国家互联网应急中心-我国DDoS攻击资源分析报告-2021.6-20页_1mb

我国DDoS攻击资源分析报告(2021年第1季度) 总结

一、引言

本报告基于CNCERT/CC对2021年第一季度DDoS攻击事件的监测数据，分析了攻击资源的分布情况。报告主要聚焦于DDoS攻击的来源，包括控制端、肉鸡、反射服务器及伪造流量来源路由器。

攻击资源定义

• 控制端资源：用于控制僵尸主机发起DDoS攻击的僵尸网络控制端。
• 肉鸡资源：被控制的僵尸主机，用于向攻击目标发送流量。
• 反射服务器资源：存在协议漏洞且可被用于反射攻击的服务器，如Memcached、NTP、SSDP等。
• 伪造流量来源路由器：包括跨域和本地伪造流量来源的路由器，可能因源地址验证配置缺陷被用于攻击。

二、DDoS攻击资源分析

（一）控制端资源分析

• 本季度共监测到793个活跃控制端，其中境外控制端占比高达97.9%，云平台控制端占比68.5%。
• 境外控制端按国家统计，美国、德国、荷兰分别为前三位。
• 境内控制端按省份统计，吉林省、河南省、山东省为前三；按运营商统计，联通占比最高（41.2%），其次为电信（23.5%）。
• 境内控制端地址TOP20中，吉林省的地址数量最多。

（二）肉鸡资源分析

• 本季度共监测到621,557个参与攻击的肉鸡，其中境内肉鸡占比68.8%，云平台肉鸡占比8.7%。
• 境外肉鸡按国家统计，美国、越南、巴西分别为前三位。
• 境内肉鸡按省份统计，江苏省、安徽省、浙江省为前三；按运营商统计，电信占比最高（62.5%），其次为联通（23.9%）。
• 境内肉鸡地址TOP20中，北京市的地址数量最多。

（三）反射攻击资源分析

1. Memcached反射服务器资源

• 共监测到88,044个Memcached反射服务器，其中境内占比90.3%，云平台占比8.8%。
• 境外Memcached反射服务器按国家统计，美国、德国、中国香港为前三。
• 境内Memcached反射服务器按省份统计，广东省、山东省、湖南省为前三；按运营商统计，电信占比最高（73.7%）。
• 境内Memcached反射服务器地址TOP20中，北京市的地址数量最多。

2. NTP反射服务器资源

• 共监测到608,879个NTP反射服务器，境内占比44.2%，云平台占比3.1%。
• 境外NTP反射服务器按国家统计，越南、巴西、马来西亚为前三。
• 境内NTP反射服务器按省份统计，浙江省、河北省、湖北省为前三；按运营商统计，电信占比最高（55.0%）。
• 境内NTP反射服务器地址TOP20中，安徽省和上海市的地址数量最多。

3. SSDP反射服务器资源

• 共监测到2,646,360个SSDP反射服务器，境内占比92.5%，云平台占比0.2%。
• 境外SSDP反射服务器按国家统计，俄罗斯、美国、韩国为前三。
• 境内SSDP反射服务器按省份统计，浙江省、广东省、辽宁省为前三；按运营商统计，电信占比最高（53.6%），其次为联通（45.2%）。
• 境内SSDP反射服务器地址TOP20中，上海市的地址数量最多。

（四）转发伪造流量的路由器分析

1. 跨域伪造流量来源路由器

• 共监测到162个跨域伪造流量来源路由器。
• 按省份统计，上海市、四川省、北京市为前三；按运营商统计，电信占比最高（52.5%），其次为移动（27.8%）。
• 跨域伪造流量来源路由器地址TOP20中，上海市的地址数量最多。

2. 本地伪造流量来源路由器

• 共监测到874个本地伪造流量来源路由器。
• 按省份统计，江苏省、福建省、广东省为前三；按运营商统计，电信占比最高（48.5%），其次为移动（33.4%）。
• 本地伪造流量来源路由器地址TOP20中，江苏省的地址数量最多。

三、主要观点与关键信息

• 境外控制端主导：DDoS攻击控制端以境外为主，美国、德国、荷兰为集中地区，云平台控制端占比高。
• 境内肉鸡数量庞大：境内肉鸡占比较高，电信和联通为主要运营商，江苏省为集中区域。
• 反射攻击资源丰富：反射攻击资源中，SSDP占比最高，其次是NTP和Memcached，其中SSDP境内资源最多，且主要集中在电信和联通网络。
• 路由器伪造流量问题突出：跨域和本地伪造流量来源路由器数量较多，其中跨域伪造流量来源路由器主要位于上海市、四川省和北京市，本地伪造流量来源路由器主要位于江苏省。

四、总结

本季度DDoS攻击资源呈现以下特点：

• 境外控制端占据主导地位，且多通过云平台发起攻击。
• 境内肉鸡数量庞大，主要集中在江苏省、安徽省、浙江省，电信运营商占比最高。
• 反射攻击资源以SSDP为主，境内资源集中于电信和联通，广东省、浙江省为集中区域。
• 路由器伪造流量问题严重，需加强源地址验证配置，防止被恶意利用。