95015网络安全应急响应分析报告.docx

主要观点

2024年，奇安信集团安服团队共接到应急服务需求739起。金融机构、事业单位和制造业的业务专网是2024年攻击者攻击的主要目标。

严重缺乏最基本的网络安全基础设施建设，缺乏最基本的网络安全运营能力，是当前国内绝大多数政企机构的通病。一方面，弱口令、永恒之蓝等基础漏洞仍然普遍存在，高危端口大量暴露；另一方面，仅有13.1%的政企机构能够通过安全巡检提前发现问题，避免损失，而绝大多数政企机构只能在重大损失发生之后，或被第三方机构通报之后才能发现安全问题。

安全意识问题已经成为制约政企机构安全生产的根本性问题：由内部人员违规操作触发的应急响应事件约占2024年95015服务平台接报事件总量的四分之一；近三成的应急事件与弱口令有关；员工被黑客钓鱼、私自下载带毒软件、滥用U盘导致系统瘫痪、乱开端口感染勒索病毒等由安全意识不足引发的应急事件层出不穷。由此可见，大中型政企机构加大力度提升内部员工网络安全防范意识迫在眉睫。

2024年接收的安全事件中有小部分来自政企机构内部实战攻防演习活动，通过实际的攻击模拟和防御演练，企业可以更好地发现和识别可能存在的安全漏洞，能够尽早发现并修复潜在的威胁，防止实际攻击的发生，减少潜在的损失。

摘 要

2024年，95015服务平台共接到全国政企机构网络安全应急事件报告739起。奇安信安服团队累计投入工时5912.6小时处置相关事件，折合739.1人天，处置一起应急事件平均用时8.0小时。

从行业分布来看，2024年，95015服务平台接报的网络安全应急响应事件中，金融机构报告的事件最多，为94起，占比12.7%；其次是事业单位，为87起，占比11.8%；制造业排第三，为79起，占比10.7%。此外，政府部门、医疗卫生、IT信息技术等行业也是网络安全应急响应事件高发行业。

52.3%的政企机构，是在系统已经出现了非常明显的入侵迹象后，拨打的95015网络安全服务热线；29.8%的政企机构，是在被攻击者勒索之后进行的报案求助。而真正能够通过安全运营巡检，提前发现问题的仅占比13.1%。

从网络安全事件的影响范围来看，65.0%的事件主要影响业务专网，而主要影响办公网的事件占比35.0%。从受影响的设备数量来看，失陷服务器为4250台，失陷办公终端为1889台。业务专网、服务器是网络攻击者攻击的主要目标。

从网络安全事件造成的损失来看，造成生产效率低下的事件287起，占比38.8%；造成数据丢失的事件127起，占比17.2%；造成数据泄露的事件84起，占比11.4%；此外，造成数据被篡改的事件30起，造成声誉影响的事件22起。

内部人员为了方便工作等原因进行违规操作，进而导致系统出现故障或被入侵，触发应急响应的网络安全事件多达194起，排名第一。其次是黑产活动（193起）、窃取重要数据（151起）和敲诈勒索（90起）等为目的的外部网络攻击事件。

以漏洞利用为主要手段的网络攻击最为常见，占比34.0%；其次是恶意程序，占比23.8%；钓鱼邮件排第三，占比7.2%。网页篡改、Web应用CC攻击、网络监听攻击、拒绝服务攻击等也比较常见。还有约26.5%的安全事件，并非网络攻击事件。

应急事件分析显示，勒索病毒、挖矿木马、网站木马是攻击者使用最多的恶意程序类型，分别占到恶意程序攻击事件的15.5%、10.8%和4.9%。此外，APT专用木马、DDOS木马、蠕虫病毒、永恒之蓝下载器木马等也都是经常出现的恶意程序类型。

在应急响应事件处置的勒索软件中，排名第一的是Phobos勒索软件，全年触发大中型政企机构网络安全应急响应事件14次；其次是Mallox勒索软件12次，Makop勒索软件11次。这些流行的勒索病毒，十分值得警惕。

弱口令是攻击者在2024年利用最多的网络安全漏洞，相关应急事件多达241起，占比32.6%。其次是永恒之蓝漏洞，相关利用事件为107起，占比14.5%。

关键词：95015、应急响应、安全服务、弱口令、内部违规、敲诈勒索、漏洞利用

目 录

TOC\o1-2\h\z\u第一章 网络安全应急响应形势综述 1

第二章 应急响应事件受害者分析 2

一、 行业分布 2

二、 事件发现 2

三、 影响范围 3

四、 事件损失 4

第三章 应急响应事件攻击者分析 5

一、 攻击意图 5

二、 攻击手段 6

三、 恶意程序 6

四、 漏洞利用 7

第四章 应急响应典型案例分析 9

一、 某企业服务器感染LIVE勒索病毒 9