和 Web 应用攻击的趋势与数据。报告基于 Akamai 全球基础设施和路由 DDoS 解决方案收集的数据，揭示了攻击者的行为模式、攻击来源国分布、行业受影响情况以及新兴威胁趋势。

主要观点

• DDoS 攻击显著增长：
  Q1 2016 相比 Q1 2015，总 DDoS 攻击量增加了 126%，基础设施层（层3和4）攻击增加了 142%。

  • 攻击平均持续时间从 24.82 小时降至 16.14 小时，减少了 35%。
  • 攻击超过 100 Gbps 的数量从 Q4 2015 的 5 次增至 19 次，是前所未有的增长。
  • 最大单次 DDoS 攻击为 289 Gbps，较上一季度下降了 20 Gbps。

• Web 应用攻击增长：

  • Web 应用攻击总量比 Q4 2015 增长了 25.52%。
  • HTTP 攻击量略有下降（-2%），HTTPS 攻击量大幅增长（+236%）。
  • SQLi 攻击量增长了 87%。
  • 零售行业仍是 Web 应用攻击的主要目标，占比达 43.4%。

• 攻击工具和方法的演变：

  • 多向量 DDoS 攻击占比达 59%，表明攻击工具日益复杂。
  • NTP 和 DNS 反射攻击仍然是主要攻击手段，占攻击总量的 30%。
  • NTP 反射攻击占 59%，DNS 占 27%，CHARGEN 占 27%，UDP 分片占 27%。
  • 攻击者使用“Booter”网站来发起多向量攻击，这些网站提供了多种攻击方式，并通过简单界面让用户选择攻击类型。

• 攻击来源国变化：

  • 中国是 DDoS 攻击的主要来源国，占 27%。
  • 美国（17%）、土耳其（10%）、巴西（8.6%）和韩国（7.47%）紧随其后。
  • 中国自 Q1 2015 起一直是主要攻击来源，但部分攻击者已从俄罗斯转移到东欧国家。

• 行业受影响情况：

  • 在线游戏行业仍是 DDoS 攻击的主要目标，占 55%。
  • 软件与技术行业紧随其后，占 25%。
  • 媒体与娱乐、金融服务、互联网与电信行业分别占 5%、4% 和 4%。

• 新兴威胁与安全响应：

  • Akamai 发布了 10 份威胁通告、漏洞更新和攻击案例研究，涵盖 NTP、DNS、IKE、Glibc、DROWN 等漏洞的利用。
  • 部分攻击者利用“Copycat”策略，通过勒索信息迫使受害者支付比特币以停止攻击。
  • Akamai 的云安全平台能够吸收大量攻击流量，并通过全球清洗中心过滤恶意流量。

关键信息

DDoS 攻击趋势

• 攻击总量：Q1 2016 总攻击量比 Q1 2015 增长 126%，比 Q4 2015 增长 22.47%。
• 攻击类型：
  • 基础设施层攻击：增长 142%。
  • 多向量攻击：占 59%。
• 攻击强度：
  • 19 次攻击超过 100 Gbps，是历史上最高纪录。
  • 6 次攻击超过 30 Mpps，2 次攻击超过 50 Mpps。
• 攻击来源：
  • 中国（27%）、美国（17%）、土耳其（10%）、巴西（8.6%）、韩国（7.47%）为前五来源国。
  • 攻击者可能使用代理或虚拟私有服务器（VPS）隐藏真实来源。

Web 应用攻击趋势

• 攻击总量：比 Q4 2015 增长 25.52%。
• 攻击方式：
  • HTTP 攻击量下降 2%，HTTPS 攻击量激增 236%。
  • SQLi 攻击量增长 87%。
• 行业分布：
  • 零售行业占 43.4%，酒店与旅游占 13%，金融服务占 12%，高技术行业占 9%。
  • 攻击来源国从美国扩展至巴西、印度和澳大利亚。

技术与安全洞察

• 反射攻击：NTP、DNS、CHARGEN 和 UDP 分片占 70% 以上。
• 攻击工具：攻击者倾向于使用反射攻击技术，而非直接生成流量。
• 攻击者动机：部分攻击者采用勒索策略，威胁受害者支付比特币以停止攻击。
• 安全响应：Akamai 的 Cloud Security Intelligence (cSI) 数据分析引擎存储了超过 2 PB 的威胁情报数据，并每小时自动查询以优化云安全解决方案。

其他重要安全事件

• DNSSEC 被利用：DNS 反射攻击利用 DNSSEC 域名，导致攻击带宽显著增加。
• Glibc 和 DROWN 漏洞：Akamai 提供了相关漏洞的响应和通告。
• SLOTH 漏洞：Akamai 客户未受到该漏洞影响。
• IKE/IKEv2 滥用：被用于 DDoS 攻击，成为新的攻击向量。

结构清晰要点

1. DDoS 攻击趋势

• 攻击总量增长显著（126% vs. Q1 2015）。
• 多向量攻击占比达 59%，攻击工具日益复杂。
• 19 次攻击超过 100 Gbps，其中大部分针对软件与技术、游戏和媒体娱乐行业。
• 攻击持续时间缩短，但带宽增加，部分攻击导致路由器资源耗尽。

2. Web 应用攻击趋势

• 攻击总量增长 25.52%，HTTPS 攻击激增 236%。
• 零售行业仍是主要攻击目标，占比 43.4%。
• SQLi 攻击量增长 87%，表明攻击者更倾向于利用应用层漏洞。

3. 攻击来源国分布

• 中国、美国、土耳其、巴西、韩国为前五大攻击来源国。
• 中国自 Q1 2015 起持续为最大来源国。
• 攻击者可能使用代理或 VPS 来隐藏真实位置。

4. 行业受影响情况

• 在线游戏行业最受 DDoS 攻击影响，占 55%。
• 软件与技术、媒体与娱乐、金融服务行业分别为 25%、5% 和 4%。

5. 新兴安全威胁

• NTP 和 DNS 反射攻击仍是主要手段。
• 多个漏洞被利用，如 Glibc、DROWN、SLOTH 等。
• 部分攻击者采用勒索策略，威胁受害者支付比特币以停止攻击。

未来展望

• 报告指出，DDoS 攻击工具和技术仍在不断演变，攻击者倾向于使用更复杂的多向量攻击。
• 随着攻击带宽的增加，传统的网络设备可能面临更大的压力，甚至瘫痪。
• 未来需加强对新型攻击向量（如 IKE/IKEv2、DNSSEC）的防御能力。