h t i g b u m o c . 5 目录 Contents Contents m o c . 5 第一章：专家观点 b u 1. 游戏仍然是攻击热点，出海游戏更易遭受 DDoS 攻击 1. 2. 虚拟货币监管加码，大量肉鸡流入 虚拟货币监管加码，大量肉鸡流入 DDoS DDoS攻击黑产 攻击黑产 3. 僵尸网络成扫段攻击重要推手 僵尸网络成扫段攻击重要推手 h t i g 4. 漏洞修复不及时，僵尸网络利用时差攻击 漏洞修复不及时，僵尸网络利用时差攻击 5. DDoS DDoS威胁或成为犯罪团伙首选勒索手段 威胁或成为犯罪团伙首选勒索手段 第二章：整体威胁 1. DDoS 攻击连增 2 年，Tb 1. 年，Tb 级攻击时代已逾 级攻击时代已逾 55 年 年 2. 下半年攻击又多又猛，8 下半年攻击又多又猛，8 月成攻击高峰 月成攻击高峰 3. 大流量攻击呈现多元化趋势 大流量攻击呈现多元化趋势 4. 海外攻击数据占比 海外攻击数据占比 20%，东南亚成主要攻击战场 20%，东南亚成主要攻击战场 5. 攻击行业分布多元化，游戏行业占比仍居第一 攻击行业分布多元化，游戏行业占比仍居第一 6. 扫段攻击成网络公害，脉冲攻击防不胜防 扫段攻击成网络公害，脉冲攻击防不胜防 第三章：海外威胁 1. 海外与国内攻击热点行业重合 1. 2. 扫段攻击使 扫段攻击使 88 月成攻击最多月份 月成攻击最多月份 3. 东南亚成海外攻击热点区域 东南亚成海外攻击热点区域 4. 海外多次攻击超过 海外多次攻击超过 1Tb 1Tb 5. 高频瞬时攻击成对抗博弈的重要手段 高频瞬时攻击成对抗博弈的重要手段 目录 目录 Contents Contents 目录 Contents Contents m o c . 5 第一章：专家观点 第四章：黑产视角 第一章：专家观点 b u 1. 中国是主要攻击源来源国之一 游戏仍然是攻击热点，出海游戏更易遭受 DDoS 攻击 1. DDoS 攻击黑产 2. 虚拟货币监管加码，大量肉鸡流入 DDoS 反射源分布与 IoT 发展速度及其基数相关 第一章：专家观点 僵尸网络成扫段攻击重要推手 3. UDP 反射攻击类型利用喜好与反射放大倍数成正比 1. 游戏仍然是攻击热点，出海游戏更易遭受 DDoS 攻击 h t i g 4. UDP 反射仍是最主要攻击手法 2. 漏洞修复不及时，僵尸网络利用时差攻击 虚拟货币监管加码，大量肉鸡流入 DDoS 攻击黑产 DDoS 威胁或成为犯罪团伙首选勒索手段 5. TCP 反射手法呈“U 型”走势 3. 僵尸网络成扫段攻击重要推手 1. 游戏仍然是攻击热点，出海游戏更易遭受 DDoS 攻击 6. 僵尸网络控制端（C&C）绝大多数位于国外 4. 漏洞修复不及时，僵尸网络利用时差攻击 2. 虚拟货币监管加码，大量肉鸡流入 DDoS 攻击黑产 7. 肉鸡主要来自中国、东南亚、北美 5. DDoS 威胁或成为犯罪团伙首选勒索手段 3. 僵尸网络成扫段攻击重要推手 8. DDoS 僵尸网络四大家族各有特色，“一统江湖”局面不再 4. 漏洞修复不及时，僵尸网络利用时差攻击 9. XOR DDoS 逐渐没落，BillGates 最为活跃 5. 1. DDoS 威胁或成为犯罪团伙首选勒索手段 攻击连增 2 年，Tb 级攻击时代已逾 5 年 10. 扩大僵尸网络规模是黑产团伙提升 DDoS 打击能力的重要手段 2. 下半年攻击又多又猛，8 月成攻击高峰 第二章：整体威胁 第二章：整体威胁 3. DDoS 大流量攻击呈现多元化趋势 1. 攻击连增 2 年，Tb 级攻击时代已逾 5 年 第二章：整体威胁 第五章：攻防对抗案例 4. 下半年攻击又多又猛，8 海外攻击数据占比 20%，东南亚成主要攻击战场 2. 月成攻击高峰 5. 大流量攻击呈现多元化趋势 攻击行业分布多元化，游戏行业占比仍居第一 3. 1. DDoS 攻击连增 2 年，Tb 级攻击时代已逾 5 年 案例一：热门游戏遭多轮攻击，防护团队见招拆招 6. 海外攻击数据占比 扫段攻击成网络公害，脉冲攻击防不胜防 4. 20%，东南亚成主要攻击战场 2. 下半年攻击又多又猛，8 月成攻击高峰 案例二：脉冲攻击并非无解，智能对抗升级策略 5. 攻击行业分布多元化，游戏行业占比仍居第一 3. 大流量攻击呈现多元化趋势 案例三：僵尸网络扫段攻击，监测防护实时联动 6. 扫段攻击成网络公害，脉冲攻击防不胜防 4. 海外攻击数据占比 20%，东南亚成主要攻击战场 第三章：海外威胁 5. 攻击行业分布多元化，游戏行业占比仍居第一 第三章：海外威胁 第六章：全球 DDoS 大事记 6. 海外与国内攻击热点行业重合 扫段攻击成网络公害，脉冲攻击防不胜防 1. 2. 扫段攻击使 8 月成攻击最多月份 第三章：海外威胁 3. 海外与国内攻击热点行业重合 东南亚成海外攻击热点区域 1. 4. 1Tb 2. 海外多次攻击超过 扫段攻击使 8 月成攻击最多月份 5. 东南亚成海外攻击热点区域 高频瞬时攻击成对抗博弈的重要手段 3. 1. 海外与国内攻击热点行业重合 4. 海外多次攻击超过 1Tb 2. 扫段攻击使 8 月成攻击最多月份 5. 高频瞬时攻击成对抗博弈的重要手段 3. 东南亚成海外攻击热点区域 2021 年 第一章 专家观点 m g -4 o Expert .c 5 Opinions b u ti h 2021 年 全球 DDoS 威胁报告 第一章 : 专家观点 Chapter one: Expert Opinions 1 游戏仍然是攻击热点，出海游戏更易遭受 DDoS 攻击 根据腾讯云 T-Sec DDoS 防护团队数据显示，互联网多元化发展迅速，云计算、视频直播等新兴行业倍受用 户青睐，DDoS 黑产攻击目标也紧随热点业务产生变化，整体来看，今年游戏仍是受 DDoS 攻击最多的行业， 但攻击占比为历年新低。 相比于国内发行的游戏，出海游戏更易遭受 DDoS 攻击：一方面，出海企业大多复制国内已验证的成功商业模 式，推出的游戏往往颇具竞争力，容易成为海外 DDoS 攻击的目标；另一方面，国外环境比较复杂，以 ACCN 为代表的黑产团伙肆无忌惮，出于敲诈勒索目的的 DDoS 攻击层出不穷。 m o c . 5 防护建议： 出海游戏企业在业务拓展到海外的同时，务必需要将安全能力，尤其是 DDoS 防护能力的短板补齐，避免 长期的研发成果在黑客攻击面前化为灰烬。 2 虚拟货币监管加码，大量肉鸡流入 DDoS 攻击黑产 b u 对黑产来说，考虑到动辄数十倍甚至数百倍的放大比，UDP 放大攻击是发起 UDP 类大流量攻击最经济有效的 h t i g 方式。但是腾讯云 T-Sec DDoS 防护团队通过分析数据发现，今年 5 月份以来，未使用 UDP 反射的大流量 UDP flood 攻击比去年明显增多。出现这一现象的原因可能是国家针对虚拟货币挖矿行业进行了持续整治，大 量肉鸡从挖矿领域回流进入 DDoS 攻击黑产。 根据历史数据分析，比特币等虚拟货币的价格与肉鸡发起 DDoS 攻击呈现明显负相关。因为挖矿僵尸网络会引 起操作系统 CPU 负载消耗过高，往往被安全人员发现并清理。所以挖矿僵尸网络数量需要不断“补量”才能持 续达到同等收益，当虚拟货币价格下跌时，黑产团伙选择投放僵尸网络 DDoS 攻击模块，虚拟货币价格上涨时， 则选择投放挖矿模块，以实现团伙利益最大化的核心诉求。 2021 年下半年以来，国家持续加强整治虚拟货币“挖矿”活动，以改善能源利用效率，维护社会稳定和国家安全。 大量基于矿机挖矿的企业迁移海外，利用肉鸡进行挖矿的黑产也受到较大冲击。大量肉鸡从虚拟货币挖矿行业 流出，进入 DDoS 攻击领域。 黑客手里的肉鸡资源较为富余，在 5 月份之后的几个月，不通过反射放大而是利用肉鸡直接发起的 UDP flood 攻击大幅高于去年同期水平，甚至 2021 年 7 月一个月的攻击数量都高于 2020 年上半年或下半年的总和。同时， 今年此类攻击的最大攻击流量相比去年增长了 2 倍多，高达 787G。 防护建议： 预计在未来几年里，DDoS 攻击的峰值及大流量攻击发生的次数都会持续增长，企业须评估在遭遇 Tb 级超 大流量攻击的极端场景下，现有防护方案和防护资源是否还能保障业务不受 DDoS 攻击影响。 -5 2021 年 全球 DDoS 威胁报告 第一章 : 专家观点 Chapter one: Expert Opinions 国外 DDoS 攻击区域分布 m o c . 5 腾讯云、绿盟科技 2021 年全球 DDoS 威胁报告 3 僵尸网络成扫段攻击重要推手 扫段攻击是近年兴起的一种攻击方式，会对一大段 IP 同时或顺序发起 DDoS 攻击，针对同一 IP 的攻击流量较小、 b u 时间持续较短，一般控制在 3-30 秒内，并且组合多种 DDoS 攻击类型发起攻击。腾讯云 T-Sec DDoS 防护 团队也多次防御发生在现网的扫段攻击。在最密集的攻击期间，单天被攻击的 IP 数以万计，从单个 IP 的攻击 h t i g 流量来看，单次扫段攻击的最大攻击流量超过 700G。 无论从攻击涉及的 IP 数还是单个 IP 的最大攻击流量来看，扫段攻击对企业都是极其严峻的挑战，攻击表象背 后的逻辑是黑产团伙和攻击防御者之间的心理、智力、技术、体力的对抗与博弈。看似是零星攻击，但黑产团 伙会对受害者的 IP 地址、攻击间隔、攻击时长，攻击频度进行不断变化。这类攻击是对现有 DDoS 监测和防 御中的单 IP 流量人工阈值、单 IP 流量牵引、牵引消耗等防御策略的针对性对抗。 据腾讯云 T-Sec DDoS 防护团队监测数据，扫段攻击大体分为两种：带宽型扫段攻击和扫描型攻击。这两种 扫段攻击方式在单个 IP 的攻击时长、攻击流量及攻击手法方面存在差异。通过持续监测和研究发现，部分扫 段攻击的幕后黑手竟是一些业界知名的 DDoS 僵尸网络。 DDoS 僵尸网络控制的资源众多，攻击目标变换迅速，溯源非常困难。目前监测到的扫段攻击都是一些常见手法， 但由于大量 IP 被同时攻击，很容易出现少量透传导致机房网络异常、大量攻击流量与业务流量叠加，导致防 护设备性能紧张等问题，应对方案和普通的 DDoS 攻击有较大区别。 防护建议： 企业在日常安全防护中应制定必要的预案，进行适当的演练，提升扫段类攻击的监测和响应的灵敏度 。 -6 2021 年 全球 DDoS 威胁报告 第一章 : 专家观点 Chapter one: Expert Opin