95015网络安全应急响应分析报告（2023上半年）

主要观点 政府部门、事业单位、金融行业是2023年上半年网络安全应急响应事件最为高发的行业。这也意味着网络安全问题对重要部门的数据安全仍然构成严重威胁。 当前国内绝大多数政企机构在网络安全基础设施建设和网络安全运营能力方面存在严重不足。一方面，仅有12.7%的政企机构能够通过安全巡检提前发现问题，避免损失，而绝大多数政企机构只能在重大损失发生之后，或被第三方机构通报后才能发现安全问题；另一方面，攻击者利用弱密码、永恒之蓝等常规漏洞攻击主机、服务器的事件占比近三分之一。 由内部人员违规操作触发的应急响应事件约占2023年上半年95015服务平台接报事件总量的四分之一。公网泄露敏感信息、高危端口对公网开放、下载盗版软件等由于安全意识淡薄而引发的内网服务器受感染导致勒索病毒蔓延、数据泄露甚至是服务器失陷事件层出不穷。由此可见，大中型政企机构加大力度提升内部员工网络安全防范意识迫在眉睫。 2023年上半年接收的安全事件中有小部分来自政企机构内部实战攻防演习活动，通过实际的攻击模拟和防御演练，企业可以更好地发现和识别可能存在的安全漏洞，能够尽早发现并修复潜在的威胁，防止实际攻击的发生，减少潜在的损失。 摘要 2023年上半年，95015服务平台共接到全国政企机构网络安全应急事件376起。奇安信安服团队处置相关事件累计投入工时3157.1小时，折合394.6人天，处置一起应急事件平均用时8.4小时。从行业分布来看，2023年上半年，95015服务平台接报的网络安全应急响应事件中，政府部门报告的事件最多，为70起；其次是事业单位51起；金融机构排第三，为50起。此外，制造业、医疗机构、交通运输等行业也是网络安全应急响应事件高发行业。47.6%的政企机构，是在系统已经出现了非常明显的入侵迹象后进行的报案求助；33.8%的政企机构，是在被攻击者勒索之后，拨打的95015。而真正能够通过安全运营巡检，提前发现问题的仅占比12.7%。从网络安全事件的影响范围来看，63.6%的事件主要影响业务专网，主要影响办公网的事件占比为36.4%。而从受影响的设备数量来看，失陷服务器为5481台，失陷办公终端为3817台。业务专网、服务器是网络攻击者攻击的主要目标。从网络安全事件造成的损失来看，造成生产效率低下的事件152起，占比为40.4%；造成数据丢失的事件86起，占比22.9%；造成数据泄漏的事件43起，占比11.4%；此外，造成声誉影响的事件22起，造成数据被篡改的事件18起。内部人员为了方便工作等原因进行违规操作，进而触发应急响应的网络安全事件多达98起。这一数量仅次于黑产活动（106起），超过了以窃取重要数据（71起）和敲诈勒索（68起）等为目的的外部网络攻击事件的数量。以恶意程序为主要手段的网络攻击最为常见，占比为34.3%，其次是漏洞利用，占比为31.9%；钓鱼邮件排第三，占比为7.2%。网络监听攻击、网页篡改、Web应用CC攻击和拒绝服务攻击等也比较常见。应急事件分析显示，勒索病毒、挖矿木马、蠕虫病毒是攻击者使用最多的恶意程序类型，分别占到恶意程序攻击事件的20.7%、12.0%和7.2%。此外，网站木马、永恒之蓝下载器木马、DDOS木马、APT专用木马等也都是经常出现的恶意程序类型。在应急响应事件处置的勒索软件中，排名第一的是Phobos勒索软件，2023年上半年触发大中型政企机构网络安全应急响应事件12次；其次是LockBit勒索软件10次，Wannacry勒索软件和Makop勒索软件6次。这些流行的勒索病毒，十分值得警惕。弱口令是攻击者在2023年上半年利用最多的网络安全漏洞，相关应急事件多达133起，占比35.4%。其次是永恒之蓝漏洞，相关利用事件为84起，占比22.3%。 关键词：95015、应急响应、安全服务、弱口令、内部违规、敲诈勒索、漏洞利用 目录 第一章网络安全应急响应形势综述..............................................................1第二章应急响应事件受害者分析..................................................................2一、行业分布...........................................................................................2二、事件发现...........................................................................................2三、影响范围...........................................................................................3四、事件损失...........................................................................................4第三章应急响应事件攻击者分析..................................................................5一、攻击意图...........................................................................................5二、攻击手段...........................................................................................5三、恶意程序...........................................................................................6四、漏洞利用...........................................................................................7第四章应急响应典型案例分析.....................................................................9一、某企业数据库服务器感染Mallox勒索病毒应急事件.........................9(一)事件概述...........................................................................................9(二)防护建议.........................................................................................10二、某单位官网被挂黑链事件应急处置..................................................10(一)事件概述.........................................................................................10(二)防护建议.........................................................................................11三、某运营商用户路由器劫持应急事件处置..........................................11(一)事件概述.........................................................................................11(二)防护建议.........................................................................................12四、某企业感染WatchDogs挖矿病毒应急事件.......................................12(一)事件概述.........................................................................................12(二)防护建议.........................................................................................13五、某企业50+台办公PC使用非官方KMS激活工具，致全部感染蠕虫病毒应急事件.................................................................................................13(一)事件概述.........................................................................................13(二)防护建议.........................................................................................14附录1 95015网络安全服务热线....................................................................15附录2奇安信集团安服团队...........................................................................16附录3网络安全应急响应图书推荐................................................................17 第一章网络安全应急响应形势综述 2023年1~6月，95015服务平台共接到全国范围内网络安全应急响应事件376起，奇安信安服团队第一时间协助政企机构处置安全事故，确保了政企机构门户网站、数据库和重要业务系统等的持续安全稳定运行。 综合统计数据显示，在2023年上半年376起网络安全应急响应事件的处置中，奇安信安服团队累计投入工时为3157.1小时，折合394.6人天，处置一起应急事件平均用时8.4小时。其中，1月份，因春节假期期间，应急响应处理量略有减少。 第二章应急响应事件受害者分析 本章将从网络安全应急响应事件受害者的视角出发，从行业分布、事件发现方式、影响范围、以及攻击行为造成的影响等几个方面，对95015服务平台2023年上半年接报的376起网络安全应急响应事件展开分析。 一、行业分布 从行业分布来看，2023年上半年，95015服务平台接报的网络安全应急响应事件中，政府部门报告的事件最多，为70起，占比18.6%；其次是事业单位，为51起，占比13.6%；金融机构排第三，为50起，占比13.3%。此外，制造业、医疗机构、交通运输等行业也是网络安全应急响应事件高发行业。 下图给出了不同行业网络安全应急响应事件报案数量的TOP10排行。 二、事件发现 从安全事件的发现方式来看，47.6%的政企机构，是在系统已经出现了非常明显的入侵迹象后进行的报案求助；33.8%的政企机构，是在被攻击者勒索之后，拨打的95015网络安全服务热线。这二