2020年 网络安全应急响应 分析报告 奇安信安服团队 2021年1月 主要观点  2020年，奇安信集团安服团队共接到应急服务需求 660起。政府部门、医 疗卫生行业和事业单位的业务 专网是2020年攻击者攻击的主要目标。  第三方通报已不是应急响应的主要原因。企业自主寻求应急响应支持已成应 急响应工作的主流。  仍有77.6%的企业是在已经发生重大安全事故后才寻求应急响应的。能够通 过自主巡检在重大事件发生之前及时组织的机构占比仅为 17.1%。这说明， 国内政企机构的日常安全运营建设水平仍有待大幅提高。特别地，有 37.3% 的机构是在被 勒索后才寻求应急响应， 但此时补救往往为时已晚。  2020年全年未发现大面积攻击事件，每月应急次数趋于平稳， 说明行业专 用网络或特殊网络的安全建设有明显进步。持续进行的实战攻防演习活动也 是提升整个行业网络安全水平的重要原因。事实上，在过去几年间，每年都 会发生数起 甚至数十 起大规模 的网络安全事件引发的 应急响应。受同一攻击 者或同一病毒攻击的机构少则数家，多则数十家 。这往往是由于相关企业通 过某些专用或特殊 网络相连， 但对专网或特殊网络防护不足而引发的。  员工安全意识培养迫在眉睫。公网泄露 敏感信息、高危端口外连、弱口令等 由于安全意识淡薄而引发的内网服务器受感染导致勒索病毒蔓延、数据泄露 甚至是服务器失陷事件比比皆是。 摘 要  2020年全年奇安信集团安服团队共参与和处置了全国范围内 660起网络安 全应急响应事件。  2020年全年应急 响应处置事件 行业 TOP3分别为： 政府部门行业 （ 146起） 、 医疗卫生行业（ 90起）以及事业单位（ 61起） ，事件处置数分别占应急处置 所有行业的 22.1%、13.6%、9.2%。  2020年全年奇安信安服团队参与处置的所有政府机构和企业的网络安全应 急响应事件中，由行业单位自行发现的安全攻击事件占 94.7%，其中有 37.3% 的政企机构是在遭受勒索攻击后才发现系统被攻击；而另有 5.3%的安全攻 击事件则是由监管机构及第三方平台通报得知。  2020年全年应急 响应事件的影响范围主要集中在业务专网，占比 71.4%； 办公终端，占比 28.6%。  2020年全年应急 响应事件中，攻击者对系统的攻击所产生的影响主要表现 为数据丢 失、生产效率低下、系统 /网络不可用。  2020年全年应急 响应事件中，敲诈勒索、黑产活动仍然是攻击者攻击大中 型政企机构的主要原因。  2020年全年大中型政企机构安全事件攻击类型，排名前三的类型分别是： 恶意程序，占比 54.5%；漏洞利用，占比 27.7%；钓鱼邮件，占比 4.8%。  2020年全年应急响应事件 中，弱口令、永恒之蓝漏洞仍是大中型政企机构 被攻陷的重要原因。 该报告所有分析数据来源于奇安信安服全年的 660次应急响应数据整理， 可能存在一定的局限性，报告结论和观点仅供用户参考。 关键词： 应急响应、安全服务、 弱口令、敲诈、勒索病毒 目 录 第一章 2020年全年应急 ................................ ................................ ............... 1 第二章 应急响应事件受害者分析 ................................ ................................ .. 2 一、 行业现状分析 ................................ ................................ .................... 2 二、 事件发现分析 ................................ ................................ .................... 2 三、 影响范围分析 ................................ ................................ .................... 3 四、 攻击影响分析 ................................ ................................ .................... 4 第三章 应急响应事件攻击者分析 ................................ ................................ .. 5 一、 攻击意图分析 ................................ ................................ .................... 5 二、 攻击类型分析 ................................ ................................ .................... 5 三、 恶意程序分析 ................................ ................................ .................... 6 四、 漏洞利用分析 ................................ ................................ .................... 7 第四章 应急响应典型案例分析 ................................ ................................ ..... 9 一、 VPN账号上传 GitHub致20余台服务器失陷 ................................ ...... 9 二、 内网端口开放致系统被多国黑客入侵 ................................ ................ 9 三、 私自下载破解软件致服务器感染勒索病毒 ................................ ....... 10 四、 弱口令致服务器感染挖矿木马 ................................ ......................... 11 五、 弱口令空口令致 23个内网系统被勒索加密 ................................ ..... 11 六、 服务器漏洞致网页被篡改植入违法信息 ................................ .......... 12 七、 机顶盒配置不当致堡 垒机被攻陷 ................................ ..................... 13 附录1 奇安信集团安服团队 ................................ ................................ ........... 14 附录2 应急响应工具箱介绍 ................................ ................................ ........... 15 © 奇安信集团 第 1 页，共 15 页 第一章 2020年全年应急 2020年1—12月，奇安信集团安服团队共参与和处置了全国范围内 660起网络安 全应急响应事件，第一时间协助用户处理安全事故，确保了用户门户网站、数据库和重 要业务系统的持续安全稳定运行。 2020年应急响应服务月度统计情况具体如下 。 2020年，奇安信安服应急 响应事件共处置 660起，投入工时为 8544.0小时，折合 1068.0人天。2019年全年应急响应事件 共处置1029起，相较于2019年，2020年应急 响应事件 数下降55.9%， 2020年每月应急次数趋于平稳。 2019年3月，“永恒之蓝下载 器”木马安全事件全面爆发， 由于2019年下半年遏制效果较好， 2020年暂无感染性较 强的木马病毒或大面积攻击事件。 同时，2020年全国各行业省份组织了各类实战攻防演习， 显著推动了大中型政企机 构的网络安全建设。 2021年，奇安信将以更大的努力减少安全事件对政府机构、大中型 企业的门户网站和业务系统造成的损失与对公众的