DDoS 攻击威胁报告总结
核心观点
本报告由绿盟科技伏影实验室撰写，分析了 2024 年 DDoS 攻击的趋势特征、攻击资源分布、攻击组织行为以及全年重大攻击事件。报告指出，DDoS 攻击已不再仅仅是技术层面的威胁，而是演变为一种集技术性、社会性和政治性于一体的复杂工具，其影响范围和应用场景持续扩展，成为全球政治斗争和地缘政治冲突中不可忽视的一部分。报告强调，各国政府、企业和网络安全机构必须高度重视 DDoS 攻击的威胁，加强技术防御和法律法规建设，以应对这一日益复杂的安全挑战。
关键数据和研究结论
1. 攻击趋势特征
- 攻击强度： 2024 年 DDoS 攻击峰值速率达到 1.9Tbps，高强度攻击事件较去年增长 37.91%。攻击高峰与热点事件紧密相连，例如巴以冲突、欧洲议会选举、美国大选等。
- 攻击手段： 传统攻击手段（如 UDP Flood、SYN Flood）仍占主导，但新兴攻击手段（如循环攻击、GTP 反射放大攻击）不断涌现。复合型攻击占比达到 11.49%，攻击者倾向于将多种攻击手段组合使用。
- 攻击目标： 中国和美国成为 DDoS 攻击的主要目标，分别占比 21.64% 和 15.92%。互联网和金融行业成为主要攻击对象，分别占比 35.21% 和 26.36%。WEB 服务端口（443 端口和 80 端口）和 DNS 服务端口（53 端口）成为攻击者的主要目标。
- 攻击时长： 短时攻击仍为主流，占比 71.20%，但长时间攻击的威胁也在加剧，占比 1.51%。
2. 攻击资源
- 攻击源分布： 我国应用层 DDoS 攻击源占比最高，达到 15.74%；其次为美国，占比 13.14%；俄罗斯和乌克兰分别占比 9.08% 和 7.64%。
- C2 分布： 荷兰和美国作为主要集中地，分别占比 18.71% 和 16.91%。圣基茨和尼维斯作为一个加勒比海小国，C2 服务器数量却高于许多规模更大的国家，主要原因是其宽松的网络安全政策和较弱的执法力度。
3. 攻击组织
- 活跃 DDoS 攻击组织： NoName057(16)、RipperSec、Russian Cyber Army Team、Anonymous Guys、EXECUTOR DDOS、CyberDragon、Mr Hamza、Alixsec、OverFlame、LulzSec 等。
- 有组织 DDoS 攻击目标： 以色列、乌克兰、印度、印度尼西亚、法国和捷克共和国等国家遭受 DDoS 攻击组织攻击情况相对严重。
- 典型攻击组织： Mr Hamza（摩洛哥）、NoName057(16)（亲俄）、Russian Cyber Army Team（维护俄罗斯利益）、RipperSec（活跃的黑客组织）、EXECUTOR DDOS（专门提供 DDoS 攻击和网站下线服务）。
4. 僵尸网络
- 僵尸网络家族： Mirai、XorDDoS 和 Gafgyt 为“元老级”家族，持续保持高强度活跃态势；HailBot 和 CatDDoS 为“新生代”家族，快速崛起。
- 僵尸网络攻击： SYN Flood 攻击增幅最为剧烈，2024 年发生量较上年激增超 200%；UDP Flood 攻击量上升 72.50%；ACK Bypass 攻击异军突起。
- 僵尸网络攻击目标： 中国以 34% 的受攻击占比位居全球首位，美国（17%）位居第二，两国合计占比达全球攻击总量的 51%。
5. 全年攻击大事件
- XorDDoS 僵尸网络： 持续对我国实施 DDoS 攻击，攻击波及 1599 个目标，涵盖多个关键基础设施领域，对我国网络安全构成严重威胁。
- 法国巴黎奥运会： 攻击者利用奥运会这一全球瞩目的体育盛事，对法国基础设施和赛事相关系统发起大规模 DDoS 攻击，试图破坏赛事正常运营并制造国际影响。
- 美国大选： 2024 年美国大选期间，针对美国的 DDoS 攻击活动频繁且强度高，凸显了网络空间在政治博弈中的重要性以及选举系统面临的严峻安全挑战。
- DeepSeek： 境外攻击者对我国 DeepSeek 发动 DDoS 攻击，导致系统瘫痪，攻击者利用全球分布的服务器资源，试图掩盖其真实身份和地理位置。
总结
DDoS 攻击的威胁日益严重，其攻击手段不断升级，攻击目标更加明确，攻击组织更加活跃，僵尸网络更加泛滥。DDoS 攻击已不再仅仅是技术层面的威胁，而是演变为一种集技术性、社会性和政治性于一体的复杂工具，其影响范围和应用场景持续扩展，成为全球政治斗争和地缘政治冲突中不可忽视的一部分。各国政府、企业和网络安全机构必须高度重视 DDoS 攻击的威胁，加强技术防御和法律法规建设，以应对这一日益复杂的安全挑战。
