CNCERT宣布《2018年我国互联网网络宁静态势陈诉》
宣布时间 2019-04-17当前，网络宁静威胁日益突出，网络宁静风险不停向政治、经济、文化、社会、生态、国防等领域传导渗透，各国加强网络宁静监管，连续出台网络宁静政策规则。2018年，在中央网络宁静和信息化委员会（原“中央网络宁静和信息化领导小组”）的统一领导下，我国进一步加强网络宁静和信息化管理事情，各行业主管部门协同推进网络宁静治理。国家互联网应急中心（以下简称“CNCERT”）连续加强我国互联网网络宁静监测，开展我国互联网宏观网络宁静态势评估，网络宁静事件监测、协调处置和预警通报事情，取得了显著成效。
CNCERT依托我国宏观宁静监测数据，结合网络宁静威胁治理实践结果，在本陈诉中重点对2018年我国互联网网络宁静状况进行了分析和总结，并对2019年的网络宁静趋势进行预测。
2018年，我国进一步健全网络宁静执法体系，完善网络宁静管理体制机制，连续加强公共互联网网络宁静监测和治理，构建互联网生长宁静基础，构筑网民宁静上网环境，特别是在党政机关和重要行业方面，网络宁静应急响应能力不停提升，恶意法式熏染、网页改动、网站后门等传统的宁静问题得到有效控制。全年未发生大规模病毒发作、大规模网络瘫痪的重大事件，但要害信息基础设施、云平台等面临的宁静风险仍较为突出，APT攻击、数据泄露、漫衍式拒绝服务攻击（以下简称“DDoS攻击”）等问题也较为严重。
（一）我国网络宁静执法规则政策保障体系逐步健全
自我国《网络宁静法》于2017年6月1日正式实施以来，我国网络宁静相关执法规则及配套制度逐步健全，逐渐形成综合执法、监管规定、行业与技术尺度的综合化、规范化体系，我国网络宁静事情执法保障体系不停完善，网络宁静执法力度连续加强。2018年，全国人大常委会宣布《十三届全国人大常委会立规则划》，包罗个人信息�；ぁ⑹菽病⒚苈氲确矫�。党中央、国务院各部门相继发力，网络宁静方面规则、规章、司法解释等陆续宣布或实施。《网络宁静品级�；ぬ趵芬严蛏缁峁徽髑笠饧�，《公安机关互联网宁静监督检查规定》、《关于加强跨境金融网络与信息服务管理的通知》、《区块链信息服务管理规定》、《关于加强政府网站域名管理的通知》等加强网络宁静执法或强化相关领域网络宁静的文件宣布。
（二）我国互联网网络宁静威胁治理取得新成效
我国互联网网络宁静环境经过多年的连续治理效果显著，网络宁静环境得到明显改善。特别是党中央加强了对网络宁静和信息化事情的统一领导，党政机关和重要行业加强网络宁静防护措施，针对党政机关和重要行业的木马僵尸恶意法式、网站宁静、宁静漏洞等传统网络宁静事件大幅减少。2018年，CNCERT协调处置网络宁静事件约10.6万起，其中网页仿冒事件最多，其次是宁静漏洞、恶意法式、网页改动、网站后门、DDoS攻击等事件。CNCERT连续组织开展计算机恶意法式常态化攻击事情，2018年乐成关闭772个控制规模较大的僵尸网络，乐成切断了黑客对境内约390万台熏染主机的控制。据抽样监测，在政府网站宁静方面，遭植入后门的我国政府网站数量平均减少了46.5%，遭改动网站数量平均减少了16.4%，显示我国政府网站的宁静情况有所好转。在主管部门指导下，CNCERT联合基础电信企业、云服务商等连续开展DDoS攻击资源专项治理事情，从源头上停止了DDoS攻击行为，有效降低了来自我国境内的攻击流量。据CNCERT抽样监测，2018年境内提倡DDoS攻击的活跃控制端数量同比下降46%、被控端数量同比下降37%；境内反射服务器、跨域伪造流量来源路由器、当地伪造流量来源路由器等可利用的攻击资源消亡速度加快、新增率降低。凭据外部陈诉，我国境内僵尸网络控制端数量在全球的排名从前三名降至第十名 ，DDoS活跃反射源下降了60% ①。
（三）勒索软件对重要行业要害信息基础设施威胁加剧
2018年勒索软件攻击事件频发，变种数量不停攀升，给个人用户和企业用户带来严重损失。2018年，CNCERT捕捉勒索软件近14万个，全年总体泛起增长趋势，特别在下半年，陪同“勒索软件即服务”工业的兴起，活跃勒索软件数量泛起快速增长势头，且更新频率和威胁广度都大幅度增加，例如勒索软件GandCrab全年泛起了约19个版本，一直快速更新迭代。勒索软件流传手段多样，利用影响范围广的漏洞进行快速流传是当前主要方式之一，例如勒索软件Lucky通过综合利用弱口令漏洞、Window SMB漏洞、Apache Struts 2漏洞、JBoss漏洞、Weblogic漏洞等进行快速攻击流传。2018年，重要行业要害信息基础设施逐渐成为勒索软件的重点攻击目标，其中，政府、医疗、教育、研究机构、制造业等是受到勒索软件攻击较严重行业。例如GlobeImposter、GandCrab等勒索软件变种攻击了我国多家医疗机构，导致医院信息系统运行受到严重影响。
（四）越来越多的APT攻击行为被披露
2018年，全球专业网络宁静机构宣布了种种高级威胁研究陈诉478份，同比增长了约3.6倍，其中我国12个研究机构宣布陈诉80份，这些陈诉涉及已被确认的APT攻击组织包罗APT28、Lazarus、Group 123、海莲花、MuddyWater等53个，攻击目标主要漫衍在中东、亚太、美洲和欧洲地域，总体泛起出地缘政治紧密相关的特性，受攻击的领域主要包罗国防、政府、金融、外交和能源等。值得注意的是，医疗、传媒、电信等国家服务性行业领域也正面临越来越多的APT攻击风险。② APT攻击组织接纳的攻击手法主要以鱼叉邮件攻击、水坑攻击、网络流量劫持或中间人攻击等，其频繁利用果然或开源的攻击框架和工具，并综合利用多种技术以实现攻击，或规避与历史攻击手法的重合。
（五）云平台成为发生网络攻击的重灾区
凭据CNCERT监测数据，虽然国内主流云平台使用的IP地址数量仅占我国境内全部IP地址数量的7.7%，但云平台已成为发生网络攻击的重灾区，在种种型网络宁静事件数量中，云平台上的DDoS攻击次数、被植入后门的网站数量、被改动网站数量均占比凌驾50%。同时，国内主流云平台上承载的恶意法式种类数量占境内互联网上承载的恶意法式种类数量的53.7%，木马和僵尸网络恶意法式控制端IP地址数量占境内全部恶意法式控制端IP地址数量的59%，表明攻击者经常利用云平台来提倡网络攻击。分析原因，云平台成为网络攻击的重要目标是因为大量系统部署到云上，涉及国计民生、企业运营的数据和用户个人信息，成为攻击者攫取经济利益的目标。从云平台上发出的攻击增多是因为云服务使用存在便捷性、可靠性、低成本、高带宽和高性能等特性，且云网络流量的庞大性有利于攻击者隐藏真实身份，攻击者更多的利用云平台设备作为跳板机或控制端提倡网络攻击。此外，云平台用户对其部署在云平台上系统的网络宁静防护重视不足，导致其系统可能面临更大的网络宁静风险。因此，云服务商和云用户都应加大对网络宁静的重视和投入，分工协作提升网络宁静防范能力。云服务商应提供基础性的网络宁静防护措施并保障云平台宁静运行，全面提高云平台的宁静性和可控性。云用户对部署在云平台上的系统负担主体责任，需全面落实系统的网络宁静防护要求。
（六）拒绝服务攻击频次下降但峰值流量连续攀升
DDoS攻击是难以防范的网络攻击手段之一，攻击手段和强度不停更新，并逐步形成了“DDoS即服务”的互联网黑色工业服务，普遍用于行业恶意竞争、敲诈勒索等网络犯罪。得益于我国网络空间环境治理取得的有效结果，经过对DDoS攻击资源的专项治理，我国境内拒绝服务攻击频次总体泛起下降趋势。凭据第三方分析陈诉，2018年我国境内全年DDoS攻击次数同比下降凌驾20%，特别是反射攻击较去年减少了80% 。③CNCERT抽样监测发现，2018年我国境内峰值流量凌驾Tbps级的DDoS攻击次数较往年增加较多，达68起。其中，2018年12月浙江省某IP地址遭DDoS攻击的峰值流量达1.27Tbps。
（七）针对工业控制系统的定向性攻击趋势明显
2018年，针对特定工业系统的攻击越来越多，并多与传统攻击手段结合，针对国家工业控制系统的攻击日益泛起出定向性特点。恶意软件Trisis利用施耐德Triconex宁静仪表控制系吐溷日漏洞，攻击了中东某石油天然气工厂，致其工厂停运。分析发现，Trisis完整的文件库通过五种差异的编程语言构建，因其定向性的特点，仅能在其攻击的同款工业设备上测试才气完全了解该恶意软件。2018年中期，恶意软件GreyEnergy被捕捉，主要针对运行数据收罗与监视控制系统（SCADA）软件和服务器的工业控制系统事情站，具有�？榛芄�，功效可进一步扩展，可进行后门访问、窃取文件、抓取屏幕截图、记录敲击键和窃取凭据等操作。2018年，CNCERT抽样监测发现，我国境内联网工业设备、系统、平台等遭受恶意嗅探、网络攻击的次数显著提高，虽未发生重大宁静事件，但需提高警惕，引起重视。
（八）虚假和仿冒移动应用增多且成为网络诈骗新渠道
近年来，随着互联网与经济、生活的深度捆绑交织，通过互联网对网民实施远程非接触式诈骗手段不停翻新，先后泛起了“网络投资”、“网络交友”、“网购返利”等新型网络诈骗手段。随着我国移动互联网技术的快速生长和应用普及，2018年通过移动应用实施网络诈骗的事件尤为突出，如大量虚假的“贷款APP”并无真实贷款业务，仅用于诈骗分子骗取用户的隐私信息和钱财。CNCERT抽样监测发现，在此类虚假的“贷款APP”上提交姓名、身份证照片、个人资产证明、银行账户、地址等个人隐私信息的用户凌驾150万人，大量受害用户向诈骗分子支付了上万元的所谓“担保费”、“手续费”用度，经济利益受到实质损害。此外，CNCERT还发现，具有与正版软件相似图标或名字的仿冒APP数量呈上升趋势。2018年，CNCERT通过自主监测和投诉举报方式共捕捉新增金融行业移动互联网仿冒APP 样本838个，同比增长了近3.5倍，达近年新高。这些仿冒APP通常接纳“蹭热度”的方式来流传和诱惑用户下载并安装，可能会造成用户通讯录和短信内容等个人隐私信息泄露，或在未经用户允许的情况下私自下载恶意软件，造成恶意扣费等危害。
（九）数据宁静问题引起前所未有的关注
2018年3月，Facebook公司被爆出大规模数据泄露，且这些泄露的数据被恶意利用，引起国内外普遍关注。2018年，我国也发生了包罗十几亿条快递公司的用户信息、2.4亿条某连锁酒店入住信息、900万条某网站用户数据信息、某求职网站用户个人求职简历等数据泄露事件，这些泄露数据包罗了大量的个人隐私信息，如姓名、地址、银行卡号、身份证号、联系电话、家庭成员等，给我国网民人身宁静、工业宁静带来了宁静隐患。2018年5月25日，欧盟颁布执行史上最严的个人数据�；ぬ趵锻ㄓ檬荼；ぬ趵罚℅DPR），掀起了国内外的广泛讨论，该法案重点�；さ氖亲匀蝗说摹案鋈耸荨�，例如姓名、地址、电子邮件地址、电话号码、生日、银行账户、汽车牌照、IP地址以及cookies等。凭据界说，该法案监管收集个人数据的行为，包罗所有形式的网络追踪。GDPR实施三天后，Facebook和谷歌等美国企业成为GDPR法案下第一批被告，这不仅给业界敲响了警钟，也督促更多企业投入精力�；な菽灿绕涫歉鋈艘绞菽�。
二、2019年网络宁静趋势预测
结合2018年我国网络宁静状况，以及5G、IPv6、区块链等新技术的生长和应用，CNCERT预测2019年网络宁静趋势主要如下：
（一）有特殊目的针对性更强的网络攻击越来越多
目前，网络攻击者提倡网络攻击的针对性越来越强，有特殊目的的攻击行动频发。近年来，有攻击团伙恒久以我国政府部门、事业单元、科研院所的网站为主要目标实施网页改动，境外攻击团伙连续对我政府部门网站实施DDoS攻击。网络宁静事件与社会活动紧密结合趋势明显，网络攻击事件高发。
（二）国家要害信息基础设施�；な艿狡毡楣刈�
作为事关国家宁静、社会稳定和经济生长的战略资源，国家要害信息基础设施�；さ氖虑橛任匾�。当前，应用广泛的基础软硬件宁静漏洞不停被披露、具有特殊目的的黑客组织不停对我国要害信息基础设施实施网络攻击，我国要害信息基础设施面临的宁静风险不停加大。2018年，APT攻击活动连续活跃，我国多个重要行业遭受攻击。随着要害信息基础设施承载的信息价值越来越大，针对国家要害信息基础设施的网络攻击将会愈演愈烈。
（三）个人信息和重要数据泄露危害越发严重
2018年Facebook信息泄露事件让我们重新审视个人信息和重要数据的泄露可能引发的危害，信息泄露不仅侵犯网民个人利益，甚至可能对国家政治宁静造成影响。2018年我国境内发生了多起个人信息和重要数据泄露事件，犯罪分子利用大数据等技术手段，整合获得的种种数据，可形成对用户的多维度精准画像，所发生的危害将更为严重。
（四）5G、IPv6等新技术广泛应用带来的宁静问题值得关注
目前，我国5G、IPv6规模部署和试用事情逐步推进，关于5G、IPv6自身的宁静问题以及衍生的宁静问题值得关注。5G技术的应用代表着增强的移动宽带、海量的机器通信以及超高可靠低时延的通信，与IPv6技术应用配合生长，将真正实现让万物互联，互联网上承载的信息将更为富厚，物联网将大规模生长。但重要数据泄露、物联网设备宁静问题目前尚未得到有效解决，物联网设备被大规模利用提倡网络攻击的问题也将越发突出。同时，区块链技术也受到国内外广泛关注并快速应用，从数字货币到智能合约，并逐步向文化娱乐、社会管理、物联网等多个领域延伸。随着区块链应用的范围和深度逐渐扩大，数字货币被盗、智能合约、钱包和挖矿软件漏洞等宁静问题将会越发凸显。
附录：2018年我国互联网网络宁静监测数据分析
一、恶意法式
（一）计算机恶意法式捕捉情况
2018年，CNCERT全年捕捉计算机恶意法式样本数量凌驾1亿个，涉及计算机恶意法式家族51万余个，较2017年增加8,132个。全年计算机恶意法式流传次数 日均达500万余次。凭据计算机恶意法式流传来源统计，位于境外的主要是来自美国、加拿大和俄罗斯等国家和地域，来自境外的具体漫衍如图1所示。位于境内的主要是位于陕西省、浙江省和河南省等省份。凭据受恶意法式攻击的IP统计，我国境内受计算机恶意法式攻击的IP地址约5,946万个，约占我国IP总数的17.5%，这些受攻击的IP地址主要集中在江苏省、山东省、浙江省、广东省等地域，2018年我国受计算机恶意法式攻击的IP漫衍情况如图2所示。
图1 2018年计算机恶意代码流传源位于境外漫衍情况
图2 2018年我国受计算机恶意代码攻击的IP漫衍情况
（二）计算机恶意法式用户熏染情况
据CNCERT抽样监测，2018年，我国境内熏染计算机恶意法式的主机数量约655万台，同比下降47.8%，如图3所示。位于境外的约4.9万个计算机恶意法式控制服务器控制了我国境内约526万台主机，就控制服务器所属国家来看，位于美国、日本和德国的控制服务器数量分列前三位，分别是约14,752个、6,551个和2,166个；就所控制我国境内主机数量来看，位于美国、中国香港和法国的控制服务器控制规模分列前三位，分别控制了我国境内约334万、48万和33万台主机。
图3 境内熏染计算机恶意法式主机数量变化
我国境内熏染计算机恶意法式主机数量地域漫衍来看，主要漫衍在广东�。ㄕ嘉夜衬谘臼康�10.9%）、江苏�。ㄕ�9.9%）、浙江�。ㄕ�9.4%）等省份，但从我国境内各地域熏染计算机恶意法式主机数量所占当地域活跃IP地址数量比例来看，河南省、江苏省和广西壮族自治区分列前三位，如图4所示。在监测发现的因熏染计算机恶意法式而形成的僵尸网络中，规模在100台主机以上的僵尸网络数量达3,710个，规模在10万台以上的僵尸网络数量达36个，如图5所示。为有效控制计算机恶意法式熏染主机引发的危害，2018年，CNCERT组织基础电信企业、域名服务机构等乐成关闭772个控制规模较大的僵尸网络。凭据第三方统计陈诉，位于我国境内的僵尸网络控制端数量在全球的排名情况以及在全球控制端总数量的占比均泛起下降趋势④。
图4 我国各地域熏染计算机恶意法式主机数量占当地域活跃IP地址数量比例
图5 2018年僵尸网络的规模漫衍
（三）移动互联网恶意法式
目前，随着移动互联网技术快速生长，我国移动互联网网民数量突破8.17亿（占我国网民总数量的98.6%）⑤，金融服务、生活服务、支付业务等全面向移动互联网应用迁移。但窃取用户信息、发送垃圾信息、推送广告和欺诈信息等危害移动互联网正常运行的恶意行为在不停侵犯广大移动用户的合法利益。2018年，CNCERT通过自主捕捉和厂商交换获得移动互联网恶意法式数量283万余个，同比增长11.7%，尽管近三年来增长速度有所放缓，但仍保持高速增长趋势，如图6所示。通过对恶意法式的恶意行为统计发现，排名前三的分别为流氓行为类、资费消耗类和信息窃取类 ，占比分别为45.8%、24.3%和14.9%，如图7所示。为有效防范移动互联网恶意法式的危害，严格控制移动互联网恶意法式流传途径，连续6年以来，CNCERT联合应用商店、云平台等服务平台连续加强对移动互联网恶意法式的发现和下架力度，以保障移动互联网健康有序生长。2018年，CNCERT累计协调国内314家提供移动应用法式下载服务的平台，下架3517个移动互联网恶意法式。
图6 2010年至2018年移动互联网恶意法式捕捉数量走势
图7 2018年移动互联网恶意法式数量按行为属性统计
（四）联网智能设备恶意法式
据CNCERT监测发现，目前活跃在智能联网设惫亓恶意法式家族主要包罗Ddosf、Dofloo、Gafgyt、MrBlack、Persirai、Sotdas、Tsunami、Triddy、Mirai、Moose、Teaper、Satori、StolenBots、VPN-Filter等。这些恶意法式及其变种发生的主要危害包罗用户信息和设备数据泄露、硬件设备遭控制和破坏、被用于DDoS攻击或其他恶意攻击行为、攻击路由器等网络设备窃取用户上网数据等。CNCERT抽样监测发现，2018年，联网智能设备恶意法式控制服务器IP地址约2.3万个，位于境外的IP地址占比约87.5%；被控联网智能设备IP地址约446.8万个，位于境内的IP地址占比约34.6%，其中山东、浙江、河南、江苏等地被控联网智能设备IP地址数量均凌驾10万个；控制联网智能设备且控制规模在1,000台以上的僵尸网络有363个，其中，控制规模在1万台以上的僵尸网络19个，5万台以上的8个，如表1所示。
表1 2018年联网智能设备僵尸网络控制规模统计情况
二、宁静漏洞
（一）宁静漏洞收录情况
2014年以来，国家信息宁静漏洞共享平台（CNVD） 收录宁静漏洞数量年平均增长率为15.0%，其中，2018年收录宁静漏洞数量同比减少了11.0%，共计14,201个，高危漏洞收录数量为4,898个（占34.5%），同比减少12.8%，但近年来“零日”漏洞 收录数量连续走高，2018年收录的宁静漏洞数量中，“零日”漏洞收录数量占比37.9%，高达5,381个，同比增长39.6%，如图8所示。宁静漏洞主要涵盖Google、Microsoft、IBM、Oracle、Cisco、Foxit、Apple、Adobe等厂商产物，如表2所示。按影响工具分类统计，收录漏洞中应用法式漏洞占57.8%，Web应用漏洞占18.7%，操作系统漏洞占10.6%，网络设备（如路由器、交换机等）漏洞占9.5%，宁静产物（如防火墙、入侵检测系统等）漏洞占2.4%，数据库漏洞占1.0%，如图9所示。
图8 2013年至2018年CNVD收录宁静漏洞数量对比
表2 2018年CNVD收录漏洞涉及厂商情况统计
图9 2018年CNVD收录漏洞按影响工具类型分类统计
2018年，CNVD继续推进移动互联网、电信行业、工业控制系统和电子政务4类子漏洞库的建设事情，分别新增收录宁静漏洞数量1,150个（占全年收录数量的8.1%）、720个（占5.1%）、461个（占3.2%）和171个（占1.2%），如图10所示。其中工业控制系统子漏洞库收录数量连续攀升，较2017年增长了22.6%。CNVD全年通报涉及政府机构、重要信息系统等要害信息基础设施宁静漏洞事件约2.1万起，同比下降23.6%。
图10 2013年至2018年CNVD子漏洞库收录情况对比
2018年，应用广泛的软硬件漏洞被披露，修复难度很大，给我国网络宁静带来严峻挑战，包罗计算机中央处置器（CPU）芯片爆出Meltdown漏洞 和Spectre漏洞 ，影响了1995年以后生产的所有Intel、AMD、ARM等CPU芯片，同时影响了各主流云服务平台及Windows、Linux、MacOS、Android等主流操作系统。随后，Oracle Weblogic server、Cisco Smart Install等在我国使用广泛的软件产物也相继爆出存在严重宁静漏洞。
（二）联网智能设备宁静漏洞
2018年，CNVD收录的宁静漏洞中关于联网智能设备宁静漏洞有2,244个，同比增长8.0%。这些宁静漏洞涉及的类型主要包罗设备信息泄露、权限绕过、远程代码执行、弱口令等；涉及的设备类型主要包罗家用路由器、网络摄像头等。
三、拒绝服务攻击
2018年，CNCERT抽样监测发现我国境内峰值凌驾10Gbps的大流量漫衍式拒绝服务攻击（DDoS攻击）事件数量平均每月凌驾4,000起，凌驾60%的攻击事件为僵尸网络控制提倡。僵尸网络主要偏好发动TCP SYN FLOOD和UDP FLOOD攻击，在线攻击平台主要偏好发送UDP Amplification FLOOD攻击。
（一）攻击资源情况
2018年，CNCERT对全年用于提倡DDoS攻击的攻击资源进行了连续分析，发现用于提倡DDoS攻击的C&C控制服务器 数量共2,108台，总肉鸡 数量约144万台，反射攻击服务器约197万台，受攻击目标IP地址数量约9万个，这些攻击目标主要漫衍在色情、博彩等互联网地下黑产方面以及文化体育和娱乐领域，此外还包罗运营商IDC、金融、教育、政府机构等。
（二）攻击团伙情况
2018年，CNCERT共监测发现利用僵尸网络进行攻击的DDoS攻击团伙50个。从全年来看，与DDoS攻击事件数量、C&C控制服务器数量一样，攻击团伙数量在2018年8月到达最岑岭。其中，控制肉鸡数量较大的较活跃攻击团伙有16个，涉及C&C控制服务器有358个，攻击目标有2.8万个，如表3所示。为进一步分析这16个团伙的关系情况，通过对全年攻击活动进行分析，发现差异攻击团伙之间相互较为独立，同一攻击团伙的攻击目标非常集中，差异攻击团伙间的攻击目标重合度较小。
表3 2018年活跃攻击团伙基本信息表
四、网站宁静
2018年，CNCERT加强了对网站攻击资源的分析事情，发现绝大多数网站攻击行为由少量的活跃攻击资源 提倡，对我国网站宁静影响较大。凭据这些攻击资源之间的关联关系，可将其划分为差异的“攻击团伙”所掌握。这些“攻击团伙”不停更换其掌握的大量攻击资源，恒久攻击并控制着大量宁静防护能力单薄的网站。通过挖掘和研判“攻击团伙”对受攻击网站的具体操作行为，CNCERT发现这些攻击多带有黑帽SEO 、网页改动等典型黑产利益意图，并使用流行的攻击工具对网站开展批量化、恒久化控制。随着对网站面临宁静风险的深入分析，CNCERT掌握了大量的攻击者特征及攻击手法，能为我国做好网站宁静管理提出更有针对性、更有效的防范建议。
（一）网页仿冒
2018年，CNCERT自主监测发现约5.3万个针对我国境内网站的仿冒页面，页面数量较2017年增长了7.2%。其中，仿冒政务类网站数量明显上升，占比高达25.2%，经分析，这些仿冒页面主要被用于短期内提高其域名的搜索引擎排名，从而快速转化为经济利益。为有效防范网页仿冒引发的危害，CNCERT重点针对金融行业、电信行业网上营业厅的仿冒页面进行处置，全年共协调处置仿冒页面3.5万余个。从承载仿冒页面IP地址归属情况来看，绝大多数位于境外，主要漫衍在美国和中国香港，如图11所示。
图11 2018年承载仿冒页面IP地址和仿冒页面数量漫衍
（二）网站后门
1. 我国境内被植入后门情况
2018年，CNCERT监测发现境内外约1.6万个IP地址对我国境内约2.4万个网站植入后门。近三年来，我国境内被植入后门的网站数量连续保持下降趋势，2018年的数量较2017年下降了19.3%。其中，约有1.4万个（占全部IP地址总数的90.9%）境外IP地址对境内约1.7万个网站植入后门，位于美国的IP地址最多，占境外IP地址总数的23.2%，其次是位于中国香港和俄罗斯的IP地址，如图12所示。从控制我国境内网站总数来看，位于中国香港的IP地址控制我国境内网站数量最多，有3,994个，其次是位于美国和俄罗斯的IP地址，分别控制了我国境内3,607个和2,011个网站。
图12 2018年境外向我国境内网站植入后门IP地址所属国家或地域TOP10
2. 网站后门“攻击团伙”情况
2018年，CNCERT监测发现，攻击活跃在 10 天以上的网站“攻击团伙”有 777 个，全年活跃的“攻击团伙”13 个，如图所示。“攻击团伙”中使用过的攻击 IP地址数量大于 100个 的有 22 个，攻击网站数量凌驾 100 个的“攻击团伙”有 61 个。从“攻击团伙”的攻击活跃天数来看，少数攻击团伙能够保持连续活跃，如图13所示。多数“攻击团伙”的活跃天数较短，无法形成对被入侵网站服务器的持久化控制；少量值得关注的“攻击团伙”具有长时间连续攻击的特点，连续对其入侵的多个网站服务器实现恒久控制。
图13 差异活跃天数的“攻击团伙”数量统计
（三）网页改动
2018年，CNCERT监测发现我国境内遭改动的网站有7,049个，较2017年的约2万个有大幅的下降，下降了64.9%，其中被改动的政府网站有216个，较2017年的618个减少65.0%，如图14所示。从网页遭改动的方式来看，被植入暗链的网站占全部被改动网站的比例为56.9%，占比泛起连续缩小趋势。从境内被改动网页的顶级域名漫衍来看，“.com”、“.net”和“.gov.cn”占比分列前三位，分别占总数的66.3%、7.7%和3.1%，占比漫衍情况与2017年无明显变化。
图14 2013年至2018年我国境内被改动网站数量情况
五、工业互联网宁静
（一）工业网络产物宁静检测情况
为贯彻《网络宁静法》并落实对网络要害设备和网络宁静专用产物的宁静管理规定，确保入网设备的网络宁静防护水平，宁静入网检测事情已得到要害信息基础设施运营者的重视。CNCERT自主研发了工业互联网宁静测试平台Acheron，在2017年获得了ISAsecure权威认证 。2018年，CNCERT使用该平台，对主流工控设备和网络宁静专用产物进行了宁静入网抽检，并对电力二次设备进行了专项宁静测试。在所涉及35个国内外主流厂商的87个型号产物中共发现232个高危漏洞，可能发生的风险包罗拒绝服务攻击、远程命令执行、信息泄露等，如图15所示。利用这些漏洞，攻击者可使工控设备宕机，甚至获取设备控制权限，可能对其他工业网络设备提倡攻击。CNCERT还分析发现，在电力设备测试中发现部门漏洞泛起同源性特征，经分析因大多数电力设备厂商在实现IEC 61850协议（电力系统最重要的通信协议之一）时都接纳了美国SISCO公司的第三方开发套件，显示了较严重的产物供应链宁静风险。
图15 2018年工业网络产物宁静检测中发现的高危漏洞类型漫衍
（二）联网工业设备和工业云平台袒露情况
2018年，CNCERT不停升级监测手段，扩大监测范围，进一步加强了针对联网工业设备和工业云平台的网络宁静问题跟踪，全年累计发现境外对我国袒露工业资产的恶意嗅探事件约4,451万起，较2017年数量暴增约17倍；发现我国境内袒露的联网工业设备数量共计6,020个，涉及西门子、韦益可自控、罗克韦尔等37家国内外知名厂商产物，如图16所示，这些联网设备的厂商、型号、版本、参数等信息遭恶意嗅探。另外，CNCERT发现具有一定规模的工业云平台30多家，业务涉及能源、金融、物流、智能制造、智慧都市等方面，并监测发现根云、航天云网、COSMOPlat、OneNET、OceanConnect等大型工业云平台连续遭受漏洞利用、拒绝服务、暴力破解等网络攻击，工业云平台正逐渐成为网络攻击的重点目标。
图16 2018年发现的联网工业设备厂商漫衍情况
（三）重点行业远程巡检情况
电力、石化等重点行业的生产监控管理系统因存在网络配置疏漏等问题，可能会直接袒露在互联网上，一旦遭受网络攻击，影响巨大。为评估重要行业联网工业监控管理系统的网络宁静风险情况，2018年CNCERT对电力、都市公用工程、石油天然气三个行业开展了远程宁静巡检事情，发现电力行业袒露相关监控管理系统532个，涉及政府监管、电企管理、用电管理和云平台4大类；都市公用工程行业袒露相关监控管理系统1,015个，涉及供水、供暖和燃气3大类；石油天然气行业袒露相关监控管理系统298个，涉及油气开采、油气运输、油气存储、油品销售、化工生产和政府监管6大类，如图17所示。同时，CNCERT分析发现，电力、都市公用工程和石油天然气三个行业的联网监控管理系统均存在高危漏洞隐患，各自占监控管理系统的比例为10%、28%和35%，且部门袒露的监控管理系统存在遭境外恶意嗅探、网络攻击的情况。
图17 2018年发现的重点行业联网监控管理系统分类
六、互联网金融宁静
为实现对我国互联网金融平台网络宁静总体态势的宏观监测，CNCERT发挥技术优势，建设了国家互联网金融风险分析技术平台网络宁静监测功效，对我国互联网金融相关网站、移动APP等的宁静风险进行监测。2018年，CNCERT支撑相关部门，就北京地域275家网贷机构运营的275个网贷平台网站、192个移动APP进行网络宁静检查，并对其提交的落实网络宁静事情的质料进行审核，以作为这些网贷机构能够获得网贷存案的须要条件。
（一）互联网金融网站宁静情况
2018年，CNCERT发现互联网金融网站的高危漏洞1,700个，其中XSS跨站脚本类型漏洞占比最多有782个（占比46.0%）；其次是SQL注入漏洞476个（占比28.0%）和远程代码执行漏洞85个（占比5.0%），如图18所示。近年来，随着互联网金融行业的生长，互联网金融平台运营者的网络宁静意识有所提升，互联网金融平台的网络宁静防护能力有所加强，特别是规模较大的平台，但仍有部门平台宁静防护能力不足，宁静隐患较多，CNCERT监测发现高�；チ鹑谕�330个，其中部门平台存在的高危漏洞数量凌驾10项。
图18 互联网金融网站高危漏洞漫衍情况
（二）互联网金融APP宁静情况
在移动互联网技术生长和应用普及的配景下，用户通过互联网金融APP进行投融资的活动愈加频繁，绝大多数的互联网金融平台通过移动APP开展业务，且有部门平台仅通过移动APP开展业务。2018年，CNCERT对430个互联网金融APP进行检测，发现宁静漏洞1,005个，其中高危漏洞240个，明文数据传输漏洞数量最多有50个(占高危漏洞数量的20.8%)，其次是网页视图（Webview）明文存储密码漏洞有48个（占20.0%）和源代码反编译漏洞有31个（占12.9%），如图19所示。这些宁静漏洞可能威胁交易授权和数据�；�，存在数据泄露风险，其中部门宁静漏洞影响应用法式的文件�；�，不能有效阻止应用法式被逆向或者反编译，进而使应用袒露出多种宁静风险。
图19 互联网金融移动APP高危漏洞漫衍情况
（三）区块链系统宁静情况
陪同互联网金融的生长，攻击者攻击互联网金融平台牟利的手段不停升级，并融合了金融业务特征，泛起“互联网+金融”式攻击，尤其是在区块链数字货币等业务领域体现得更为明显。首先，区块链系统往往自带金融属性，直接运行数字货币等资产；其次，区块链相关代码多为开源，容易袒露风险；第三，区块链系统在对等网络环境中运行，网络中的节点防护能力有限；第四，用户自行保管私钥，一旦丢失或偷取无法找回；第五，相关业务平台生长时间短，系统宁静防护经验和手段不完善、全面性和强度不足。2018年3月，虚拟数字货币交易平台“币安”遭攻击。攻击者偷取用户在该平台的交易接口密钥，通过自动化交易大幅拉升“维尔币（VIA）”的价格。攻击者提前在币安埋下VIA的高价卖单，利用其巨额涨幅获取暴利。同时黑客通过散播攻击的消息，导致短时间市场泛起恐慌，市场价格大幅下跌，黑客也可在其他交易平台通过瞬时做空的形式获利；这种攻击方式通过偷取用户信息恶意利用行情变化获利，方式新颖，防范难度大。
陈诉中引用的第三方数据：
卡巴斯基全球DDoS攻击趋势陈诉（2015.Q1-2018.Q4）
中国电信云堤、绿盟科技联合宣布的《2018DDoS攻击态势陈诉》
阿里云《2018年DDoS攻击全态势：战胜第一波攻击成“抗D” 要害》
②相关信息来源于
360威胁情报中心《全球高级连续性威胁(APT)2018年陈诉》
⑤相关数据来源于
中国互联网络信息中心宣布的第43次《中国互联网络生长状况统计陈诉》
(来源：国家互联网应急中心CNCERT微信公众号)
京公网安备11010802024551号