2018年中国互联网网络安全呈现何种态势？

4月16日，国家互联网应急中心（以下简称“CNCERT”）发布《2018年我国互联网网络安全态势综述》年度报告，分析了2018年我国互联网网络安全状况，并对2019年网络安全趋势进行了预测。

速览

2018年我国互联网网络安全状况

（一）我国网络安全法律法规政策保障体系逐步健全

（二）我国互联网网络安全威胁治理取得新成效

（三）勒索软件对重要行业关键信息基础设施威胁加剧

（四）越来越多的APT攻击行为被披露

（五）云平台成为发生网络攻击的重灾区

（六）拒绝服务攻击频次下降但峰值流量持续攀升

（七）针对工业控制系统的定向性攻击趋势明显

（八）虚假和仿冒移动应用增多且成为网络诈骗新渠道

（九）数据安全问题引起前所未有的关注

2019年网络安全趋势预测

（一）有特殊目的针对性更强的网络攻击越来越多

（二）国家关键信息基础设施保护受到普遍关注

（三）个人信息和重要数据泄露危害更加严重

（四）5G、IPv6等新技术广泛应用带来的安全问题值得关注

2018年我国互联网网络安全态势综述

当前，网络安全威胁日益突出，网络安全风险不断向政治、经济、文化、社会、生态、国防等领域传导渗透，各国加强网络安全监管，持续出台网络安全政策法规。2018年，在中央网络安全和信息化委员会（原“中央网络安全和信息化领导小组”）的统一领导下，我国进一步加强网络安全和信息化管理工作，各行业主管部门协同推进网络安全治理。CNCERT持续加强我国互联网网络安全监测，开展我国互联网宏观网络安全态势评估，网络安全事件监测、协调处臵和预警通报工作，取得了显著成效。CNCERT依托我国宏观安全监测数据，结合网络安全威胁治理实践成果，在本报告中重点对2018年我国互联网网络安全状况进行了分析和总结，并对2019年的网络安全趋势进行预测。

2018年我国互联网网络安全状况

2018年,我国进一步健全网络安全法律体系，完善网络安全管理体制机制，持续加强公共互联网网络安全监测和治理，构建互联网发展安全基础，构筑网民安全上网环境，特别是在党政机关和重要行业方面，网络安全应急响应能力不断提升，恶意程序感染、网页篡改、网站后门等传统的安全问题得到有效控制。全年未发生大规模病毒爆发、大规模网络瘫痪的重大事件，但关键信息基础设施、云平台等面临的安全风险仍较为突出，APT攻击、数据泄露、分布式拒绝服务攻击（以下简称“DDoS攻击”）等问题也较为严重。

1、我国网络安全法律法规政策保障体系逐步健全

自我国《网络安全法》于2017年6月1日正式实施以来，我国网络安全相关法律法规及配套制度逐步健全，逐渐形成综合法律、监管规定、行业与技术标准的综合化、规范化体系，我国网络安全工作法律保障体系不断完善，网络安全执法力度持续加强。2018年，全国人大常委会发布《十三届全国人大常委会立法规划》，包含个人信息保护、数据安全、密码等方面。党中央、国务院各部门相继发力，网络安全方面法规、规章、司法解释等陆续发布或实施。《网络安全等级保护条例》已向社会公开征求意见，《公安机关互联网安全监督检查规定》、《关于加强跨境金融网络与信息服务管理的通知》、《区块链信息服务管理规定》、《关于加强政府网站域名管理的通知》等加强网络安全执法或强化相关领域网络安全的文件发布。

2、我国互联网网络安全威胁治理取得新成效

我国互联网网络安全环境经过多年的持续治理效果显著，网络安全环境得到明显改善。特别是党中央加强了对网络安全和信息化工作的统一领导，党政机关和重要行业加强网络安全防护措施，针对党政机关和重要行业的木马僵尸恶意程序、网站安全、安全漏洞等传统网络安全事件大幅减少。2018年，CNCERT协调处臵网络安全事件约10.6万起，其中网页仿冒事件最多，其次是安全漏洞、恶意程序、网页篡改、网站后门、DDoS攻击等事件。CNCERT持续组织开展计算机恶意程序常态化打击工作，2018年成功关闭772个控制规模较大的僵尸网络，成功切断了黑客对境内约390万台感染主机的控制。据抽样监测，在政府网站安全方面，遭植入后门的我国政府网站数量平均减少了46.5%，遭篡改网站数量平均减少了16.4%，显示我国政府网站的安全情况有所好转。在主管部门指导下，CNCERT联合基础电信企业、云服务商等持续开展DDoS攻击资源专项治理工作，从源头上遏制了DDoS攻击行为，有效降低了来自我国境内的攻击流量。据CNCERT抽样监测，2018年境内发起DDoS攻击的活跃控制端数量同比下降46%、被控端数量同比下降37%；境内反射服务器、跨域伪造流量来源路由器、本地伪造流量来源路由器等可利用的攻击资源消亡速度加快、新增率降低。根据外部报告，我国境内僵尸网络控制端数量在全球的排名从前三名降至第十名，DDoS活跃反射源下降了60%。

3、勒索软件对重要行业关键信息基础设施威胁加剧

2018年勒索软件攻击事件频发，变种数量不断攀升，给个人用户和企业用户带来严重损失。2018年，CNCERT捕获勒索软件近14万个，全年总体呈现增长趋势，特别在下半年，伴随“勒索软件即服务”产业的兴起，活跃勒索软件数量呈现快速增长势头，且更新频率和威胁广度都大幅度增加，例如勒索软件GandCrab全年出现了约19个版本，一直快速更新迭代。勒索软件传播手段多样，利用影响范围广的漏洞进行快速传播是当前主要方式之一，例如勒索软件Lucky通过综合利用弱口令漏洞、WindowSMB漏洞、ApacheStruts2漏洞、JBoss漏洞、Weblogic漏洞等进行快速攻击传播。2018年，重要行业关键信息基础设施逐渐成为勒索软件的重点攻击目标，其中，政府、医疗、教育、研究机构、制造业等是受到勒索软件攻击较严重行业。例如GlobeImposter、GandCrab等勒索软件变种攻击了我国多家医疗机构，导致医院信息系统运行受到严重影响。

4、越来越多的APT攻击行为被披露

2018年，全球专业网络安全机构发布了各类高级威胁研究报告478份，同比增长了约3.6倍，其中我国12个研究机构发布报告80份，这些报告涉及已被确认的APT攻击组织包括APT28、Lazarus、Group123、海莲花、MuddyWater等53个，攻击目标主要分布在中东、亚太、美洲和欧洲地区，总体呈现出地缘政治紧密相关的特性，受攻击的领域主要包括军队国防、政府、金融、外交和能源等。值得注意的是，医疗、传媒、电信等国家服务性行业领域也正面临越来越多的APT攻击风险。④(相关信息来源于360威胁情报中心《全球高级持续性威胁(APT)2018年报告》。)APT攻击组织采用的攻击手法主要以鱼叉邮件攻击、水坑攻击、网络流量劫持或中间人攻击等，其频繁利用公开或开源的攻击框架和工具，并综合利用多种技术以实现攻击，或规避与历史攻击手法的重合。

5、云平台成为发生网络攻击的重灾区

根据CNCERT监测数据，虽然国内主流云平台使用的IP地址数量仅占我国境内全部IP地址数量的7.7%，但云平台已成为发生网络攻击的重灾区，在各类型网络安全事件数量中，云平台上的DDoS攻击次数、被植入后门的网站数量、被篡改网站数量均占比超过50%。同时，国内主流云平台上承载的恶意程序种类数量占境内互联网上承载的恶意程序种类数量的53.7%，木马和僵尸网络恶意程序控制端IP地址数量占境内全部恶意程序控制端IP地址数量的59%，表明攻击者经常利用云平台来发起网络攻击。分析原因，云平台成为网络攻击的重要目标是因为大量系统部署到云上，涉及国计民生、企业运营的数据和用户个人信息，成为攻击者攫取经济利益的目标。从云平台上发出的攻击增多是因为云服务使用存在便捷性、可靠性、低成本、高带宽和高性能等特性，且云网络流量的复杂性有利于攻击者隐藏真实身份，攻击者更多的利用云平台设备作为跳板机或控制端发起网络攻击。此外，云平台用户对其部署在云平台上系统的网络安全防护重视不足，导致其系统可能面临更大的网络安全风险。因此，云服务商和云用户都应加大对网络安全的重视和投入，分工协作提升网络安全防范能力。云服务商应提供基础性的网络安全防护措施并保障云平台安全运行，全面提高云平台的安全性和可控性。云用户对部署在云平台上的系统承担主体责任，需全面落实系统的网络安全防护要求。

6、拒绝服务攻击频次下降但峰值流量持续攀升

DDoS攻击是难以防范的网络攻击手段之一，攻击手段和强度不断更新，并逐步形成了“DDoS即服务”的互联网黑色产业服务，普遍用于行业恶意竞争、敲诈勒索等网络犯罪。得益于我国网络空间环境治理取得的有效成果，经过对DDoS攻击资源的专项治理，我国境内拒绝服务攻击频次总体呈现下降趋势。根据第三方分析报告，2018年我国境内全年DDoS攻击次数同比下降超过20%，特别是反射攻击较去年减少了80%⑤(相关数据来源于中国电信云堤、绿盟科技公司联合发布的《2018DDoS攻击态势报告》和阿里云《2018年DDoS攻击全态势：战胜第一波攻击成“抗D”关键》。)。CNCERT抽样监测发现，2018年我国境内峰值流量超过Tbps级的DDoS攻击次数较往年增加较多，达68起。其中，2018年12月浙江省某IP地址遭DDoS攻击的峰值流量达1.27Tbps。

7、针对工业控制系统的定向性攻击趋势明显

2018年，针对特定工业系统的攻击越来越多，并多与传统攻击手段结合，针对国家工业控制系统的攻击日益呈现出定向性特点。恶意软件Trisis利用施耐德Triconex安全仪表控制系统零日漏洞，攻击了中东某石油天然气工厂，致其工厂停运。分析发现，Trisis完整的文件库通过五种不同的编程语言构建，因其定向性的特点，仅能在其攻击的同款工业设备上测试才能完全了解该恶意软件。2018年中期，恶意软件GreyEnergy被捕获，主要针对运行数据采集与监视控制系统（SCADA）软件和服务器的工业控制系统工作站，具有模块化架构，功能可进一步扩展，可进行后门访问、窃取文件、抓取屏幕截图、记录敲击键和窃取凭据等操作。2018年，CNCERT抽样监测发现，我国境内联网工业设备、系统、平台等遭受恶意嗅探、网络攻击的次数显著提高，虽未发生重大安全事件，但需提高警惕，引起重视。

8、虚假和仿冒移动应用增多且成为网络诈骗新渠道

近年来，随着互联网与经济、生活的深度捆绑交织，通过互联网对网民实施远程非接触式诈骗手段不断翻新，先后出现了“网络投资”、“网络交友”、“网购返利”等新型网络诈骗手段。随着我国移动互联网技术的快速发展和应用普及，2018年通过移动应用实施网络诈骗的事件尤为突出，如大量虚假的“贷款APP”并无真实贷款业务，仅用于诈骗分子骗取用户的隐私信息和钱财。CNCERT抽样监测发现，在此类虚假的“贷款APP”上提交姓名、身份证照片、个人资产证明、银行账户、地址等个人隐私信息的用户超过150万人，大量受害用户向诈骗分子支付了上万元的所谓“担保费”、“手续费”费用，经济利益受到实质损害。此外，CNCERT还发现，具有与正版软件相似图标或名字的仿冒APP数量呈上升趋势。2018年，CNCERT通过自主监测和投诉举报方式共捕获新增金融行业移动互联网仿冒APP⑥（仿冒应用（App），是指凡是未经正版软件公司授权，只要APP的图标、程序名称、包名或代码与正版软件相似，均可以判定为仿冒应用。）样本838个，同比增长了近3.5倍，达近年新高。这些仿冒APP通常采用“蹭热度”的方式来传播和诱惑用户下载并安装，可能会造成用户通讯录和短信内容等个人隐私信息泄露，或在未经用户允许的情况下私自下载恶意软件，造成恶意扣费等危害。

9、数据安全问题引起前所未有的关注

2018年3月，Facebook公司被爆出大规模数据泄露，且这些泄露的数据被恶意利用，引起国内外普遍关注。2018年我国也发生了包括十几亿条快递公司的用户信息、2.4亿条某连锁酒店入住信息、900万条某网站用户数据信息、某求职网站用户个人求职简历等数据泄露事件，这些泄露数据包含了大量的个人隐私信息，如姓名、地址、银行卡号、身份证号、联系电话、家庭成员等，给我国网民人身安全、财产安全带来了安全隐患。2018年5月25日，欧盟颁布执行史上最严的个人数据保护条例《通用数据保护条例》（GDPR），掀起了国内外的广泛讨论，该法案重点保护的是自然人的“个人数据”，例如姓名、地址、电子邮件地址、电话号码、生日、银行账户、汽车牌照、IP地址以及cookies等。根据定义，该法案监管收集个人数据的行为，包括所有形式的网络追踪。GDPR实施三天后，Facebook和谷歌等美国企业成为GDPR法案下第一批被告，这不仅给业界敲响了警钟，也督促更多企业投入精力保护数据安全尤其是个人隐私数据安全。

2019年网络安全趋势预测

结合2018年我国网络安全状况，以及5G、IPv6、区块链等新技术的发展和应用、CNCERT预测2019年网络安全趋势主要如下：

1、有特殊目的针对性更强的网络攻击越来越多

目前，网络攻击者发起网络攻击的针对性越来越强，有特殊目的的攻击行动频发。近年来，有攻击团伙长期以我国政府部门、事业单位、科研院所的网站为主要目标实施网页篡改，境外攻击团伙持续对我政府部门网站实施DDoS攻击。网络安全事件与社会活动紧密结合趋势明显，网络攻击事件高发。

2、国家关键信息基础设施保护受到普遍关注

作为事关国家安全、社会稳定和经济发展的战略资源，国家关键信息基础设施保护的工作尤为重要。当前，应用广泛的基础软硬件安全漏洞不断被披露、具有特殊目的的黑客组织不断对我国关键信息基础设施实施网络攻击，我国关键信息基础设施面临的安全风险不断加大。2018年，APT攻击活动持续活跃，我国多个重要行业遭受攻击。随着关键信息基础设施承载的信息价值越来越大，针对国家关键信息基础设施的网络攻击将会愈演愈烈。

3、个人信息和重要数据泄露危害更加严重

2018年Facebook信息泄露事件让我们重新审视个人信息和重要数据的泄露可能引发的危害，信息泄露不仅侵犯网民个人利益，甚至可能对国家政治安全造成影响。2018年我国境内发生了多起个人信息和重要数据泄露事件，犯罪分子利用大数据等技术手段，整合获得的各类数据，可形成对用户的多维度精准画像，所产生的危害将更为严重。

4、新技术广泛应用带来的安全问题值得关注

目前，我国5G、IPv6规模部署和试用工作逐步推进，关于5G、IPv6自身的安全问题以及衍生的安全问题值得关注。5G技术的应用代表着增强的移动宽带、海量的机器通信以及超高可靠低时延的通信，与IPv6技术应用共同发展，将真正实现让万物互联，互联网上承载的信息将更为丰富，物联网将大规模发展。但重要数据泄露、物联网设备安全问题目前尚未得到有效解决，物联网设备被大规模利用发起网络攻击的问题也将更加突出。同时，区块链技术也受到国内外广泛关注并快速应用，从数字货币到智能合约，并逐步向文化娱乐、社会管理、物联网等多个领域延伸。随着区块链应用的范围和深度逐渐扩大，数字货币被盗、智能合约、钱包和挖矿软件漏洞等安全问题将会更加凸显。

2018年我国互联网网络安全监测数据分析

一、恶意程序

1、计算机恶意程序捕获情况

2018年计算机恶意代码传播源位于境外分布情况

2018年我国受计算机恶意代码攻击的IP分布情况

2018年，CNCERT全年捕获计算机恶意程序样本数量超过1亿个，涉及计算机恶意程序家族51万余个，较2017年增加8132个。全年计算机恶意程序传播次数日均达500万余次。

2、计算机恶意程序用户感染情况

境内感染计算机恶意程序主机数量变化

据CNCERT抽样监测，2018年，我国境内感染计算机恶意程序的主机数量约655万台，同比下降47.8%。

3、移动互联网恶意程序

2010年至2018年移动互联网恶意程序捕获数量走势

2018年移动互联网恶意程序数量按行为属性统计

2018年，CNCERT通过自主捕获和厂商交换获得移动互联网恶意程序数量283万余个，同比增长11.7%，尽管近三年来增长速度有所放缓，但仍保持高速增长趋势。通过对恶意程序的恶意行为统计发现，排名前三的分别为流氓行为类、资费消耗类和信息窃取类。

二、安全漏洞

1、安全漏洞收录情况

2018年CNVD收录漏洞按影响对象类型分类统计

2018年收录安全漏洞数量同比减少了11.0%，共计14201个，高危漏洞收录数量为4898个（占34.5%），同比减少12.8%。

2、联网智能设备安全漏洞

2018年，CNVD收录的安全漏洞中关于联网智能设备安全漏洞有2244个，同比增长8.0%。这些安全漏洞涉及的类型主要包括设备信息泄露、权限绕过、远程代码执行、弱口令等；涉及的设备类型主要包括家用路由器、网络摄像头等。

三、拒绝服务攻击

2018年，CNCERT抽样监测发现我国境内峰值超过10Gbps的大流量分布式拒绝服务攻击（DDoS攻击）事件数量平均每月超过4000起，超过60%的攻击事件为僵尸网络控制发起。

1、攻击资源情况

分布式拒绝服务攻击（DDoS攻击）的目标主要分布在色情、博彩等互联网地下黑产方面以及文化体育和娱乐领域，此外还包括运营商IDC、金融、教育、政府机构等。

2、攻击团伙情况

2018年，CNCERT共监测发现利用僵尸网络进行攻击的DDoS攻击团伙50个。攻击团伙数量在2018年8月达到最高峰。

四、网站安全

2018年，CNCERT发现绝大多数网站攻击行为由少量的活跃攻击资源发起，对我国网站安全影响较大。这些攻击多带有黑帽SEO、网页篡改等典型黑产利益意图，并使用流行的攻击工具对网站开展批量化、长期化控制。

1、网页仿冒

2018年，CNCERT自主监测发现约5.3万个针对我国境内网站的仿冒页面，页面数量较2017年增长了7.2%。其中，仿冒政务类网站数量明显上升，占比高达25.2%，经分析，这些仿冒页面主要被用于短期内提高其域名的搜索引擎排名，从而快速转化为经济利益。

2、网站后门

2018年，CNCERT监测发现境内外约1.6万个IP地址对我国境内约2.4万个网站植入后门。近三年来，我国境内被植入后门的网站数量持续保持下降趋势，2018年的数量较2017年下降了19.3%。

3、网页篡改

2013年至2018年我国境内被篡改网站数量情况

2018年，CNCERT监测发现我国境内遭篡改的网站有7049个，较2017年的约2万个有大幅的下降，下降了64.9%，其中被篡改的政府网站有216个，较2017年的618个减少65.0%。

五、工业互联网安全

1、工业网络产品安全检测情况

2018年工业网络产品安全检测中发现的高危漏洞类型分布

2018年，CNCERT对主流工控设备和网络安全专用产品进行了安全入网抽检，并对电力二次设备进行了专项安全测试。在所涉及35个国内外主流厂商的87个型号产品中共发现232个高危漏洞，可能产生的风险包括拒绝服务攻击、远程命令执行、信息泄露等。利用这些漏洞，攻击者可使工控设备宕机，甚至获取设备控制权限，可能对其他工业网络设备发起攻击。

2、联网工业设备和工业云平台暴露情况

2018年发现的联网工业设备厂商分布情况

全年累计发现境外对我国暴露工业资产的恶意嗅探事件约4451万起，较2017年数量暴增约17倍；发现我国境内暴露的联网工业设备数量共计6020个。

另外，CNCERT发现具有一定规模的工业云平台30多家，业务涉及能源、金融、物流、智能制造、智慧城市30等方面，并监测发现根云、航天云网、COSMOPlat、OneNET、OceanConnect等大型工业云平台持续遭受漏洞利用、拒绝服务、暴力破解等网络攻击，工业云平台正逐渐成为网络攻击的重点目标。

3、重点行业远程巡检情况

2018年发现的重点行业联网监控管理系统分类

2018年CNCERT对电力、城市公用工程、石油天然气三个行业开展了远程安全巡检工作，发现电力行业暴露相关监控管理系统532个，涉及政府监管、电企管理、用电管理和云平台4大类；城市公用工程行业暴露相关监控管理系统1015个，涉及供水、供暖和燃气3大类；石油天然气行业暴露相关监控管理系统298个，涉及油气开31采、油气运输、油气存储、油品销售、化工生产和政府监管6大类。

六、互联网金融安全

1、互联网金融网站安全情况

互联网金融网站高危漏洞分布情况

2018年，CNCERT发现互联网金融网站的高危漏洞1700个，其中XSS跨站脚本类型漏洞占比最多有782个（占比46.0%）；其次是SQL注入漏洞476个（占比28.0%）和远程代码执行漏洞85个（占比5.0%）。

2、互联网金融APP安全情况

互联网金融移动APP高危漏洞分布情况

2018年，CNCERT对430个互联网金融APP进行检测，发现安全漏洞1005个，其中高危漏洞240个，明文数据传输漏洞数量最多有50个(占高危漏洞数量的20.8%)，其次是网页视图（Webview）明文存储密码漏洞有48个（占20.0%）和源代码反编译漏洞有31个（占12.9%）。

3、区块链系统安全情况

攻击者攻击互联网金融平台牟利的手段不断升级，并融合了金融业务特征，出现“互联网+金融”式攻击，尤其是在区块链数字货币等业务领域表现得更为明显。首先，区块链系统往往自带金融属性，直接运行数字货币等资产；其次，区块链相关代码多为开源，容易暴露风险；第三，区块链系统在对等网络环境中运行，网络中的节点防护能力有限；第四，用户自行保管私钥，一旦丢失或盗取无法找回；第五，相关业务平台发展时间短，系统安全防护经验和手段不完善、全面性和强度不足。