《2023年DDoS攻击威胁报告》

绿盟科技集团股份有限公司（以下简称绿盟专家观点攻击者逐渐青睐利用专用云服务器（VPS）作为攻击源3背后或有国家级力量参入2.1整体攻击规模持续增长，大规模攻击频现峰值带宽和峰值包速率总量双增长9互联网和关基成为重灾区年度DDoS大事件22023年，HTTP/2RapidReset和SLP反射放大攻击等新兴DDoS攻击手段不断涌现，攻击等手段。攻击者广泛利用物联网设备、虚拟专用服务器等媒介，提升了攻击的复杂性，使得检测和应对变得愈发困难。同时，随着攻击工具逐步走向商业化和服务化，攻击工具的获取变得更加容易，甚至无需攻击者具备高级技术能力，例如国外知名的DDoS攻击平台stress.ru，任何用户都可以通过付费服务发起自定义攻击。近年来，随着地缘政治紧张局势的升级，攻击者越来越倾向于利用DDoS攻击作为地缘政治争端中的前哨行动，DDoS攻击成本低廉，可以迅速打击对手的关键基础设施和重要网络系统，制造恐慌和混乱，使政府声誉受损，甚至造成信息孤岛，最终导致巨大经济损失和2023年10月，巴以冲突爆发，多方势力的黑客行动主义（Hacktivism）组织开始在双方网络空间区域内进行持续的博弈，攻击方式主要以DDoS攻击为主。据绿盟科技监测，以31.2继使用真实主机、僵尸网络、反射节点之后，攻击者逐渐青睐利用专用云服务器（VPS）作为攻击源长期以来，大型僵尸网络主要依赖路由器、打印机和摄像头等物联网设备来实施攻击，然而，如今攻击者的策略发生了显著变化，开始转向利用云服务厂商提供的虚拟专用服务器（VPS）进行攻击。VPS因其低成本、高带宽、匿名性和快速部署等特性，成为攻击者扩大云计算服务商所提供的虚拟专用服务器，其初衷是为初创公司和企业提供一种成本效益高且性能卓越的应用程序创建方案。这些虚拟服务器具备出色的计算能力和网络带宽，一些攻击者利用这一优势，通过购买或非法入侵控制多台VPS，进而组建新型的僵尸网络，以达2023年，绿盟科技共监测到了61491台独立VPS云主机作为DDoS攻击源，其中主要涉及谷歌、微软、亚马逊等主流云服务商。相较于2022年，该数据同比上升了35.8%。针对这部分攻击源，需要对现有的安全防护策略进行调整和完善。通常情况下，受到攻击的服务主要是面向用户交互的，而非与机器交互的。防护策略可基于云服务商I4为智能和策略性的攻击形式。自2018年以来，脉冲攻击的出现成为这一转变的有力证明。脉冲攻击的特点在于，它能够在短时间内迅速产生巨大的流量峰值，然后突然停止，并在一段时间后再次发起攻击。这种攻击方式旨在避免攻击流量被检测和拦截，从而增加了防御的难度和复杂性。2021年，扫段攻击开始出现，针对一段IP地址存在同时攻击和顺序攻击两种模式。同时攻击模式下，每个目标IP所受的攻击流量较小，但汇总在一起则形成巨大的攻击流量；顺序攻击模式下，逐个针对目标IP发起大流量攻击，但攻击时间在这种情况下，最初的DDoS攻击可能充当侦察攻击的角色，节省攻击资源，为后续更精确的攻击做好铺垫。绿盟科技监测到的测试型DDoS攻击如图所示，攻击者一开始对目标发起强度相对较小的试探性攻击，持续几天后突然发起猛烈的攻击，这种类型的攻击增加了防御2023/2/242023/2/252023/2/2在防护手段上，传统基于FLOW的检测存在滞后性，当前某些局点已经采用always主要应对大攻击流量的清洗，第二层为本地清洗，主要负责清洗本地链路带宽内的攻击。由于流量一直经过清洗设备，对于单体设备与集群方案的稳定性要求较高，同时需要定制高精52023年，地毯式DDoS攻击崛起，与传统的小范围、针对单一目标或特定小区域的攻击形成鲜明对比。这些攻击往往由具备强大攻击实力和丰富攻击资源的组织或国家发起，其主要目的是通过大规模消耗目标网络的整体带宽和服务资源，干扰特定国家或地区的关键业务和通信能力，以达到对该区域造成最大程度的破坏和影响的目的。此类攻击不仅可能导致目标国家的网络拥堵，使民众无法正常访问关键系统和服务，从而影响对重要系统和设施的信2023年11月和12月，绿盟科技监测到巴西遭受了大规模地毯式DDoS攻击。据统计，被攻击的目标数量约为880万个，占巴西IP地址总量的比例高达12%。此次攻击事件中涉1.5利益驱动下的DDoS攻击联手，成的联合行动。以2023年巴以冲突中的网络空间对抗为例，这些发起DDoS攻击的黑客组织并非孤立行动，而是基于共同利益形成互动，迅速构建所谓的“战时”利益联盟。这些组织例如，巴以冲突中的社区网络运营联盟机构（C.O.A）团队、Killnet以及AnonymousSudan等黑客团体就展现了这种趋势。此外，还有部分黑客组织因自身利益需求，会临时组建并参斯坦的黑客组织占据绝大多数，达到43个，这些组织以Killnet为代表，主要对以色列的关键网络基础设施进行攻击，涉及政府、金融、通信等多个行业。相比之下，亲以色列的组织数量较少，共有12个，主要包括IndiaCyberForce、UCC等组织，他们的攻击目标主要是有线索显示，DDoS攻击正逐渐演变成为APT和勒索攻击的前置行动，攻击者越来越频繁地利用DDoS攻击来分散事件响应团队的注意力，以便掩盖背后更为严重的安全事件。值得警惕的是，DDoS攻击本身可能仅是一个烟雾弹，其目的不再局限于简单的网络干扰，更可能借助这种方式混淆视听，误导防御人员的关注焦点，而在DDoS攻击的掩护下，实施更6为隐蔽的APT攻击、数据窃取、恶意软件注入等恶意行为。所以在DDoS攻击来临之前本地和云端做好DDoS防御协同显得尤为重要，使用本地防御设备及云端防御服务做好应对82.1整体攻击规模持续增长，大规模攻击频现2023年大规模DDoS攻击异常活跃，中国电信安全团队与绿盟科技共监测到超500Gbps攻击422次，超800Gbps攻击248次，超1Tb级别的攻击事件达到了52起，相较于2022年增长25%。9月和10月是Tb级别攻击最为集中的月份，占全年大流量攻击事件的70%。当月共监测到近500万次攻击事件，且攻击目标多数位于巴西，其攻击频率的增加可能与巴西大选后的国内冲突存在某种程度的关联。4月至6月，攻击次数呈逐渐下降趋势。相较于92023年10月30日21:15:45，电信安全团队监测到年度最大带宽攻击。攻击者采用以SSDP反射为主、叠加UDPFlood和ICMPFlood的混合攻击，攻击共持续2小时31分钟，峰值带宽2.505Tbps，攻击目标IP位于江苏电信网络。图2.32023年攻击峰值带宽月度分布（Gbps）2023年1月27日02:41:45，中国电信安全团队监测到年度最大包速率攻击，采用小报文UDPFlood，攻击共持续2小时44分钟，峰值包速率973Mpps，攻击目标IP位于四川电图2.42023年攻击峰值包速率月度分布（Mpps）2.3DDoS攻击手段呈现多元化，应用层攻击占据主流2023年，HTTPSFlood、NTP反射、UDPFragmentFlood是最受攻击者偏爱的DDoS但在当前成熟的防护机制下，其影响力已逐渐减弱。攻击者正在不断调整其攻击手段，以应2021年2022年2023年图2.52023Top10攻击手段在2021~2023变化趋势>=5vector4vector3vector>=5vector4vector3vector2.4DDoS攻击复杂度加剧，新兴攻击手段不断兴起2023年，攻击复杂度持续上升，DDoS混合攻击在2至5种以上的攻击向量维度上均出现显著增长，相较于2022年，混合攻击事件激增1.4倍。随着企业和组织安全防护体系的逐步增强，攻击者越来越倾向于采用混合攻击策略，利用系统中的多个脆弱点和漏洞进行攻击。攻击手段已从传统的单一泛洪攻击转变为结合虚假源攻击、会话攻击和应用层攻击等多同时，新兴的攻击方式如SLP反射放大攻击、HTTP/2RapidReset攻击等不断涌现，特殊的攻击方式如脉冲、扫段攻击等依然保持强劲势头。据绿盟科技监测数据显示，2023年全0.00%2.00%4.00%6.00%8.00%10.00%12.00%14.00%2022年2023年图2.62022~2023攻击矢量分布2023年，由于地缘政治冲突和国际环境动荡，巴西和巴基斯坦成为遭受DDoS攻击最多的区域，合计占比超过五成。巴西国内发生多起抗议巴西大选结果的冲突事件，巴基斯坦与印度在边境地区频繁爆发冲突，DDoS作为网络空间最强力的致瘫手段，往往是当今地缘政治冲突中敌对势力之间的开场白，攻击者会利用大规模DDoS攻击破坏对手国家/地区的关0.03%0.07%21.65%26.14%19.42%24.16%0.03%0.07%21.65%26.14%19.42%24.16%0.38%0.38%8.14%巴基斯坦美国新加坡秘鲁韩国其他攻击行业方面，2023年互联网行业遭受DDoS攻击占比高达64%，电子商务、游戏及直播等互联网领域，因涉及庞大的交易信息和用户数据而成为了攻击者主要的攻击目标。攻击此外，全球政府部门的信息化系统、公共服务遭受DDoS攻击占比达到18.61%，这与今年加强数字政府建设，对电子政务发展给予高度重视的整体趋势密切相关，攻击者或试图通金融行业遭受DDoS攻击为16.07%，金融机构涉及大量的资金流动和敏感的金融交易，0.29%0.08%0.04%0.77%0.04%0.23%63.91%互联网科技政府金融交通运输教育能源零售3.1攻击手段3.1.1UDPFragmentFlood占据网络层攻击霸主地位在2023年，UDPFragmentFlood、UDPFlood和SYNFlood是网络层攻击中数量最多的三种攻击手段。与2022年相比，UDPFlood攻击的占比略微下降，而UDPFragmentFlood攻击的占比上升了30.86%，SYNFlood攻击的占比下降了20.97%。UDPFragmentFlood在2023年成为攻击者的主流选择。攻击者通过向目标系统发送大量经过分片的UDP数据包，每个数据包均包含UDP头部及部分有效载荷，目标系统需要处相较于传统的UDPFlood攻击，此种攻击方式可以更有效地消耗网络带宽及目标系统的处理3.1.2HTTPSFlood仍为最热门应用层攻击手法2023年，HTTPSFlood攻击继续在应用层攻击中占据主导地位，占比高达55%。随着互联网的广泛普及，越来越多的网站和应用程序选择采用了HTTPS协议，以确保用户数据的被窃取或篡改。然而，HTTPSFlood攻击利用了HTTPS协议握手过程中服务器端的计算资源消耗，通过多个机器或僵尸网络发起大量合法的加密请求，致使服务器负载过高，无法正另一方面，DNS随机子域名攻击类型的占比达到了18.03%。该攻击方式通过构防火墙和其他过滤器等大部分DDoS防御体系，导致服务器资源耗尽，最终使得合法用户无防护手段上，由于DDoS清洗设备通常采用旁路部署或按需清洗的方式，因此无法获取才能接入流量。在传统的CNAME等算法失效的情况下，设备无法通过特征自动区分正常流量和攻击流量，目前只能通过限速进行防护。目前，传统的防护思路仍然主要依赖于在方案层面进行弥补，例如通过镜像流量接入学习正常域名基线进行清洗。然而，由于部署和场景的限制，实施过程相对困难。未来，可以考虑提供大规模域名白名单，并基于自学习、用户根据绿盟科技监测，NTP反射是2023年最主流的DDoS反射攻击手段，占比高达54%。由于NTP协议具有响应数据量远大于请求数据的特性，因此常被攻击者用来当做反射放大攻击的理想工具，攻击流量的放大效果可达数十甚至数百倍。而且，NTP协议被广泛用于网络时间同步，在几乎所有的计算机和网络设备中都会使用NTP协议来同步系统时另一方面，SLP反射作为2023年新兴的攻击手段，目前占比较低，仅为0.31%。然而，SLP协议具有更高的放大倍数，可将攻击流量放大数千倍，未来SLP反射很有可能成为新的2%2%1%Onvif(开放网络视频接口)CharGEN服务SSDP(简单服务发现协议)CLDAP(轻量目录访问协议)其他从被攻击服务/端口对应的攻击事件数来看，被攻击者遭受的DDoS攻击的服务以WEB80端口和443端口分别作为HTTP和HTTPS协议的标准端口，承载着Web服务的核心业务和用户数据。同时鉴于其重要性，攻击者通常会将关基单位、金融机构以及电子商务平值得注意的是，2023年，针对BGP的DDoS攻击大幅增长，边界网关协议（BGP）用于确保自治系统之间的可达性，特别是在大多数ISP之间建立路由连接。针对BGP的DDoS与此同时可以看到，伴随着全球疫情逐渐趋于稳定，居家办公数量锐减，远程登录相关图3.42023年受攻击端口趋势3.2攻击强度3.2.1攻击持久性不断增强，攻击者倾向于对单一目标多次攻击与前两年相比，2023年重复攻击同一目标的案例数量呈现上升态势。全年仅被攻击一次特别是在2023年，全年单个目标被攻击50~100次的趋势显著增加，占比高达49.96%。这意味着攻击者更加频繁地针对同一目标发起连续的攻击。出现这种趋势的部分原0.00%10.00%23.2.2DDoS攻击没有休息日稳的态势，周四的攻击次数略高。这个统计结果表明DDoS攻击无时不刻的在进行，防御者星期一星期二星期三星期四星期五星期六星期日图3.62023年DDoS攻击次数周天分布20 3.3DDoS攻击源3.3.1北美洲依旧为全球应用层DDoS主要攻击来源2023年，北美洲地区在应用层DDoS攻击方面表现出显著的增长，其所占比率高达69.54%。相较于2022年，这一比例上升了26.94%。值得注意的是，应用层DDoS攻击与网如果某地区的应用层攻击源IP活跃度较高，这表示该地区存在活跃的僵尸网络。鉴于北美洲%3.3.2DDoS攻击源复用率逐年攀升2023年全年，单个DDoS攻击源对多个目标发起攻击的比例有显著增长，增幅接近10%。这揭示了一个明显的趋势，即攻击者的攻击资源不是一次性使用，更倾向于将攻击资这种策略反映了攻击者在攻击资源方面的限制，如攻击节点数量、带宽和计算能力等。通过合理分配有限的资源至多个目标，攻击者可以最大化复用其资源，提高攻击的威力和持2111图3.82023年相同攻击源的攻击目标数量分布234.1僵尸网络4.1.1僵尸网络热衷于采用UDPFlood发起攻击2023年，新型僵尸网络团伙涌现，大量僵尸网络团伙通过Telegram、Twitter等社交平台租售DDoS攻击服务。监测数据显示，中大型僵尸台之间，可发起1000Gbps至4000Gbps的DDoS攻击流量。相同肉鸡数量的情况下，采用单个僵尸网络家族所控制的设备数量往往有限，UDP类型的DDoS攻击方式因能产生较大的攻击流量而备受僵尸网络青睐。绿盟科技数据显示，2023年度，IoT24图4.2攻击方式4.1.2发起DDoS攻击的僵尸网络家族主要集中在IoT平台Windows平台僵尸网络家族通常以服务提供者的姿态出现，充当下载器的功能，用于传播勒索、挖矿等其他类型恶意软件；数量较少的跨平台僵尸网络家族通常兼具下载、挖矿与绿盟科技监测数据显示，本年度下发DDoS攻击指令最多的僵尸网络仍以IoT平台的Mirai、Gafgyt及XorDDoS等传统类家族及其变种为主，同时又有诸多具备DDoS功能的新家族相继涌现，这些新家族同样主要集中在IoT平台。本年度DDoS攻击活动较为频繁的新boat绿盟科技于2022首次披露。2023年以来，该家族变种频出，活动频繁。该家族融合了Yeskit绿盟科技于2022年5月中旬首次发现并命名。其最新版本引起安全社区广泛关注，被命名为Chaos，最新研究确认了其背后的攻击团伙为Ares。Rapperbot绿盟科技于2022首次披露，直至2023年，Rapperbot经历了多次版本的更迭，新变种RedGoBot2023年首次出现，该家族最新版本最多支持十余种DDoS攻击方式，其背后攻击团伙的Fodcha252023年首次出现，该家族归属Scar租赁僵尸网络，Scar租赁网络价格低廉，最低仅peachyBotnet绿盟科技于2023首次披露，早期版本仅支持一种DDoS攻击方式，后面增加到了四种，绿盟科技于2023首次披露，RDDoS僵尸网络家族的主要功能为DDoS攻击，并且具备hailBot绿盟科技于2023首次披露，hailBot基于Mirai源码开发而来。早期以金融和贸易机构为绿盟科技于2023首次披露，kiraiBot是一个借鉴了Mirai源码但又添加诸多个人设计的新型Mirai变种家族，其命名来源于样本中留有的字符串信息“k2023年首次出现，CatDDoS家族在Mirai源码的基础上引入了ChaCha20算法，对一些KmsdBot该家族最早于2022年9月进入人们的视线，同年10月，KmsdBot攻击了游戏公司FiveM的服务器。该家族于V2版本开始添加了DDoS模块，截至2023年7月份已更新至V4版本，DDoS攻击模块更加完备，同时对代码做了优化，使得IoT/Windows4.2黑客组织4.2.1活跃DDoS黑客组织概况根据绿盟科技长期监测，2023年期间，活跃的DDoS黑客攻击事件主要源自NoName057(16)、EXECUTORDDOS、AnonymousSudan、SYLHETGANG-SG、RussianCyberArmyTeam、TEAMHEROX、MysteriousTeamBangladesh、DarkStromTeam、KillNet、IndiaCyberForce等地缘政治冲突和宗教问题中选边站队的黑客组织，这些攻击主262023年度活跃的DDoS黑客组织在10月份的攻击活动异常频繁，该月发生的攻击事件占本年度总攻击事件的比重超过三分之一。攻击活动的加剧与10月7日发生的巴以冲突密切相关，这一事件导致了黑客组织发起DDoS攻击的势头急剧上升。受复杂地缘政治因素的图4.4攻击组织活跃度通过对年度活跃的DDoS黑客组织发声渠道进行深入分析发现，Telegram已逐渐成为攻telegramPublicwebsitestor9350400100020003000400050006000274.2.2DDoS黑客组织攻击目标2023年，以色列、印度、印度尼西亚、乌克兰和美国等国家遭受黑客组织DDoS攻击情况相对严重，特别是以色列，遭受黑客攻击的占比高达22%。这些国家之所以成为DDoS攻4%4%4%23%5%5%5%13%6%13%6%10%6%10%9%波兰乌克兰捷克共和国瑞典德国意大利西班牙英国2023年，政府实体成为黑客组织攻击的高危领域，攻击比例高达33%。政府实体遭受的3%4%5%6%33%7%7%7%284.2.32023年典型黑客组织年3月成立，是俄乌网络战中最活跃的网络雇佣兵组织之一。KillNet在俄乌冲突期间与XakNetTeam等黑客组织协同作战，对支持乌克兰的组织和国家进行了骚扰级DDoS攻击以KillNet通过Telegram频道使用俄语、英语进行发声，并在2023年持续保持活跃，尤其在2023年1月以及12月IndiaCyberForce，简称ICF，是一个致力于维护印度利益的非政府、非营ICF通过Telegram和Twitter进行宣传活动，英语是其主要宣传语言，偶尔也会使用印地语、乌尔都语和尼泊尔语。由于宗教信仰冲突、地缘政治问题以及他国对印度的网络攻击反击等因素，ICF曾联合多个黑客联盟，如“ICN”“UNIT该组织在2023年主要针对孟加拉国、巴勒斯坦、印度尼西亚、巴基斯坦、卡塔尔等国家IndiaCyberForce组织在2023年保持活跃，尤其在2023年8月达到了高峰期。29图4.9IndiaCyberForce组织活跃度NoName057（16）也称为NoName05716、05716nnm或Nnm05716，是一支具有亲俄倾向的黑客组织，自2022年3月起开始进入公众视野，与Killnet和其他亲俄组织属于同NoName057（16）通过Telegram频道进行信息发布和行动协调，频繁宣布对各类攻击该组织在2023年主要针对捷克共和国、波兰、西班牙、德国、立陶宛等北约成员国实施了DDoS攻击，其中对捷克共和国的攻击强度尤为显著，攻击行业主要分布于交通运输、政NoName057（16）组织在2023年持续活跃，尤其是在2023年7月31日，该组织表30图4.10NoName057（16）组织活跃度AnonymousSudan是一群自称来自苏丹，出于宗教和政治动机的黑客组织，自2023年该组织在2023年主要针对美国、法国、瑞典、阿联酋、以色列等国发起DD该组织在2023年保持活跃，尤其是在2023年12月该组织呈现出较高活跃度。图4.11AnonymousSudan组织活跃度31RussianCyberArmyTeam是一个地缘政治驱使并致力于维护俄罗斯利益的黑客组织，主要在Telegram平台上通过俄语进行宣传，深度参与俄乌地缘政治冲突，通过建立社区在该组织在2023年主要针对乌克兰、波兰、摩尔多瓦、罗马尼亚、阿尔巴尼亚等国发起RussianCyberArmyTeam组织在2023年持续活跃，尤其是在2023年12月份表现出图4.12RussianCyberArmyTeam组织活跃度335.1SLP反射放大攻击SLP是一个服务发现协议，允许计算机或设备可以找到其他设备，包括打印机、文件服务器等。2023年4月，研究人员PedroUmbelino和MarcoLux在Curesec上发表博客公开了SLP协议中存在的漏洞CVE-2023-29552，该漏洞允许在未经授权的情况下使用SLP协议注册新的服务。攻击者可以利用这一漏洞发起DDoS攻击，首先通过该漏洞注册新服务直到据绿盟科技监测，攻击者已经将该攻击方法武器化。2023年12月共监测到5322起利用SLP反射放大攻击的事件，攻击目标主要以巴基斯坦、美国、中国为主，其中针对巴基斯坦的攻击均使用扫段攻击，涉及395个被攻击目标。另外，攻击者已利用该攻击方式实施了针对医疗行业的攻击，攻击目标为爱尔兰wellevate在线问诊平台。5.2HTTP/2RapidReset攻击HTTP/2协议在HTTP/1.1基础之上增加了二进制分帧，实现了HTTP流传输，客户端可以在单个TCP连接上打开多个并发流，当然也可以通过RST_STREAM帧来取消流。而且客户端可以在与服务端不进行任何方式协调的情况下发送RST_STREAM帧取消流。HTTP/2RapidReset正是利用了这一缺陷来实现攻击，研究人员发现该缺陷并提交漏洞CVE-2023-44487。攻击者在攻击时，通过HTTP/2请求打开大量流，然后立即取消每个请求，而不会等待服务器对每个请求进行响应，攻击者可以无限做此操作，虽然服务器没有响应，但还是会为34据绿盟科技监测，2023年8月，攻击者利用该攻击方式攻击了Cloudflare、AWS、Google主流云厂商的部分客户，攻击强度最高达到每秒2.01亿次请求的峰值，这导致请求吞吐量超过了Cloudflare解析TLS流量的TLS代理服务器的处理能力，许多用户访问出现“502BadGateway”错误，最高时受影响客户比率约占12%。366.1