2020年我国互联网网络安全态势综述.pdf

2020 年我国互联网网络安全态势综述 国家计算机网络应急技术处理协调中心 2021 年 5 月 I 目 录 一、前言 . - 1 - 二、 2020年我国互联网网络安全状况 . - 2 - （一）我国网络安全法律法规体系日趋完善，网络安全威胁治理成效显著。 . - 2 - 1.我国网络安全法律法规体系建设进一步完善。 . - 2 - 2.网络安全宣传活动丰富、威胁治理成效显著。 . - 3 - （二） APT 组织利用社会热点、供应链攻击等方式持续对我国重要行业实施攻击，远程办公需 求增长扩大了 APT 攻击面。 . - 4 - 1.利用社会热点信息投递钓鱼邮件的 APT 攻击行动高发。 . - 4 - 2.供应链攻击成为 APT 组织常用攻击手法。 . - 4 - 3.部分 APT 组织网络 攻击工具长期潜伏在我国重要机构设备中。 . - 5 - （三） App 违法违规收集个人信息治理取得积极成效，但个人信息非法售卖情况仍较为严重， 联网数据库和微信小程序数据泄露风险较为突出。 . - 5 - 1.App 违法违规收集个人信息治理取得积极成效。 . - 5 - 2.公民个人信息未脱敏展示与非法售卖情况较为严重。 . - 6 - 3.联网 数据库和微信小程序数据泄露风险问题突出。 . - 6 - （四）漏洞信息共享与应急工作稳步深化，但历史重大漏洞利用风险仍然较大，网络安全产品 自身漏洞问题引起关注。 . - 7 - 1.漏洞信息共享与应急工作稳步推进。 . - 7 - 2.历史重大漏洞利用风险依然较为严重，漏洞修复工作尤为重要和紧迫。 . - 8 - 3.网络安全产品自身漏洞风险上升。 . - 8 - （五）恶意程序治理成效明 显，但勒索病毒技术手段不断升级，恶意程序传播与治理对抗性加剧。 . - 9 - 1.计算机恶意程序感染数量持续减少，移动互联网恶意程序治理成效显现。 . - 9 - 2.勒索病毒的勒索方式和技术手段不断升级。 . - 9 - 3.采用 P2P 传播方式的联网智能设备恶意程序异常活跃。 . - 10 - 4.仿冒 App 综合运用定向投递、多次跳转、泛域名解析等多种手段规避检测。 . - 10 - （六）网页仿冒治理工作力度持续加大，但因社会热点容易被黑产利用开展网页仿冒诈骗，以 社会热点为标题的仿冒页面骤增。 . - 11 - 1.通过加强行业合作持续开展网页仿冒治理工作。 . - 11 - 2.仿冒 ETC 页面 井喷式增长 。 . - 11 - 3.针对网上行政审批的仿冒页面数量大幅上涨。 . - 12 - （七）工业领域网络安全工作不断强化，但工业控制系统互联网侧安全风险仍较为严峻。 . - 12 - 1.监管要求、行业扶持和产业带动成为网络安全在工业领域不断落地和深化的三大动力。 . - 12 - 2.工业控制系统互联网侧安全风险仍较为严峻。 . - 13 - 三、 2021年网络安全关注方向预测 . - 13 - （一）与社会热点相关联的 APT 攻击活动仍将持续。 . - 13 - （二） App 违法违规收集使用个人信息情况将进一步改善。 . - 14 - （三）网络产品和服务的供应链安全问题面临挑战。 . - 14 - （四）加强关键信息基础设施安全保护成为社会共识。 . - 14 - （五）远程协作安全风险问题或将更受重视。 . - 15 - （六）全社会数字 化转型加快背景下将着力提升数据安全防护能力。 . - 15 - II 附件： 2020年我国互联网网络安全监测数据分析 . - 17 - （一）恶意程序 . - 17 - 1.恶意程序捕获情况 . - 17 - 2.计算机恶意程序用户感染情况 . - 18 - 3.移动互联网恶意程序 . - 20 - 4.联网智能设备恶意程序 . - 21 - （二）安全漏洞 . - 22 - （三）拒绝服务攻击 . - 24 - 1.境内目标遭大流量 DDoS 攻击情况 . - 24 - 2.被用于进行 DDoS 攻击的网络资源活跃情况 . - 25 - （四）网站安 全 . - 25 - 1.网页仿冒 . - 25 - 2.网站后门 . - 26 - 3.网页篡改 . - 27 - （五）云平台安全 . - 27 - （六）工业控制系统安全 . - 28 - （七）区块链安全 . - 29 - - 1 - 一、前言 2020 年， 全球突发新冠肺炎疫情 ，抗击疫情成为各国紧迫 任务。不论 是 在 疫情防控 相关 工作领域 ，还是在远程办公、教 育、医疗及智能化生产等生产生活领域，大量新型互联网产品 和服务应运而生，在助力疫情防控的同时也进一步推进社会数 字化转型。与此同时，安全漏洞、数据泄露、网络诈骗、勒索 病毒等网络安全威胁日益凸显，有组织、有目的的网络攻击 形 势 愈加 明显，为网络安全防护工作带来 更多 挑战。 我国持续加强网络安全监测发现和应急处臵工作，组织应 急演练，并不断加强网络安全 法治 体系建设。中央网信办发布 关于做好个人信息保护利用大数据支撑联防联控工作的通 知；全国人大法工委 就 数据安全法 (草案 )和个人信息保 护法（草案）征 求意见，进一步强调 对 数据安全和个人信息 的 保护；密码法正式施行， 是 我国密码领域 的 综合性、基础性 法律。 本报告以 CNCERT 宏观 网络 安全监测数据为基础，结合各 类 安全威胁、事件信息以及网络安全威胁治理实践，对 2020年 我国互联网网络安全状况进行了全面分析和总结，并对 2021 年 网络安全 关注方向 进行预测。 - 2 - 二 、 2020年我国互联网网络安全状况 （一） 我国网络安全法律法规体系 日趋 完善，网络安全威 胁治理 成效 显著 。 1.我国网络安全法律法规体系建设进一步完善 。 2020 年，多项网络安全法律法规 面 向社会公众发布，我国 网络安全法律 法规 体系日臻完善。 国家互联网信息办公室等 12 个 部门联合 制定和 发布网络安全审查办法，以确保关键信息 基础设施供应链安全 ，维护国家安全 。全国人大法工委 就 数 据安全法 (草案 )和个人信息保护法（草案）征求 社会公众 意见， 法律将 为切实保护数据安全和用户个人信息安全提供强 有力的法治保障。 密码法 正式 施行 ， 规定 使用密码进行数据 加密 、 身份认证以及开展商用密码应用安全性评估成为系统运 营单位的法定义务。 中共中央关于制定国民经济和社会发展第 十四个五年规划和二 三五年远景目标的建议正式发布 ， 提 出 保障国家数据安全，加强个人信息保护 ， 全面加强网络安全 保障体系和能力建设 ， 维护水利、电力、供水、油气、交通、 通信、网络、金融等重要基础设施安全。 中共中央印发法治 社会建设实施纲要（ 2020 2025 年） ， 要求 依法治理网络空间 ， 推动社会治理从现实社会向网络空间覆盖，建立健全网络综合 治理体系，加强依法管网、依法办网、依法上网，全面推进网 络空间法治化，营造清朗的网络空间。 同时 ， 国家发改委 、 工 业和信息化部 、公安部、 交通运输部 、 国家 市场监督管理 总局 - 3 - 等 多个 部门 ， 陆续出台相关配套文件 ， 不断 推进 我国各领域网 络安全工作 。 2.网络安全 宣传活动丰富、 威胁治理 成效 显著 。 党的十八大以来，我国持续加强网络安全顶层设计， 每年 开展国家网络安全宣传周活动， 组织 丰富多样 的 网络安全会议、 赛事等 活动 ，不断 加大网络安全 知识 宣传 力度 。 2020 年， CNCERT 协调处臵 各类 网络安全事件约 10.3 万起，同比减少 4.2%。 据抽样监测发现， 我国 被 植入后门网站、 被 篡改网站等 数量均有所减少 ，其中 被 植入后门的网站数量同比减少 37.3%， 境内政府网站 被 植入后门的数量大幅下降，同比减少 64.3%； 被 篡改的网站数量同比减少 45.9%。 在主管部门指导下， CNCERT 持续开展 对 被 用于进行 DDoS 攻击 的网络 资源 （以下 简称“攻击资源”） 治理 工作 ， 境内可被利用的 攻击 资源稳定性 降低， 被 利用 发起攻击 的境内 攻击 资源数量 持续 控制在较低水 平， 有效降低了 发起 自我国境内的攻击流量 ， 从源头上持续遏 制 DDoS 攻击 事件 。根据外部报告， 全年 我国境内 DDoS 攻击 次数减少 16.16%，攻击总流量下降 19.67% ； 僵尸网络控制端 数量在全球的 占比稳步下降至 2.05% 。 相关数据来源于中国电信云堤、绿盟科技联合发布的 2020 DDoS 攻击态势报告 相关数据来源于卡巴斯基公司 DDoS Attacks in Q4 2020 - 4 - （ 二 ） APT 组织 利用 社会热点 、供应链攻击等方式 持续对 我国重要行业实施攻击，远程办公需求 增长 扩大了 APT攻击 面 。 1.利用社会热点信息投递钓鱼邮件的 APT 攻击 行动 高发。 境外“白象”“海莲花”“毒云藤”等 APT 攻击组织以“新 冠肺炎疫情”“基金项目申请” 等 相关 社会热点及工作文件为诱 饵，向我 国 重要单位邮箱账户投递钓鱼邮件 ， 诱导受害人点击 仿冒 该单位 邮件服务提供商 或 邮件服务系统的虚假 页面 链接， 从而盗取 受害人的 邮箱账号密码。 1 月 ，“白象”组织利用新冠 肺炎 疫情相关 热点 ，冒充我国卫生机构对我国 20 余 家 单位发起 定向攻击 ； 2 月 ，“海莲花”组织以 “ H5N1 亚型高致病性禽流 感疫情 ”“ 冠状病毒实时更新 ” 等时事热点为诱饵对我国 部分 卫 生机构 发起 “ 鱼叉 ” 攻击。“毒云藤”组织 长期 利用伪造的邮箱 文件共享页面 实施攻击 ， 获取了 我国百余个单位的数百个邮箱 的 账户 权限 。 2.供应链攻击成为 APT 组织常用 攻击手法 。 APT 组织多次 对攻击目标 采用 供应链攻击。例如， 新冠肺 炎 疫情防控下的远程办公需求明显增多， 虚拟专用网络（ VPN） 成为 远程办公人员接入 单位 网络的主要技术手段之一。在此背 景下，部分 APT 组织 通过控制 VPN 服务器， 将 木马文件伪装 成 VPN 客户端升级包 ， 下发给 使用这些 VPN 服务器 的 重要单 位。 经 监测发现， 东亚 区域 APT 组织 以及 “海莲花”组织等 多 个境外 APT 组织 通过这一方式对 我国党政机关、科研院所等多 - 5 - 个重要行业单位 发起攻击 ， 造成 较为严重的网络安全风险。 2020 年底，美国爆发 SolarWinds 供应链攻击事件，包括美国有关政 府机构及微软、思科等大型公司在内的大量机构受到影响。 3.部分 APT 组织 网络 攻击工具长期潜伏在我 国 重要机构设 备中。 为长期控制重要目标 从而 窃取 信息，部分 APT 组织利用 网 络 攻击工具，在入侵我 国 重要机构后长期潜伏，这些工具功能 强大、结构复杂、隐蔽性高。 3 月至 7 月，“响尾蛇”组织隐蔽 控制我 国 某重点高校主机，持续窃取了多份文件； 9 月，在我某 研究机构服务器 上 发现“方程式”组织使用的高度隐蔽 网络 窃 密 工具 ，结合前期该机构主机被控 情况 ， 可以 推断， 最早可追 溯至 2013 年，“方程式”组织 就 已开始 对该研究机构实施 长期 潜伏攻击。 （ 三 ） App 违法违规 收集 个人信息治理 取得积极成效 ，但 个人信息非法售卖情况 仍 较为严重 ， 联网数据库和微信小程序 数据泄露风险 较 为 突出。 1.App 违法违规收集个人信息治理 取得积极成效 。 App 违法违规收集使用个人信息乱象的治理持续推进，取 得积极成效。截至 2020年底，国内主流应用商店 可下载的 在架 活跃 App 达到 267 万款，安卓、苹果 App 分别为 105 万款、 162 万款。为落实网络安全法，进一步规范 App 个人信息收集行 为，保障个人信息安全，国家互联网信息办公室会同工业和信 - 6 - 息化部、公安部、市场监管总局持续开展 App 违法违规收集使 用个人信息治理工作，对存在未经同意收集、超范围收集、强 制授权、过度索权等违法违规问题 的 App 依法予以公开曝光或 下架处理；研究起草了常见类型移动互联网应用程序（ App） 必要个人信息范围规定（征求意见稿）并面向社会公开征求意 见，规定了地图导航、网络约车、即时通信等常见类型 App 的 必要个人信息范围。 2.公民 个人信息 未脱敏展示与 非法售卖情况较为严重。 监测发现 涉及身份证号码、手机号码、家庭住址、学历、 工作信息等 敏感 个人信息暴露在互联网上 ， 全年 仅 CNCERT就 累计监测发现 政务公开、招考公示等平台未脱敏展示公民个人 信息事件 107起，涉及未脱敏个人信息近 10万条。此外， 全年 累 计监测发现 个人信息非法售卖 事件 203起， 其中，银行、证券、 保险相关行业用户 个人信息 遭 非法售卖 的 事件占比较 高， 约占 数据非法交易事件总数的 40%； 电子商务、社交平台等用户数 据和高校、培训机构、考试机构等教育行业通讯录数据分别占 数据非法交易 事件 总数的 20%和 12%。 3.联网数据库和微信小程序数据泄露风险问题突出 。 CNCERT 持续推进数据安全事件监测发现 和 协调处臵工作， 全年累计监测并通报联网信息系统数据库存在安全漏洞、遭受 入侵控制，以及个人信息遭盗取和非法售卖等重要数据安全事 件 3000余起，涉及电子商务、互联网企业、医疗卫生、校外培 - 7 - 训等众多行业 机构 。 分析 发现 ， 使用 MySQL、 SQLServer、 Redis、 PostgreSQL 等主流数据库的信息系统 遭攻击 较为频繁。其中， 数据库密码爆破攻击事件最为普遍，占比高达 48%，数据库遭 删库、拖库、植入恶意代码、植入后门 等事件 时有发生， 数据 库存在漏洞等 风险 情况较为突出 。 近年来，微信小程序（以下简称 “ 小程序 ” ）发展 迅速 ， 但也 暴露出较为 突出 的安全隐患，特别是用户个人信息泄露风 险 较为 严峻。 CNCERT从程序代码安全、服务交互安全、本地 数据安全、网络传输安全、安全漏洞等五个维度，对国内 50家 银行发布的小程序进行 了 安全性检测 ， 结果显示，平均一个小 程序存在 8项 安全风险， 在 程序源代码暴露关键信息和输入敏感 信息时 未采取 防护 措施 的小程序数量占比超过 90%； 未 提供个 人信息收集协议的超过 80%；个人信息在本地储存和网络传输 过程中 未 进行加密处理的超过 60%；少数小程序 则 存在较严重 的 越权风险。 （ 四 ） 漏洞信息共享与应急工作 稳步深化 ， 但 历史重大漏 洞利用风险仍然较大， 网络安全产品自身漏洞问题 引起关注 。 1.漏洞信息共享与应急工作稳步推进。 国家信息安全漏洞共享平台（以下简称 “ CNVD” ） 全年 新 增收录通用软硬件漏洞数量创历史新高，达 20,704 个，同比增 长 27.9%， 近五年来新增收录漏洞数量呈显著增长态势，年均 增长率为 17.6%。全年开展重大突发漏洞事件应急响应工作 36 - 8 - 次，涉及办公自动化系统（ OA）、内容管理系统（ CMS）、防火 墙系统等 ； 开展了 对约 3.1 万起漏洞事件的验证和处臵 工作 ； 及时向社会公开发布影响范围广、需终端用户尽快修复的重大 安全漏洞 公告 26份，有效化解重大安全漏洞可能引发的安全风 险。 2.历史重大漏洞利用风险依然 较为 严重，漏洞修复工作尤 为重要 和紧迫 。 经 抽样监测发现，利用安全漏洞针对境内主机进行扫描探 测、代码执行等 的 远程攻击行为日均超过 2176.4 万次。根据攻 击来源 IP 地址进行统计， 攻击 主要来自境外，占比超过 75%。 攻击者所利用的漏洞类型主要覆盖网站侧、主机侧、移动终端 侧，其中攻击网站所利用的典型漏洞为 Apache Struts2 远程代码 执行、 Weblogic 反序列化等漏洞；攻击主机所利用的典型漏洞 为“永恒之蓝”、 OpenSSL“ 心脏滴血 ” 等漏洞；攻击移动终端 所利用的典型漏洞为 Webview 远程代码执行等漏洞。 上述 典型 漏洞均为历史 上曾造成严重威胁的 重大漏洞， 虽然已曝光较长 时间，但 目前仍然 受到 攻击者重点关注 ， 安全隐患依然严重， 针对此类 漏洞 的 修复工作尤为重要 和紧迫 。 3.网络安全产品 自身 漏洞 风险 上升 。 CNVD 收录的通用型漏洞中，网络安全产品类漏洞数量达 424 个，同比增长 110.9%，网络安全产品 自 身存在的安全漏洞 需 获得更多关注。终端安全响应系统（ EDR）、 堡垒机 、防火墙、 - 9 - 入侵防御系统、威胁发现系统等网络安全防护产品多次被披露 存在安全漏洞 ， 由于网络安全防护产品在网络安全防护体系中 发挥着 重要 作用，且这些产品在国内使用范围较广，相关漏洞 一旦 被不法分子利用，可能构成严重的网络安全威胁。 （ 五 ） 恶意程序治理 成效 明显，但 勒索病毒 技术手段不断 升级，恶意程序 传播与治理 对抗性加剧 。 1.计算机恶意程序感染数量持续减少，移动互联网恶意程 序治理成效显现。 我国 持续开展计算机恶意程序常态化打击工作， 2020 年 成功 关闭 386 个控制规模较大的僵尸网络 ， 近五年来 我国感染计算机 恶意程序的主机数量 持续 下降 ，并保持在较低感染水平 ， 年均 减 少率 为 25.1%。 为从源头 上 治理移动互联网恶意程序，有效切 断传播源， CNCERT 重点 协调国内已备案的 App 传播渠道开展 恶意 App 下架工作， 2014 年到 2020 年期间下架数量 分别为 3.9 万个、 1.7 万个、 8,910 个、 8,364 个、 3,578个、 3,057 个、 2,333 个， 恶意 App 下架数量 持续保持 逐年下降趋势。 2.勒索 病毒 的 勒索 方式和技术手段不断升级。 勒索病毒持续活跃 ， 全年捕获勒索 病毒 软件 78.1万余个，较 2019年 同比 增长 6.8%。近年来，勒索 病毒 逐渐从 “ 广撒网 ” 转向 定向攻击，表现出 更强 的针对性，攻击目标 主要 是 大型高价值 机 构。同时，勒索病毒 的 技术手段不断 升级 ，利用漏洞入侵 过程以 及随后的 内网横向移动 过程 的 自动化、集成化、模块化 、组织化 - 10 - 特点愈发明显， 攻击技术 呈现快速升级 趋势。勒索方式 也持续 升 级 ，勒索团伙 将被 加密 文件窃取回传，在网站或暗网数据泄露站 点 上公布 部分或全部文件 ，以威胁受害者缴纳赎金 ， 例 如 我国某 互联网公司 就 曾遭受 来自勒索团伙 Maze实施的 此类 攻击。 3.采用 P2P 传播方式的联网智能设备恶意程序异常活跃。 P2P传播方式是恶意程序的传统传播手段之一，具有传播速 度快、感染规模大、追溯源头难的特点， Mozi、 Pinkbot等联网 智能设备恶意程序家族 在 利用该传播方式 后活动 异常活跃。 据 抽样监测发现，我国境内以 P2P传播方式控制的联网智能设备数 量非常庞大，达 2299.7万个 。全年联网智能设备僵尸网络控制 规模增大，部分大型僵尸网络通过 P2P传播与集中控制相结合 的 方式 对受控端进行控制。为净化网络安全环境， CNCERT组织 对集中式控制端进行打击，但 若 未清理恶意程序 ，受感染设备 之 间 仍 可继续通过 P2P通信保持联系 ，并感染其他设备。 随着更 多 物联网设备不断投入使用，采用 P2P传播的恶意程序可能 对网 络空间 产生更大威胁。 4.仿冒 App 综合 运 用定向投递、多次跳转、泛域名解析等 多种手段规避检测。 随着恶意 App治理 工作持续推进，正规平台上恶意 App数量 逐 年 呈下降趋势，仿冒 App已难以 通过 正规 平台上架和传播 ， 转而 采用一些 新 的传播 方式 。 一些 不法分子 制作 仿冒 App并 通过 分发 平台生成二维码或下载链接 ，采取“ 定向 投递”等方式， 通过短 - 11 - 信、社交工具 等 向目标人群发送二维码或下载链接 ， 诱骗受害人 下载安装。同时，还综合 运 用 下载链接多次跳转 、 域名随机变化 、 泛域名解析 等 多种技术 手段 ， 规避检测， 当某个 仿冒 App下载链 接 被处臵后，立即 生成新的传播链 接 ， 以达到规避检测的目的 ， 增加 了 治理难度。 （ 六 ） 网页仿冒治理工作 力度 持续加大 ，但 因 社会热点容 易被黑产利用开展 网页 仿冒诈骗 ， 以 社会热点 为标题 的仿冒页 面骤增。 1.通过加强行业合作持续开展网页仿冒治理工作。 为有效防范网页仿冒引发的危害， CNCERT 围绕针对 金融、 电信 等 行业 的 仿冒页面进行重点处臵，全年共协调 国内外域名 注册 机构 关闭仿冒页面 1.7 万余个；对于其他仿冒页面，通过 中国互联网网络安全威胁治理联盟（ CCTGA）联合国内 10 家 浏览器厂商 通过 协同防御试点方式， 在 用户访问钓鱼网站 时 进 行提示拦截，全年提示拦截次数达 3.9 亿次。 2.仿冒 ETC 页面 井喷式增长 。 2019 年以来，电子不停车收费系统（ ETC） 在 全国大力推 广 ， ETC 页面 直接 涉及 个人银行卡 信息。 不法分子 通过 仿冒 ETC 相关页面，骗取个人银行卡信息。 2020 年 5 月以来，以“ ETC 在线认证”为 标题 的仿冒页面数量呈井喷式增长，并在 8 月达 到峰值 5.6万余条，占针对我国境内网站仿冒页面总量的 91%。 此类 仿冒页面 承载 IP 地址多位于境外，不法分子通过“ ETC 信 - 12 - 息认证”“ ETC 在线办理认证”“ ETC 在线认证中心”等不同页 面 内容 诱骗用户提交姓名、银行账号、身份证号、手机号、密 码等个人隐私信息，致使大量用户遭受经济损失。 3.针对 网上行政审批 的 仿冒页面数量大幅上涨。 受 新冠肺炎 疫情影响，大量行政审批转向线上。 2020 年底， 出现大量以“统一企业执照信息管理系统”为标题的仿冒 页面 ， 仅 11 月至 12 月 即监测 发现此类仿冒页面 5.3 万余条。不法分 子 通过该 类 页面 诱骗用户在仿冒页面上提交真实姓名、银行卡 号、卡内余额、身份证号、银行预留手机号等信息。此外，监 测 还 发现大量以“核酸检测”“新冠疫苗预约”等为标题的仿冒 页面 ， 其目的在于 非法获取用户姓名、住址、身份证号、手机 号等个人隐私信息。 （ 七 ） 工业领域网络安全 工作 不断强化 ，但 工业控制系统 互联网侧安全风险仍 较为 严峻。 1.监管要求、行业扶持和产业带动成为网络安全在工业领 域不断落地和深化的三大动力。 随着等保 2.0 标准正式实施，公安部制定出台贯彻落实 网络安全等级保护制度和关键信息基础设施保护制度的指导意 见，建立并实施关键信息基础设施安全保护制度。为满足监管 要求和行业网络安全保障需求，国家相关主管部门加大对重点 行业网络安全政策和资金扶持力度，工控安全 行业 蓬勃发展。 为行业量身定做的、具有实际效果的安全解决方案得到更多认 - 13 - 可，如电网等较早开展工控安全的行业，已逐步从合规性需求 向 效果 性需求转变 。 除外围安全监测与防护，核心软硬件的本 体安全和供应链安全日益得到重视。 2.工业控制系统互联网侧安全风险仍较为严峻。 监测发现，我国 境内直接暴露在互联网上的工控设备和系 统存在高危漏洞隐患占比仍然较高。在对能源、轨道交通等关 键信息基础设施在线安全巡检中发现， 20%的生产管理系统存 在高危安全漏洞。与此同时，工业控制系统已成为黑客攻击利 用的重要对象，境外黑客组织对我国工控视频监控设备进行了 针对性攻击。 2 月，针对存在 某 特定漏洞 工控 设备 的 恶意代码攻 击 持续半个月之久 ，攻击 次数达 6,700 万次， 攻击对象包含 数 十万个 IP 地址。为有效降低工业控制系统互联网侧的安全风险， 各 相关 行业需加大资金投入力度，提升工控设备漏洞安全监测 能力，加强处臵力度， 从而 及时消除互联网侧安全风险暴露点。 三、 2021年网络安全关注方向预测 （一）与社会热点相关联的 APT 攻击活动仍将持续。 2020年，全球范围内多个 APT 组织都发起以新冠疫情主题 为诱饵的 APT 攻击。攻击者通过“鱼叉”钓鱼邮件等方式对分 布在全球的攻击目标实施窃密和控制。 2021 年，在新冠 肺炎 疫 情 持续 扩散 、 各国 规模化 开展疫苗采购和 接种 工作 的背景下， 这类 攻击方式仍将流行，以窃取新冠 肺炎 疫苗相关信息为目标 的 APT 攻击活动将持续，政府机构、关键信息基础设施 运营者 、 - 14 - 疫苗生产厂商、卫生组织、医疗机构等将 成为 重点攻击目标。 （二） App 违法违规收集使用个人信息 情况将进一步改善 。 在移动互联网时代，个人信息 已成为 高价值的数据资源， 加强 App 个人信息保护势在必行。 近年来， 国家互联网信息办 公室、工业和信息化部、公安部、国家市场监管总局四部门启 动了 App 违法违规收集使用个人信息治理工作，对用户规模大、 问题突出的 App 采取公开曝光、约谈、下架等处罚措施 ， App 违法违规收集使用个人信息问题有所改善。然而，我国 App 数 量庞大， 更新 频繁 ， 且新应用层出不穷，仍存在 App 过度超范 围 收集 个人信息、 个人信息滥用等情况，公民合法权益 受到 侵 犯。 2021 年， 随着 个人信息保护法的 即将 出台，以及 国家 监管部门监督和治理 力度 不断加大，相关运营企业将 更加 重视 个人信息保护工作，规范收集使用个人信息行为。 （三）网络产品和服务的供应链安全问题面临挑战。 近年来 ，因 停止提供基础产品组件或服务 ，或遭受 网络攻 击等 方式 而 发生 的 网络产品和服务供应链安全问题 时有发生 。 任何产品和服务的供应链 只要 在 某个 环节出现问题，都可能影 响 整个供应链的 安全运行， 破坏性巨大 。面对愈加严峻的供应 链安全 形势 ， 预计 各行业领域政策标准将陆续出台，区块链等 新技术也将为保障供应链安全提供可能的解决方案。 （四）加强关键信息基础设施安全 保护 成为社会共识。 2020 年 4 月 13 日，国家互联网信息办公室等 12 个部门联 - 15 - 合发布网络安全审查办法， 明确关键信息基础设施运营者采 购网络产品和服务，影响或可能影响国家安全的，应当按照办 法进行网络安全审查。 近年来，针对关键信息基础设施的信息 窃取、 攻击 破坏 等 恶意活动持续增加，相关安全问题也受到社 会关注。 例如， 新冠肺炎疫情发生以来，涉及医疗卫生的关键 信息基础设施成为攻击者的重点 攻击 对象。 预计 2021 年 ， 关键 信息基础设施 安全 保护 的 顶层设计、体系建设 等 将 持续完善 。 （五）远程协作安全风险问题或将 更受 重视。 2020年，全球出现多起 涉及 远程会议软件、 VPN 设备等 的 网络 安全事件 ， 远程协作中的网络安全问题得到高度重视， 2020 年 3 月全国信息安全标准化技术委员会出台网络安全标准实 践指南 -远程办公安全防护。 2021 年，攻击者或将针对远程协 作环境下的薄弱环节，重点针对使用的工具、协议以及所依赖 的 信息 基础设施开展攻击，远程协作安全风险问题将受到 更多 关注和 重视， 需要 更体系化的安全解决方案。 （六）全社会数字化转型加快背景下 将 着力提升数据安全 防护能力。 随着云计算、大数据、物联网、工业互联网、人工智能等 新技术新应用 的 大规模发展，互联网上承载的 数据和 信息越来 越丰富，这些数据资源已经成为国家重要战略资源和新生产要 素，对经济发展、国家治理、社会管理、人民生活都产生重大 影响。 随着全社会数字化进程的加快，数据的价值将更为凸显 。 - 16 - 近年来 针对数据的网络攻击以及数据滥用问题日趋严重， 数据 安全风险将更加突出 。 2021 年，随着数据安全法 的 即将 出 台 ，数据安全管理将会进一步加强， 数据安全治理水平也将得 到有效提升。 - 17 - 附件： 2020年我国互联网网络安全监测数据分析 （一）恶意程序 1.恶意程序捕获情况 全年捕获恶意程序样本数量超过 4,200 万个，日均传播次 数达 482 万余次，涉及恶意程序家族近 34.8 万个。按照传播来 源统计，境外来源主要是来自美国、印度等，具体分布如图 1 所示；境内来源主要来自河南省、广东省和浙江省等。按照 攻 击 目标 IP 地址 统计，我国境内受恶意程序攻击的 IP 地址约 5,541万个，约占我国 IP 地址 总数的 14.2%，这些受攻击的 IP 地址主要集中在山东省、江苏省、广东省、浙江省等地区 。 2020 年我国受恶意程序攻击的 IP 地址 分布情况如图 2 所示。 图 1 2020 年恶意 程序 传播 源位于境外分布情况 图 2 2020 年我国受恶意 程序 攻击的 IP 地址 分布情况 - 18 - 2.计算机恶意程序用户感染情况 全年，我国境内感染计算机恶意程序的主机数量约 534 万 台，同比下降 8.3%，如图 3 所示。位于境外的约 5.2 万个计算 机恶意程序控制服务器控制了我国境内约 531 万台主机。就控 制服务器所属地区来看，位于美国、中国香港和荷兰的控制服 务器数量分列前三位，分别是约 1.9 万个、 2,854 个和 2,083 个，具体分布如图 4 所示；就所控制我国境内主机数量来看， 位于美国、荷兰和德国的控制服务器控制规模分列前三位，分 别控制我国境内约 446万、 215万和 194万台主机，如图 5所示。 此外，根据 CNCERT 针对 IPv6 网络攻击的抽样监测数据 显示 ， 2020年境外 约 3,500个 IPv6地址的计算机恶意程序控制服务器 控制了我国境内约 3.3 万台 IPv6 地址主机。 图 3 境内感染计算机恶意程序主机数量 统计 - 19 - 图 4 2020年控制我国境内主机的境外 计算机恶意程序 控制 服务器数量 分布 图 5 2020 年控制我国境内主机数量 TOP10 的国家或地区 从我国境内感染计算机恶意程序主机所属地区看， 感染主 机 主要分布在江苏省（占我国境内感染数量的 12.1%）、浙江省 （占 11.5%）、广东省（占 11.4%）等地区，如图 6 所示。在因 感染计算机恶意程序而形成的僵尸网络中，规模在 100 台主机 以上的僵尸网络数量达 8,423个，同比增长 50.1%，规模在 10 万台以上的僵尸网络数量达 39 个，如图 7 所示。 CNCERT 协调 相关机构成功关闭 386 个控制规模较大的僵尸网络，有效控制 计算机恶意程序感染主机引发的危害。 - 20 - 图 6 2020 年我国境内感染 计算机恶意 程序主机数量按地区分布 图 7 2020 年僵尸网络的规模分布 3.移动互联网恶意程序 全年 通过自主捕获和厂商交换新增获得移动互联网恶意程 序数量 约 303万个，同比增长 8.5%，如图 8 所示。通过对恶意 程序的恶意行为统计发现，排名前三的仍然是流氓行为类、资 费消耗类和信息窃取类，占比分别为 48.4%、 21.1%和 12.7%， 如图 9 所示。 CNCERT 连续 八 年联合应用商店、云平台等服务 平台持续加强对移动互联网恶意程序的发现和下架力度， 2020 年 累计协调国内 569 家提供移动应用程序下载服务的平台下架 2,333个移动互联网恶意程序 ，有效控制了移动互联网恶意程序 传播途径，防范移动互联网恶意程序危害。 - 21 - 图 8 2011 年至 2020 年移动互联网恶意程序捕获数量走势 图 9 2020 年移动互联网恶意程序数量按行为属性统计 4.联网智能设备恶意程序 全年捕获联网智能设备恶意 程序 样本数量约 341 万个，同 比上升 5.2%。其中，排名前两位的恶意 程序 样本家族及变种为 Mirai、 Gafgyt，占比分别为 77.5%和 13.9%，其他数量较多的 家族还有 Tsunami、 Mozi、 Dark Nexus 等。全年监测发现联网 智能设备恶意程序传播源 IP 地址约 51.99 万个，其中，境外传 播源 IP 地址主要分布在印度、俄罗斯、韩国、巴西、美国等 国 家 或地区 。 根据抽样监测，发现境内联网智能设备被控端 2929.73 万 个，感染的恶意程序家族主要为 Pinkbot、 Tsunami、 Gafgyt、 - 22 - Mirai 等，通过控制联网智能设备发起的 DDoS 攻击日均 3000 余起。其中，以 P2P 传播模式控制的感染端 2299.7 万个 ，主要 位于山东省、浙江省、河南省、江苏省等地 区 。目前，采用 P2P 传播方式的联网智能设备恶意程序非常活跃，给联网智能设备 控制端集中 打击清理工作带来新挑战。通过对联网智能设备被 控所形成的僵尸网络进行分析，发现累计控制规模大于 10万的 僵尸网络共 53 个， 控制规模为 1 万至 10 万的 僵尸网络 共 471 个，控制规模较大的控制端主要分布在美国、荷兰、俄罗斯、 法国、德国等，控制规模较大的恶意程序家族包括 Tsunami、 Gafgyt、 Moobot、 Cayosin、 Fbot、 Mirai 等。 （二）安全漏洞 国家信息安全漏洞共享平台（ CNVD）收录安全漏洞数量 共计 20,704 个，继续呈上升趋势，同比增长 27.9%， 2016 年 以来年均增长率为 17.6%。其中，高危漏洞数量为 7,420个（占 35.8%），同比增长 52.1%；“零日”漏洞数量为 8,902 个（占 43.0%），同比增长 56.0%，如图 10 所示。按影响对象分类统 计，排名前三的是应用程序漏洞（占 47.9%）、 Web 应用漏洞（占 29.5%）、操作系统漏洞（占 10.0%），如图 11所示。 - 23 - 图 10 2016 年至 2020 年 CNVD 收录安全漏洞数量对比 图 11 2020 年 CNVD 收录安全漏洞按影响对象分类统计 CNVD 继续推进移动互联网、电信行业、工业控制系统和 电子政务 四 类子漏洞库的建设工作，分别新增收录安全漏洞数 量 1,665 个（占全年收录数量的 8.0%）、 1,039个（占 5.0%）、 706 个（占 3.4%）和 209个（占 1.0%），如图 12 所示。同 2019 年相比， 四 类子漏洞库收录数量均有不同程度的增长，同比增 长 分别 为 37.1%、 62.9%、 59.4%和 59.5%。 - 24 - 图 12 2016 年至 2020 年 CNVD 子漏洞库收录情况对比 （三）拒绝服务攻击 因为攻击成本低、效果 明显 ， DDoS 攻击仍是目前互联网用 户面临的 较 常见、影响 较 严重的网络安全威胁之一。为降低 DDoS 攻击对我国基础网络和关键信息基础设施的 威胁 ， CNCERT 持续加强对境内 目标 遭 大流量攻击 情况的 监测跟踪分 析， 针对所 发现的 被用于进行 DDoS 攻击的网络资源 重点开展 治理 。 1.境内 目标遭 大流量 DDoS 攻击情况 在监测发现的境内 目标遭 峰值流量超过 1Gbps 的大流量攻 击事件中，攻击方式 为 TCP SYN Flood、 UDP Flood、 NTP Amplification、 DNS Amplification 和 SSDP Amplification 这五种 攻击 的 占比达到 91.6%；攻击目标主要位于浙江省、山东省、 江苏省、广东省、北京市、上海市、福建省等 7 个 地 区 的 事件 占比达到 81.8%； 12 月份是全年攻