2021 DDoS攻击态势报告 b u 21 pe P M IC od Flo SY N S TP HT od Flo od Flo P D Do sc 21 ap 20 e d oo d Fl oo Fl UD K AC h t i g 20 Attack La nd s S Do ca D c . 5 m o an S At tack L d 关于绿盟科技 绿盟科技集团股份有限公司（以下简称绿盟科技），成立于 2000 年 4 月，总部位于北京。公司于 2014 年 1 月 29 日在深圳证券交易所 创业板上市，证券代码：300369。绿盟科技在国内设有 50 余个分支机构， 为政府、金融、运营商、能源、交通、科教文卫等行业用户与各类型企 业用户，提供全线网络安全产品、全方位安全解决方案和体系化安全运 营服务。公司在美国硅谷、日本东京、英国伦敦、新加坡及巴西圣保罗 设立海外子公司和办事处，深入开展全球业务，打造全球网络安全行业 的中国品牌。 天翼安全科技有限公司 b u 天翼安全科技有限公司（以下简称中国电信安全公司）是中国电 信集约开展网络安全业务的科技型、平台型专业公司，以研发运营一体 化方式，整合全集团云网、安全、数据等优势资源和能力，进行统一运营， 为内外部客户提供云网安全、数据安全、信息安全等各类安全产品和服 务。公司始终坚持以传承红色基因守护安全中国为使命，致力于成为数 字经济时代最可靠的网络安全运营商！ 截至目前，公司已斩获国家级、省部级、行业级优秀项目奖百余项， 授权专利 10 项，软件著作 12 项，入选国资委重大科技创新成果和年度 网络安全优秀解决方案奖，工信部“网络安全试点示范项目”4 个，中 国通信学会科学技术奖一等奖，多次入围权威机构评选的网络安全百强 企业，并跻身领军者行列。已为政务、金融、企业等全行业超过 6000 家客户提供了运营商级网络安全服务。 h t i g 版权声明 c . 5 为避免合作伙伴及客户数据泄露 , 所有数据在进行分析前都已经 过匿名化处理 , 不会在中间环节出现泄露 , 任何与客户有关的具体信息， 均不会出现在本报告中。 m o CONTENTS 01 执行摘要 001 02 重要观点 003 03 2021 年 DDoS 攻击分析 c . 5 3.1 DDoS 攻击次数和流量峰值情况 3.2 DDoS 攻击类型分析 b u 3.3 DDoS 攻击时间刻画 3.4 DDoS 攻击地域分布 h t i g 3.5 高活跃攻击资源分析 3.6 物联网攻击资源分析 3.7 DDoS 僵尸网络 04 总结 m o 005 006 012 014 017 019 022 024 027 h t i g b u c . 5 m o 01 b u c . 5 h t 执行摘要 i g m o 2021 DDoS 攻击态势报告 疫情之下，全球数字化正在加速发展，各行业向数字化、智能化转型的步伐加快。与此同时， 网络安全作为数字化发展的重要保障，在网络威胁日益加剧的情况下，面临诸多挑战。DDoS 攻击作为网络安全的严重威胁之一，至今已活跃超过 20 年。DDoS 攻击事件频繁发生，新型 攻击不断涌现，给网络安全带来了巨大挑战。及时掌握 DDoS 的攻击目标、攻击资源、攻击手段、 攻击能力等，是建立动态高效的 DDoS 安全防御体系的基础。 绿盟科技联合中国电信安全公司推出《2021DDoS 攻击态势报告》，旨在从 DDoS 攻击 整体态势、攻击类型、攻击资源、僵尸网络等方面剖析 2021 年 DDoS 的演化情况，力求让 用户全面了解 2021 年 DDoS 攻击态势，以便帮助各组织 / 机构持续改善自身网络安全防御 m o 体系及技术，提升应对日益复杂的 DDoS 攻击能力，助力云计算、大数据、物联网、工业互 联网等新兴数字产业的快速发展。2021 年 DDoS 攻击整体态势如下： c . 5 经过主管机构近两年持续推进的“净网 2020”、“净网 2021”专项行动，黑灰产业链 遭到了严重打击，DDoS 攻击次数和攻击流量整体呈现出下降的趋势。然而，这并不代表攻 b u 击者就此放弃与防守方的博弈，在利益的驱使下，他们从未放弃过这种对抗博弈。也正是在 攻防两端能力长期的较量下，DDoS 攻击复杂化、规模化不断提升。2021 年混合攻击次数 h t i g 大幅增长，单次攻击事件包含大容量泛洪、应用层攻击、连接耗尽型攻击等，而新型攻击也 在不断涌现。在数字化发展的浪潮下，攻击者抓住机遇，利用高网络带宽提升自身的攻击能 力，单次平均攻击峰值和最高攻击峰值不断增长，大于 300Gbps 以上的超大型攻击次数较 2020 年更是大幅增长，对 DDoS 的清洗和防护都提出了更大的挑战。大流量攻击的贡献者 主要来自反射攻击，NTP 反射放大 400~500 倍，攻击效果显著，一直备受攻击者的青睐。 参与 DDoS 攻击的物联网设备数量也在持续增长，投入小、收益高、更新快、基数庞大等一 系列优越条件使得物联网设备逐渐发展成发起大规模 DDoS 攻击的利器。僵尸网络 Dofloo、 XorDDoS 和 Mirai 三大家族各有特色，2021 年攻击活动活跃度位列前三，且利用漏洞和弱口 令扩张控制范围的势头愈演愈烈。 002 02 b u c . 5 h t 重要观点 i g m o 2021 DDoS 攻击态势报告 观点一：ﾠ打击网络黑灰产“毒瘤”，国内网络空间日趋清朗 经过主管机构近两年持续推进的“净网 2020”、“净网 2021”专项行动，黑灰产业 链遭到了严重打击。DDoS 攻击次数和攻击总流量连续三年持续下降，2021 年 DDoS 攻击 次数较 2020 年减少了 19.14%，攻击总流量减少了 6.05%，治理效果显著。 观点二：ﾠDDoS 攻击方式复杂多变，令人防不胜防 在攻防两端能力长期的较量下，DDoS 攻击手法更为“巧妙”。攻击者根据目标系统 m o 具体情况，灵活变换攻击方式，利用协议、系统的缺陷，尽其所能展开攻击，危害极大。 2021 年 DDoS 混合攻击大幅增长，较 2020 年增长了 80.8%。 观点三：ﾠ攻击者持续“进阶”，防护遭遇挑战 c . 5 b u 随着全球数字化蓬勃发展，网络设备可用带宽增加，一旦被僵尸网络所利用，其执行 DDoS 攻击的可用带宽也随之增加。近三年 DDoS 单次平均攻击峰值和最高攻击峰值呈增 h t i g 长趋势，大于 300Gbps 以上的超大型攻击次数较 2020 年更是大幅增长，DDoS 攻击者能 力不断提升。 观点四：ﾠ物联网设备“备受青睐”，威胁不容小觑 2021 年参与 DDoS 攻击的物联网设备较 2020 年增加约 2 万个，近三年连续增长。其中， 由于摄像头和路由器基数庞大、投入小、收益高等，一直备受 DDoS 攻击者的青睐，安全 问题尤为严重，参与 DDoS 攻击的数量占总量的七成以上。 观点五：ﾠ僵尸网络利用漏洞和弱口令扩张控制范围的势头愈演愈烈 2021 年 Mirai 僵尸网络已经发展到 27 个分支版本，从利用弱口令发展到利用漏洞感 染扩展，如今发现最高携带了 36 个 Nday 漏洞，寻找一切机会感染其他设备扩张控制范 围。另外 Meris 新家族集成 HTTP Pipeline 攻击技术并利用漏洞和弱口令感染，在 2021 年 的 DDoS 应用层攻击方面表现极为活跃。 004 03 b u c . 5 h t 2021 年 DDoS 攻击分析 i g m o 2021 DDoS 攻击态势报告 3.1　DDoS 攻击次数和流量峰值情况 3.1.1　DDoS 攻击次数和攻击流量 2021 年共监测到 DDoS 攻击次数为 12.33 万次，攻击总流量为 36.31 万 TB，如图 3.1 所 示。与 2020 年相比，攻击次数减少了 19.14%，攻击总流量减少了 6.05%。分析其主要原因， 一方面是由于抗 D 设备检测和防护能力越来越强，使得攻击难度和成本增加，攻击者就很 有可能转向那些低风险、高回报的目标。另一方面得益于主管部门近两年持续推进的“净网 2020”、“净网 2021”专项行动，黑灰产业链遭到了严重打击。 c . 5 m o b u h t i g 图 3.1　2021 年 DDoS 攻击态势 数据来源：中国电信安全公司 从 2019 年至 2021 年的 DDoS 攻击次数和攻击流量来看，每月平均攻击次数分别为 1.52 万次、1.27 万次和 1.03 万次，平均攻击总流量分别为 4.0 万 TB、3.22 万 TB 和 3.03 万 TB， 整体呈现出下降的趋势，如图 3.2 所示。另一方面，与前两年一样，2021 年的 DDoS 攻击表 现较为平稳，无大幅度的波动。但是这并不能代表 DDoS 攻击的长远发展态势，5G 时代的海 量带宽，物联网的规模化应用，未来很可能会再出现大规模的 DDoS 攻击。 006 2021 年 DDoS 攻击分析 c . 5 图 3.2　近三年 DDoS 攻击态势 数据来源：中国电信安全公司 m o b u 从 2021 年各月攻击次数来看，如图 3.3 所示，DDoS 攻击次数整体平稳，在 1 月份达到峰值， 较 2020 年 1 月份，同比下降 2.9%，基本持平。2 月份 DDoS 的攻击次数，较去年 2 月份，同 h t i g 比下降 44.4%，呈现出新冠疫情前“消停”的状态。值得注意的是在 2020 和 2021 年的 10 月份， DDoS 攻击都呈现出一个小低谷，攻击次数较 9 月份环比分别下降了 13.6% 和 11.5%，这主要 是由于国庆节前夕，全国范围内都加强了网络安全保障，网络安全防护能力提升。 图 3.3　攻击次数 007 2021 DDoS 攻击态势报告 图 3.4　攻击流量 c . 5 数据来源：中国电信安全公司 3.1.2　攻击峰值分布 b u m o 2021 年，如图 3.5 所示，在全部 DDoS 攻击中，21.47% 的攻击峰值在 20-50Gbps 之间， 占比最高，较 2020 年增加了 3.41%。攻击峰值在 1G-20Gbps 的各区间分布趋于平均，较 h t i g 2020 年占比有所减少。5-50Gbps 的中小型攻击