中国电信中国联通：2023年全球DDoS攻击态势分析报告

lctf中国联通chnauncom联通NEUSGUARD"HUAWEI2023年全球DDoS攻击天翼安全科技有限公司、联通数科安全、百度安全、Nexusguard、2023年全球DDoS攻击现状与趋势分析关键信息摘要关键信息摘要021.1专家观点021.2DDoS攻击态势021.3DDoS僵尸网络态势031.4DDoS攻击源态势031.5典型攻击分析04现状与趋势现状与趋势2.1DDoS攻击态势052.2DDoS僵尸网络态势312.3DDoS攻击源态势33典型典型DDoS攻击分析353.1扫段攻击353.2DNS攻击40专家观点专家观点43数据来源数据来源452023年全球DDoS攻击现状与趋势分析观点1：瞬时泛洪攻击秒级加速，挑战防御系统的响应速度。需探索更为高效的检测和清洗技术。例如设备厂商研制高效随路检测路由器，运营商研发端网协同防御技术，以有效缩短TTM（TimetoMitigation）。观点2：高速加密攻击挑战解密防御性能，低速CC攻击绕过WAF，挑战防御系统有效性。利用行为分析算法1.2DDoS攻击态势032023年全球DDoS攻击现状与趋势分析传媒和互联网、政府和公共事业、教育、金融攻击频次占比依次为59.88%、11.75%、2.98%、2.85%。能源全球攻击目标地域分布排序依次为APAC、LATAM、EMEA、AMER，中国TOP3攻击目标地域分布为吉林、1.3DDoS僵尸网络态势僵尸家族分布：DDoS僵尸家族以IoT和Linux为主，按活跃C2数量排名的TOP5僵尸家族分别是Mirai、Gafgyt、Mozi、XorDDoS和Dofloo，占比依次为61.73%、34.24%、2.15%、1.29%、0.58%。34.38%、25.16%、1.59%；C2中国TOP3地域分布为广东、河南和香港，占比依次为25.81%、21.46%、15.83%。1.4DDoS攻击源态势肉鸡地域分布：肉鸡海外地域分布，按AMER、EMEA、APAC、LATAM统计，占比依次为33.34%、330.42%、4.07%；肉鸡中国TOP3地域分布为河南、浙江和广东，占比依次为14.03%、12.67%、9.88%。肉鸡运营商/服务提供商分布：中国TOP3肉鸡运营商/服务提供商分布依次是电信、联通和阿里云，占比依次是53.18%、33.19%、6.24%；海外TOP3DDoS肉鸡运营商/服务提供商分布依次是Amazon、KE和Google，占比依次是59.56%、10.88%、5.34%。2023年全球DDoS攻击现状与趋势分析2023年扫段攻击频次快速增长，为躲避防御，低速扫段攻击成为主流，惯用“短平快”战术，多采用混合攻段攻击持续时间小于5分钟时，93.90%的单个目标IP的攻击持续时间不超过10秒。当采用长周期的高速扫段2023年针对DNS服务器的攻击无论是攻击复杂度还是攻击强度均创新高。DNS攻击峰值QPS从百万次级别快速提升至亿次级别。11月份，百度监测到DNS攻击流量峰值速率高达2023年全球DDoS攻击现状与趋势分析2.1DDoS攻击态势2021-2023年攻击峰值带宽月度分布（Gbps）3,1899991,0909997367361,3011,0331,0331,1001,0411,1008148141,1201,0868948941,2001,0831,0781,0781,2201,3421,2209349341,8801,2589859851,5931,5208821,2408822,5052,2108301,2001,3009782,2108301,2001,3009781,0141,0141,5181,2099981月2月3月4月5月2021年6月7月8月9月10月11月12月2022年2023年攻击成本持续降低，导致攻击规模持续增长。从近年全球记录的年度最大攻击来看，单次攻击的峰值流量带2023年全球DDoS攻击现状与趋势分析全球最大DDoS攻击趋势3,4702,7953,1892,7952,5052,3001,0209728878616001001002302301617.417.21617.420192020202120222023峰值请求速率Mrps峰值包速率Mpps扫段攻击C段数量峰值带宽Gbps2023年攻击峰值带宽地域分布（Gbps）2,505582592582116AMERAPACEMEA2023年攻击峰值包速率地域分布（Mpps）97254485411AMERAPACEMEA2023年全球DDoS攻击现状与趋势分析2021-2023年超500Gbps攻击频次月度分布3,6631,5671,2841,4201,284999756719518654605375353196416392123372324181255252161276224285881661176214533802889124317075671951865460537535319641639212337232418125525216127622428588166117621453380288912431701月2月3月4月5月6月7月8月9月10月11月12月 C2021年o2022年o2023年2021-2023年超800Gbps攻击频次月度分布1107561524235332728272728151261215126105171775491051717754366352261oo36635221月2月3月4月5月6月7月8月9月10月11月12月2021年2022年2023年2023年全球DDoS攻击现状与趋势分析2021-2023年攻击峰值包速率月度分布（Mpps）9735255255804484484386694754758616684735154705154464813843843265255133163165025784886814634636874434433837225063066521月2月3月4月5月6月7月8月9月10月11月12月2021年2022年2023年2021-2023年平均攻击峰值带宽月度分布（Gbps）1219988828482797779737071737069646564756263646564756258575758576260626260485657434448565743535052535033453133452131211月2月3月4月5月6月7月8月9月10月11月12月 o2021年o2022年o2023年2023年全球DDoS攻击现状与趋势分析2021-2023年平均攻击峰值包速率月度分布（Mpps）2822211918181817171716191516151619151417161312141513151417161312141513131513151310101310131310101310912981181081月2月3月4月5月6月7月8月9月10月11月12月2021年2022年2023年2023年的第二、第三和第四季度相比往年，攻击流量峰值区间分布发生较大变化。其中第二季度100-2021-2023年攻击流量峰值带宽区间分布0.67%0.32%1.54%0.27%0.29%0.62%1.50%2.92%1.46%0.09%0.13%0.21%0.26%0.88%1.23%0.30%0.36%0.59%0.77%1.05%0.95%0.43%0.62%0.25% 1.08%2.47%12.81%10.43%10.22%4.80%4.51%33.57%19.18%2.75%2.75%5.20%16.05%9.46%15.90%5.12%9.59%29.24%5.50%3.73%3.73%4.83%10.47%12.11%14.66%6.52%4.91%30.17%9.82%2.35%2.35%6.99%9.38%10.75%17.01%5.58%9.15%20.67%17.55% 1.22%3.25%17.21%17.24%23.14%12.47%8.13%11.75%4.95%1.79%1.79%4.94%11.03%26.03%19.39%6.52%4.98%18.02%6.10%2.35%2.35%5.06%17.49%18.40%13.13%6.26%5.76%22.72%6.56%2.18%2.18%5.05%12.01%18.09%19.34%11.92%7.60%13.84%6.00%2.87%2.87%4.50%9.92%16.91%24.75%10.73%9.39%14.62%3.90%0.65%0.65%1.20%1.20%24.75%11.03%13.42%13.86%13.86%13.09%16.00%16.00%5.48% 1.18%2.94%7.52%8.20%10.80%9.76%8.54%15.83%34.47%1.38%1.38%3.75%5.92%7.82%12.68%15.32%18.97%26.43%7.26%2021Q12021Q22021Q32021Q42022Q12022Q22022Q32022Q42023Q12023Q22023Q32023Q4<1G1-5G5G-10G10G-20G20-50G50-100G100-200G200-300G300-400G400-500G>=500G2023年全球DDoS攻击现状与趋势分析2023年超100Gbps网络层攻击峰值区间分布0.00%4.13%0.83%3.64%1.38%1.05%2.05%3.34%1.62%1.36%0.83%0.00%4.13%0.83%2.13%7.82%3.49%6.05%6.05%34.63%38.44%2.20%7.19%2.76%4.24%4.47%2.13%7.82%3.49%6.05%6.05%34.63%38.44%2.20%7.19%2.76%4.24%4.47%35.37%42.71%3.06%6.94%7.38%12.86%20.68%22.99%22.47%9.45%10.47%8.43%11.63%9.45%17.15%30.09%3.57%6.17%8.77%8.44%11.04%17.86%42.53%2.73%6.82%3.64%2.73%3.18%24.09%55.45%1.24%21.49%18.60%52.89%4.00%5.10%5.05%6.25%6.10%26.86%44.57%100-200Gbps200-300Gbps300-400Gbps400-500Gbps500-600Gbps600-700Gbps700-800Gbps>800GbpsUDP反射UDPFloodSYNFloodACKFloodTCP反射UDPFragmentFloodOtherFloodICMPFlood2021-2023年攻击频次月度分布400,000350,000300,000250,000200,000150,000100,00050,00001月2月3月4月5月6月7月8月9月10月11月12月 o2021年o2022年O2023年2023年全球DDoS攻击现状与趋势分析2023年攻击频次地域分布6.49%88.83%2.61%88.83%2.61%2.07%APACEMEAAMERLATAM2023年瞬时泛洪攻击2秒流量即可爬升至近500G600500攻击峰值带宽︵攻击峰值带宽︵Gbps︶40030020010004814544204544043973753973633173383073853173383072162091791330 c c样本13秒 。样本2o样本3o样本4o样本5攻击峰值带宽︵Gbps︶2023年全球攻击峰值带宽︵Gbps︶1200100080060040020009689239619619639659689239619616816817516816817510秒10秒20秒 o0秒10秒20秒 o2022年2021年 o2023年2021年2021-2023年网络层攻击类型分布UDPFloodUDPReflectionSYNFloodACKFloodUDPFragmentFloodTCPReflectionTCPConnectionFloodICMPFloodFIN/RSTFloodTCPFragmentFlood21.63%21.63%16.49%16.49%18.10%14.58%18.10%14.58%14.00%30.30%14.53%26.45%30.30%14.53%26.45%14.34%23.56%11.16%5.81%3.82%8.24%3.15%4.86%6.56%2.48%0.58%0.39%2.39%1.63%2.97%1.50%3.06%4.72%0.41%0.41%1.09%40.80%2021年2022年2023年2023年全球DDoS攻击现状与趋势分析2021-2023年TOP5UDP反射类型分布Memcached45.15%5.62%19.66%26.23%28.41%26.14%18.24%41.19%7.33%3.85%3.49%3.04%3.60%9.53%58.51%2021年2022年2023年1.91%30.30%1.91%30.30%11.01%6.00%0.90%7.79%2.35%5.43%3.53%5.24%3.45%1.46%0.23%0.21%0.12%.16%4%37.59%6.67%3.18%5.91%1.71%27.95%.35%7.29%11.77%6.38%3.16%2023年2022年2021年4.46%4.46%7.41%7.41%67%67%6.43%0%10%20%30%40%50%60%70%80%90%100%8044368975471900213306222353172358000338950603001014432023年全球DDoS攻击现状与趋势分析2021-2023年应用层攻击类型分布HTTPFloodHTTPSFlood20.15%32.55%49.06%7.39%20.81%9.43%34.91%22.66%34.91%22.66%8.81%23.98%6.60%63.65%2021年2022年2023年2023年混合攻击占比较2022年有所降低，占比53.75%，但仍然是主流。单一攻击占比提升的主要原因是2021-2023年攻击矢量分布1Vector2Vectors3Vectors4Vectors>=5Vectors36.53%16.91%4.97%17.25%19.53%2.15%9.14%13.58%0.77%6.32%13.29%36.69%30.76%36.69%30.76%46.25%45.87%2021年2022年2023年2023年全球DDoS攻击现状与趋势分析高速HTTP/HTTPS应用层攻击高速HTTP/HTTPS应用层攻击强度一般在千万级甚至亿次级RPS，一次攻击事件使用的肉鸡数量在5,000-30,000之间，肉鸡多为高性能的服务器或云主机，单个肉鸡的攻击速率约2,000-10,000rps，攻击多采用HTTP1.0attackHTTP1.1pipeliningattackHTTP2.0multiplexingattackHTTP2.0rapidresetattackBotServerRequestRequestResponseResponseRequestCloseconnectionRequestResponseResponseCloseconnectionBotServerRequestRequestResponseRequestResponseRequestResponseResponseCloseconnectionBotServerRequest1Request1Response1Response2Response3Request2Request3Response1Response2Response3Request2Request3Request5Request6Request7Request5Request6Request7CloseconnectionBotServerRequestRequestRstRstCloseconnection2023年全球DDoS攻击现状与趋势分析HTTP1.1pipelining攻击抓包》HTTP2.0multiplexing攻击分析2023年全球DDoS攻击现状与趋势分析2023年全球DDoS攻击现状与趋势分析为了防止HTTP2.0被利用形成高速应用层攻击，HTTP2.0协议通过SETTINGS_MAX_CONCURRENT_2023年全球DDoS攻击现状与趋势分析低速HTTP/HTTPS应用层攻击2023年11月份，某金融企业遭受持续性加密攻击，攻击采用“秒拨”技术，单个攻击源请求速率低，防2023年全球DDoS攻击现状与趋势分析地址沦为“肉鸡”。本次针对金融企业的攻击同时使用了9个城域网的家庭宽带NAT地址池2023年全球DDoS攻击现状与趋势分析》利用不常用Method发起的低速HTTP攻击分析利用不常用Method请求发起的低速攻击抓包2023年全球DDoS攻击现状与趋势分析GETGET/api/feedback/index/environment/variable?random=0.40249836870292444HTTP/1.1Host:User-Agent:Mozilla/5.0(WindowsNT10.0;Win64;x64)AppleWebKit/537.36(KHTML,likeGecko)Chrome/Safari/537.36Accept:application/json,text/javascript,*/*;q=0.01Accept-Encoding:gzip,deflateAccept-Language:zh-CN,zh;q=0.9,en-US;q=0.8,en;q=0.7Connection:closeContent-Type:application/jsonReferer:/market/index.htmlX-Request-Type:ajaxX-Requested-With:XMLHttpRequest2023年全球DDoS攻击现状与趋势分析利用TOA漏洞的攻击抓包场景1：TOA伪装成白名单，越权访问攻击者2023年全球DDoS攻击现状与趋势分析场景2：TOA伪装成“仇家”IP，实现攻击栽赃6.通过修改DNS记录，零成本“转移”攻击危害通过修改DNS记录，零成本“转移”攻击危害1122332023年全球DDoS攻击现状与趋势分析2023年攻击发生时间段和往年一样，为2023年攻击发生时段分布01234567891011121314151617181920212223<1G1-5G5-10G10-20G20-50G50-100G100-200G200-300G>300G2023年攻击频次周天分布周一周二2023年全球DDoS攻击现状与趋势分析2021-2023年网络层攻击持续时间分布<=5分钟5-10分钟10-30分钟30-60分钟1-12小时>12小时56.25%57.40%43.03%22.64%14.65%19.39%14.68%18.50%19.30%3.76%4.13%8.07%2.29%4.61%9.01%0.38%0.71%1.21%2021年2022年2023年2021-2023年应用层攻击持续时间分布<=5分钟5-10分钟10-30分钟30-60分钟1-12小时>12小时29.63%29.63%40.49%26.67%29.20%11.67%29.54%19.27%11.76%6.73%4.05%3.81%6.58%4.41%4.72%0.85%1.47%0.38%67.66%2021年2022年2023年2023年全球DDoS攻击现状与趋势分析2021-2023年攻击持久性分布1次2-5次5-10次10-50次50-100次100次以上33.90%34.08%30.07%38.62%36.14%9.49%11.26%14.49%12.34%12.03%12.34%12.03%8.38%1.16%1.88%1.46%1.42%2.00%1.81%49.49%2021年2022年2023年2023年，传媒和互联网、政府和公共事业、教育、金融依然是TOP4攻击目标行业，攻击频次占比依次为2023年行业攻击频次分布11.75%2.98%2.85%1.74%1.31%0.72%0.43%0.70%0.11%19.26%59.88%2023年全球DDoS攻击现状与趋势分析2021-2023年行业攻击频次分布显示，能源行业和工业互联网受攻击频次占比连续三年增长；其他企业受攻2021-2023年行业攻击频次趋势分布59.88%51.57%78.02%1.74%2.98%9.62%017%11.75%18.90%5.31%1.31%2.83%59.88%51.57%78.02%1.74%2.98%9.62%017%11.75%18.90%5.31%1.31%2.83%0.33%0.72%0.38%6.30%0.43%0.22%0.14%0.11%0.13%0.03%17.52%12.31%4.22%0.70%0.18%001%2.85%3.87%5.48%2021年2022年2023年2021-2023年中国金融行业攻击频次月度分布65957758557754948948248648948246434446434439637034732029435029433231725531724127016923916917220512781143816265623839253738392581381月2月3月4月5月6月7月8月9月10月11月12月2021年2022年2023年2023年全球DDoS攻击现状与趋势分析2021-2023年行业攻击强度分布（Gbps）3,1892,5051,8801961165882223519321213611351275222432021年峰值2022年峰值2023年峰值2023年中国金融行业遭受的最大攻击峰值带宽为116Gbps，发生在11月，采用混合攻击，主要包括NTP反2021-2023年中国金融行业攻击峰值带宽月度分布（Gbps）196491165854322235217241421223191414911658543222352172414212231914129211371月2月3月4月5月6月7月8月9月10月11月12月2021年2022年2023年2023年全球DDoS攻击现状与趋势分析2023年攻击目标大洲分布2.02%1.66%12.51%83.81%AMER2022-2023年攻击目标中国地域分布 广东北京江苏浙江香港上海湖北辽宁 湖南福建河北河南 重庆安徽天津云南新疆贵州 广西江西西藏海南宁夏甘肃 ll2022年2023年2023年全球DDoS攻击现状与趋势分析2.2DDoS僵尸网络态势DDoS僵尸家族以IoT和Linux为主。2023年，按活跃C2数量排名的TOP5僵尸家族分别是Mirai、Gafgyt、2023年DDoS僵尸家族TOP5分布MiraiGafgytMoziXorDDosDofloo34.24%2.15%1.29%l0.58%61.73%2023年DDoS僵尸网络C2海外地域分布1.59%25.16%34.38%38.88%AMER2023年全球DDoS攻击现状与趋势分析2023年DDoS僵尸网络C2中国地域分布河南香港 江苏浙江 湖南辽宁 江西湖北福建上海河北北京广西安徽云南 重庆天津 海南甘肃新疆贵州澳门21.46%15.83%6.91%5.85%5.55%3.92%2.24%2.05%1.12%1.07%1.04%1.02%0.90%0.84%0.77%0.65%0.55%0.53%0.46%0.29%0.26%0.25%0.24%0.16%0.07%0.06%0.04%0.03%0.02%0.01%0.01%25.81%2023年全球DDoS攻击现状与趋势分析2.3DDoS攻击源态势2023年DDoS肉鸡海外地域分布4.07%33.34%33.34%30.42%32.17%AMER2023年DDoS肉鸡中国地区分布浙江广东江苏香港辽宁 台湾上海湖北 湖南河北福建安徽云南江西 广西 海南贵州新疆甘肃宁夏 澳门12.67%9.88%8.99%8.39%5.52%4.46%3.24%3.23%2.96%2.94%2.82%2.55%2.50%2.48%2.12%1.99%1.67%1.47%1.22%1.11%0.82%0.75%0.63%0.62%0.35%0.17%0.16%0.15%0.07%0.04%14.03%2023年全球DDoS攻击现状与趋势分析2023年DDoS肉鸡中国TOP5运营商分布1.49%5.90%53.18%33.19%6.24%53.18%33.19%6.24%2023年DDoS肉鸡海外TOP10运营商分布2.36%2.18%2.72%3.37%3.72%4.62%5.24%59.56%5.34%10.88%wAmazonKEWGoogleLLCWBSNLWOVHWHetznerwCloudflarewNTTMicrosoft2023年全球DDoS攻击现状与趋势分析典型DDoS攻击分析2022年1月2022年2月2022年3月2022年4月2022年5月2022年6月2022年1月2022年2月2022年3月2022年4月2022年5月2022年6月2022年7月2022年8月2022年9月2022年10月2022年11月2022年12月2023年1月2023年2月2023年3月2023年4月2023年5月2023年6月2023年7月2023年8月2023年9月2023年10月2023年11月2023年12月2023年全球DDoS攻击现状与趋势分析2023年低速&高速扫段攻击分布26.81%26.81%73.19%73.19%2023年单个C段攻击持续时间分布0.02%7.64%0.02%11.69%14.85%22.54%43.26%<5分钟5-10分钟10-30分钟30-60分钟1-12小时>12小时2023年全球DDoS攻击现状与趋势分析6.10%17.30%33.20%17.30%43.40%3秒5秒10秒其他当针对单个C段的攻击持续时间较长且采用高速扫段时，攻击者会结合“脉冲”攻击手法，就单个目标IP而11:10:0011:25:0011:40:0011:55:0012:10:0012:25:0012:40:0012:55:0013:10:0013:25:0013:40:0013:55:0014:10:0014:25:0014:40:0014:55:0015:10:0015:25:0015:40:0015:55:0016:10:0016:25:0016:40:0016:55:0017:10:0017:25:0017:40:0017:55:0018:10:0018:25:0011:10:0011:25:0011:40:0011:55:0012:10:0012:25:0012:40:0012:55:0013:10:0013:25:0013:40:0013:55:0014:10:0014:25:0014:40:0014:55:0015:10:0015:25:0015:40:0015:55:0016:10:0016:25:0016:40:0016:55:0017:10:0017:25:0017:40:0017:55:0018:10:0018:25:00454035302520151050454035302520151050攻击流量峰值带宽︵Gbps︶2023年全球DDoS攻击现状与趋势分析1816141210864202023/10/132023/10/1323:452023/10/1323:462023/10/1323:472023/10/1323:482023/10/1323:492023/10/1323:502023/10/1323:512023/10/1323:522023/10/1323:532023/10/1323:542023/10/1323:552023/10/1323:562023/10/1323:572023/10/1323:582023/10/1323:592023/10/140:002023/10/140:012023/10/140:022023/10/140:032023/10/140:042023/10/140:052023/10/140:062023/10/140:072023/10/140:082023/10/140:092023/10/140:102023/10/140:112023/10/140:122023/10/140:132023/10/140:142023/10/140:152023/10/140:162023/10/140:172023/10/140:182023/10/140:192023/10/140:202023/10/140:212023/10/140:222023/10/140:232023/10/140:242023/10/140:252023/10/140:262023/10/140:272023/10/140:282023/10/140:292023/10/140:302023/10/140:312023/10/140:322023/10/140:332023/10/140:342023/10/140:352023/10/140:362023/10/140:372023/10/140:382023/10/140:392023/10/140:402023/10/140:412023年扫段攻击矢量分布86.96%13.04%13.04%2023年全球DDoS攻击现状与趋势分析攻击者通过使用反射攻击提升扫段攻击对被攻击企业的带宽拥塞威胁，通过使用虚假源泛洪攻击加大防御系2023年扫段攻击类型分布2.54%2.31%9.94%35.15%24.84%25.23%ACKFloodUDPReflectionUDPFloodSYNFloodICMPFloodTCPReflection2023年全球DDoS攻击现状与趋势分析3.2DNS攻击DNS作为重要的网络基础设施，是DDoS攻击重要目标。对比2021-2023年DNS攻击频次趋势20212021年1月20212021年2月20212021年3月20212021年4月20212021年5月20212021年6月20212021年7月20212021年8月20212021年9月20212021年10月20212021年11月20212021年12月20222022年1月20222022年2月20222022年3月20222022年4月20222022年5月20222022年6月20222022年7月20222022年8月20222022年9月20222022年10月20222022年11月20222022年12月20232023年1月20232023年2月20232023年3月20232023年4月20232023年5月20232023年6月20232023年7月20232023年8月20232023年9月20232023年10月20232023年11月20232023年12月3.2.2DNS攻击强度迅猛攀升至亿次QPS级别2021-2023年DNS攻击峰值QPS趋势