关键信息基础设施网络安全（物联网安全专题）监测月报202008期

( 1 ) 活跃通信物联网终端监测情况

本月抽样监测发现有16万台物联网终端设备与境外超过6万个IP地址进行了直接协议通信，其中包括工业控制设备802台，交换机、路由器设备97559台，网络监控设备50264台、联网打印机143个以及视频会议系统133个。

本月监测发现的物联网终端设备中涉及的主要厂商分布情况如下：

工业控制设备：主要厂商包括韦益可自控（24.44%）、罗克韦尔（20.7%）、施耐德（16.33%）、西门子（12.09%）、欧姆龙（9.1%）摩莎（8.98%）；其设备类型主要包括可编程控制器、串口服务器、工业交换机、通信适配器等，类型分布情况如图1所示。

交换机、路由器设备：主要厂商包括华三（52.71%）、锐捷（19.02%）、华为（16.52%）、中兴（7.04%）、思科（3.82%）、迈普（0.27%）；

网络监控设备主要厂商：包括海康威视（77.07%）、大华（18.3%）和雄迈（4.63%）。

联网打印机设备主要厂商：包括富士（62.94%）、柯尼卡美能达（16.08%）、佳能（11.89%）、兄弟（4.2%）、惠普（3.5%）和爱普生（1.4%）。

其中，针对监测到的联网监控设备进行弱口令检测，发现76台设备存在弱口令风险，包括海康威视设备60台和大华设备16台。

监测发现的活跃物联网终端设备中，排名前5的省份分别是山西、广东、吉林、浙江和江苏，各省份设备数量分布情况如图2所示。

针对活跃工控设备的重点监测发现，本月工控设备与境外IP通信事件共420万起，涉及国家73个，主要境外IP数量的国家分布如表1所示。

表1 境外通信IP数量的国家分布

( 2 ) 网络空间资源测绘组织活跃情况分析

本月抽样监测发现来自Shodan和ShadowServer等网络空间测绘组织针对工控设备的探测响应事件1618起，涉及探测节点18个，探测协议包括Modbus、S7Comm、Fox、FINS、BACnet等，探测响应事件的协议分布如图3所示。

根据CNCERT监测数据，自2020年8月1日至31日，共监测到物联网（IoT）设备恶意样本12444个，发现样本传播服务器IP地址36770个，境内被攻击的设备地址达501万个。

根据CNCERT监测数据，自2020年8月1日至31日，共监测到物联网（IoT）设备恶意样本12444个，主要是Gafgyt、Mirai、Tsunami、Hajime等家族的变种，样本家族分布如图 4所示。发现样本传播服务器IP地址36770个，主要位于俄罗斯（17.8%）、巴西（11.7%）、泰国（10.5%）、伊朗（6.1%）等。境内疑似被感染的设备地址达501万个，其中，浙江占比最高，为18.4%，其次是台湾（15.4%）、北京（13.7%）、香港（9.6%）等。详情参见威胁情报月报。

( 1 ) 物联网云平台网络攻击监测情况

本月抽样监测发现，针对三一重工ROOTCLOUD、航天科工CASICloud、海尔COSMOPlat、智能云科iSESOL、机智云GiZwits 等重点物联网云平台的网络攻击事件1348起，攻击类型涉及漏洞利用攻击、拒绝服务攻击、Web应用攻击、越权尝试攻击等。

本月重点物联网云平台攻击事件的平台分布如图5所示，涉及的攻击类型分布如图6所示。

本月所监测到的针对重点云平台的网络攻击事件中，境外攻击源涉及美国、英国、法国等在内的国家39个，包含威胁源节点242个，其中发起攻击事件最多的境外国家Top10如图7所示。

为了解关键信息基础设施联网电力系统的网络安全态势，本月重点对90余个电力WEB资产进行抽样监测，资产覆盖电力巡检系统、电力监测系统、电力MIS系统、电力办公系统、电力管控系统、智慧电站系统和电力智能系统等。分析发现，所监测电力资产IP均为NAT出口地址，分布于全国23个省、直辖市或自治区，资产地域分布TOP10如图8所示，资产类型分布如同9所示。

在针对电力WEB资产的网络攻击中，攻击类型涵盖Web应用攻击、命令注入攻击、恶意软件攻击、漏洞利用攻击、逻辑漏洞利用和资产扫描等。详细的攻击类型分布如图11所示。其中：漏洞利用攻击主要涉及Windows服务器远程桌面协议漏洞（CVE-2019-0708）和Linksys E系列路由器漏洞；命令注入攻击主要涉及DrayTek企业网络设备命令后注入（CVE-2020-8515）；恶意软件攻击主要涉及Miraia僵尸网络、Polaris僵尸网络和物联网恶意软件下载器等；Web应用攻击JAWS Web服务器未授权执行Shell命令；资产扫描主要涉及基于Zmap工具的网络资产探测；逻辑漏洞利用主要涉及登陆绕过、验证逻辑不合理漏洞等。

在针对电力WEB资产的网络攻击事件中，境外攻击源涉及美国、俄罗斯、德国等在内的国家32个，包含威胁节点234个，通过关联威胁情报发现，大多数攻击IP均存在可疑或恶意信息标记等。其中发起攻击事件最多的境外攻击者信息如表2所示。