【安全报告】2017网络安全观察报告

孙子曰“知己知彼,百战不殆”,话又说“知易行难”。知己 已是不易,各种开源软件涌入信息系统,各种 API 调来调去供应链 越来越长,各种微服务“一言不合”就上线。这种动态环境下,知己―― 清楚地了解洞悉自身网络中的资产、价值和安全属性、逻辑分布和 依赖关系等无疑很挑战。 但知彼是更难的挑战。“彼”的识别就是 个大问题。什么目标和动机?定向的,还是非定向的;什么技术水 平?高级的,还是一般的;当前什么趋向,什么漏洞和利用在流行? 数百万的安全告警背后分别是什么威胁?

从名义和定义上看,威胁情报是一个很好的“知彼”渠道。一 般来说,市场上可以获得的数十数百种威胁情报,包括免费开源的、 商业的,在实际安全运营活动中,有时候显得太多,数以千万的各 种威胁信息,需要占用大量资源才能加以分析利用;有时候又显得 太少,当重大或特定安全事件发生时,又发现诸多威胁情报“面面 相觑”,都不能提供有价值强关联的可行动信息。 几年的实践下来, 业界意识到威胁情报只有在消费分析闭环里的不断”提炼 ” 中才能展 现价值,自身也才能越变越精准。 在这个闭环中,消费到分析的阶 段最为关键。威胁情报的消费过程本身也构成了新的“情报”,新 的情报再次加入新的“消费”环节,于是威胁情报的用户和提供商 一起构成了一种事实上的网络防护生态, 这种“生态”能带给成员最为鲜活的威胁动态和动力,实现一种可持续的、可运营的知“彼” 手段。

如果说 2016 年发生在 Dyn 攻击事件是物联网威胁的“叫醒”铃 声的话,那么到了 2017 年,物联网设备已经是网络攻击的常客。绿盟威胁情报中心数据显示,物联网设备 IP 已占有总恶意 IP 的 12%, 物联网设备中恶意 IP 所占物联网总 IP 数量的比例达到 4.8%, 是普通 IP空间相应恶意 IP 占比的 3 倍。不难预计,物联网设备带来的安 全威胁将继续不断升高,对物联网威胁的相应防护能力将会成为安 全防护体系的标配。

2017 年,在我们持续监控的超过 390 万个攻击源中,大约 20%的恶意 IP 曾对多个目标进行过攻击,0.39% 的攻击源对 90% 的攻击事件负责。对这些“惯犯”的针对性跟踪、分析、画像、对抗等可 以有效地提高安全防护的效率和效果,相应地,“惯犯”覆盖也将 成为最为核心的威胁情报能力之一。

如年中安全观察所报告的,我们发现恶意 IP 在一个国家总 IP 数 量中的占比与该国家的整体经济发展水平有非常明显的线性关联关 系,也就是说,经济程度发展较低的地区,互联网安全治理水平也 相对落后,安全防护提升跟不上电脑的普及速度,从而计算机被感 染成为被控主机、攻击其它系统的概率更高,例如,越南恶意 IP 占 比高达 17%, 印度高达 11%……这些基础威胁统计信息可以作为UEBA/ 安全行为分析的重要输入,建立更智能的安全检测体系。同时, 我们应该看到,追逐利润的安全威胁越来越体现出全球化运作的特 点,这也要求威胁情报也具备全球化运作的监视、分析和响应能力。

2017 年,我们监测到的拒绝服务攻击的总流量达 64 万 TB,相比 2016 年增长 79.4%。全年 DDoS 平均攻击峰值为 14.1Gbps,比2016 年增长 39.1%。单次 DDoS 攻击规模最大的一次发生在 2017年 5 月份,峰值达 1.4Tbps,而 2016 年的攻击峰值是 730Gbps。

反射放大型攻击依然占据了拒绝服务攻击类型的主流位置,值得注意的是,反射攻击武器库里又有新的致命武器。几天前,著名代码托管站点 GitHub 遭受高达 1.3Tbps 的拒绝服务攻击。这次攻击了利用 Memcached 的反射拒绝服务攻击漏洞。绿盟威胁情报中心NTI 数据显示,全球有 10 万多的 Memcached 服务器在互联网上开放, 考虑到这些服务器的大带宽、高在线时长,Memcached 有可能成为新的反射 DDoS 攻击大杀器。

点滴分享,帮助您洞察威胁……

报告下载

《2017网络安全观察》

Spread the word. Share this post!

Meet The Author

Leave Comment