主要观点  2023年，奇安信集团安服团队共接到应急服务需求853起。政府部门、制造业和金融机构的业务专网是2023年攻击者攻击的主要目标。  严重缺乏最基本的网络安全基础设施建设，缺乏最基本的网络安全运营能力，是当前国内绝大多数政企机构的通病。一方面，弱口令、永恒之蓝等基础漏洞仍然普遍存在，高危端口大量暴露；另一方面，仅有13.6%的政企机构能够通过安全巡检提前发现问题，避免损失，而绝大多数政企机构只能在重大损失发生之后，或被第三方机构通报后才能发现安全问题。  2023年，攻击者攻击目标仍以业务专网为主，然而办公终端问题也不容小觑。与去年相比，服务器受感染台数较去年减少2535台，办公终端受感染台数较去年增加12375台。受影响终端数量的明显增加，预示着不仅是服务器安全问题，日益凸显的终端安全问题也需要引起我们的关注。  安全意识问题已经成为制约政企机构安全生产的根本性问题：由内部人员违规操作触发的应急响应事件约占2023年95015服务平台接报事件总量的五分之一；近三成的应急事件与弱口令有关；员工被黑客钓鱼、私自下载带毒软件、滥用U盘导致系统瘫痪、乱开端口感染勒索病毒等由安全意识不足引发的应急事件层出不穷。由此可见，大中型政企机构加大力度提升内部员工网络安全防范意识迫在眉睫。  2023年接收的安全事件中有小部分来自政企机构内部实战攻防演习活动，通过实际的攻击模拟和防御演练，企业可以更好地发现和识别可能存在的安全漏洞，能够尽早发现并修复潜在的威胁，防止实际攻击的发生，减少潜在的损失。 摘 要  2023年，95015服务平台共接到全国政企机构网络安全应急事件报告853起。奇安信安服团队累计投入工时6654.0小时处置相关事件，折合831.8人天，处置一起应急事件平均用时7.8小时。  从行业分布来看，2023年，95015服务平台接报的网络安全应急响应事件中，政府部门报告的事件最多，为158起；其次是制造业107起；金融机构排第三，为96起。此外，医疗卫生、事业单位、IT信息技术等行业也是网络安全应急响应事件高发行业。  49.0%的政企机构，是在系统已经出现了非常明显的入侵迹象后，拨打的95015网络安全服务热线；33.1%的政企机构，是在被攻击者勒索之后进行的报案求助。而真正能够通过安全运营巡检，提前发现问题的仅占比13.6%。  从网络安全事件的影响范围来看，68.3%的事件主要影响业务专网，而主要影响办公网的事件占比31.7%。从受影响的设备数量来看，失陷服务器为11745台，失陷办公终端为17787台。业务专网、办公终端是网络攻击者攻击的主要目标。  从网络安全事件造成的损失来看，造成生产效率低下的事件352起，占比41.3%；造成数据丢失的事件198起，占比23.2%；造成数据泄露的事件89起，占比10.4%；此外，造成声誉影响的事件47起，造成数据被篡改的事件36起。  内部人员为了方便工作等原因进行违规操作，进而触发应急响应的网络安全事件多达186起。这一数量仅次于黑产活动（207起）、超过了以窃取重要数据（173起）和敲诈勒索（170起）等为目的的外部网络攻击事件的数量。  以漏洞利用为主要手段的网络攻击最为常见，占比38.4%；其次是恶意程序，占比29.8%；钓鱼邮件排第三，占比7.8%。网页篡改、网络监听攻击、Web应用CC攻击等也比较常见。还有约18.8%的安全事件，并非网络攻击事件。  应急事件分析显示，勒索病毒、挖矿木马、网站木马是攻击者使用最多的恶意程序类型，分别占到恶意程序攻击事件的21.8%、9.7%和6.0%。此外，蠕虫病毒、DDOS木马、永恒之蓝下载器木马、APT专用木马等也都是经常出现的恶意程序类型。  在应急响应事件处置的勒索软件中，排名第一的是Phobos勒索软件，全年触发大中型政企机构网络安全应急响应事件30次；其次是LockBit勒索软件15次，Makop勒索软件15次。这些流行的勒索病毒，十分值得警惕。  弱口令是攻击者在2023年利用最多的网络安全漏洞，相关应急事件多达231起，占比27.1%。其次是永恒之蓝漏洞，相关利用事件为162起，占比19.0%。 关键词：95015、应急响应、安全服务、弱口令、内部违规、敲诈勒索、漏洞利用 目 录 第一章 网络安全应急响应形势综述 .............................................................. 1 第二章 应急响应事件受害者分析 .................................................................. 2 一、 行业分布 ........................................................................................... 2 二、 事件发现 ........................................................................................... 2 三、 影响范围 ........................................................................................... 3 四、 事件损失 ........................................................................................... 4 第三章 应急响应事件攻击者分析 .................................................................. 5 一、 攻击意图 ........................................................................................... 5 二、 攻击手段 ........................................................................................... 6 三、 恶意程序 ........................................................................................... 6 四、 漏洞利用 ........................................................................................... 7 第四章 应急响应典型案例分析 ..................................................................... 9 一、 某企业数据库遭Mallox病毒勒索 ..................................................... 9 二、 某单位官网存在安全漏洞被挂黑链.................................................. 10 三、 某地运营商用户路由器被插件劫持.................................................. 11 四、 某企业感染WatchDogs挖矿病毒 ..................................................... 12 五、 某企业使用盗版激活工具感染蠕虫.................................................. 13 六、 某单位装驱动服务器感染U盘病毒.................................................. 14 七、 某单位财务主管遭微信钓鱼被远控.................................................. 16 八、 某企业域名管理权限在暗网被倒卖.................................................. 17 附录1 95015网络安全服务热线 .................................................................... 19 附录2 奇安信集团安服团队 ........................................................................... 20 附录3 网络安全应急响应图书推荐 ................................................................ 21 © 奇安信集团 第 1 页，共 22 页 第一章 网络安全应急响应形势综述 2023年1~12月，95015服务平台共接到全国范围内网络安全应急响应事件报告853起，奇安信安服团队第一时间协助政企机构处置安全事故，确保了政企机构门户网站、数据库和重要业务系统等的持续安全稳定运行。 综合统计数据显示，在全年853起网络安全应急响应事件的处置中，奇安信安服团队累计投入工时为6654.0小时，折合831.8人天，处置一起应急事件平均用时7.8小时。其中，1月份，因春节假期期间，应急响应处理量略有减少；8月，因全国多地举行网络安全实战攻防演习活动，应急响应处理量大幅增加。 © 奇安信集团 第 2 页，共 22 页 第二章 应急响应事件受害者分析 本章将从网络安全应急响应事件受害者的视角出发，从行业分布、事件发现方式、影响范围、以及攻击行为造成的影响等几个方面，对95015服务平台全年接报的853起网络安全应急响应事件展开分析。 一、 行业分布 从行业分布来看，2023年，95015服务平台接报的网络安全应急响应事件中，政府部门报告的事件最多，为158起，占比18.5%；其次是制造业，为107起，占比12.5%；金融机构排第三，为96起，占比11.3%。此外，医疗卫生、事业单位、IT信息技术等行业也是网络安全应急响应事件高发行业。 下图给出了不同行业网络安全应急响应事件报案数量的TOP10排行。 二、 事件发现 从安全事件的发现方式来看，49.0%的政企机构，是在系统已经出现了非常明显的入侵迹象后，拨打的95015网络安全服务热线；33.1%的政企机构，是在被攻击者勒索之后进行的报案求助。这二者之和为82.1%。 也就是说，超过八成的大中型政企机构是在系统已经遭到了巨大损失，甚至是不可逆的破坏后，才向专业机构进行求助。而真正能够通过安全运营巡检，在损失发生之前及时发现问题并呼救，避免损失发生的政企机构，占比就仅为13.6%。 此外，还有约4.3%的政企机构是在得到了主管单位、监管机构及第三方平台的通报后