为维护我国网络空间的安全，保障互联网健康有序的发展，2019年上半年，我国持续推进网络安全法律法规体系建设，完善网络安全管理体制机制，不断加强互联网网络安全监测和治理，构建互联网发展安全基础，构筑网民安全上网环境。2019年上半年，我国基础网络运行总体平稳，未发生较大规模以上网络安全事件。但数据泄露事件及风险、有组织的分布式拒绝服务攻击干扰我国重要网站正常运行、鱼叉钓鱼邮件攻击事件频发，多个高危漏洞被曝出，我国网络空间仍面临诸多风险与挑战。
一、2019年上半年我国互联网网络安全监测数据分析
国家互联网应急中心（以下简称“CNCERT”）从恶意程序、漏洞隐患、移动互联网安全、网站安全以及云平台安全、工业系统安全、互联网金融安全等方面，对我国互联网网络安全环境开展宏观监测。数据显示，与2018年上半年数据比较，2019年上半年我国境内通用型“零日”漏洞①收录数量，涉及关键信息基础设施的事件型漏洞通报数量，遭篡改、植入后门、仿冒网站数量等有所上升，其他各类监测数据有所降低或基本持平。
（一）恶意程序
1.计算机恶意程序捕获情况
图12019年上半年计算机恶意代码传播源位于境外分布情况
图22019年上半年我国受计算机恶意代码攻击的IP分布情况
2.计算机恶意程序用户感染情况
据CNCERT抽样监测，2019年上半年，我国境内感染计算机恶意程序的主机数量约240万台，相较2018年上半年同比下降9.7%。位于境外的约3.9万个计算机恶意程序控制服务器控制了我国境内约210万台主机，就控制服务器所属国家来看，位于美国、日本和拉脱维亚的控制服务器数量分列前三位，分别是约9,494个、5,535个和2,350个；就所控制我国境内主机数量来看，位于美国、法国和英国的控制服务器控制规模分列前三位，分别控制了我国境内约150万、22万和16万台主机。
从我国境内感染计算机恶意程序主机数量按地区分布来看，主要分布在广东省（占我国境内感染数量的13.3%）、河南省（占11.0%）、山东省（占7.0%）等省份，但从我国境内各地区感染计算机恶意程序主机数量所占本地区活跃IP地址数量比例来看，河南省、云南省和河北省分列前三位，如图3所示。在监测发现的因感染计算机恶意程序而形成的僵尸网络中，规模在100台主机以上的僵尸网络数量达1,842个，规模在10万台以上的僵尸网络数量达21个，如图4所示。为有效控制计算机恶意程序感染主机引发的危害，2019年上半年，CNCERT组织基础电信企业、域名服务机构等成功关闭714个控制规模较大的僵尸网络。
图3我国各地区感染计算机恶意程序主机数量占本地区活跃IP地址数量比例
图42019年上半年僵尸网络的规模分布
3.移动互联网恶意程序
2019年上半年，CNCERT通过自主捕获和厂商交换获得移动互联网恶意程序数量103万余个，同比减少27.2%。通过对恶意程序的恶意行为统计发现，排名前三的分别为资费消耗类、流氓行为类和恶意扣费类，占比分别为35.7%、27.1%和15.7%。为有效防范移动互联网恶意程序的危害，严格控制移动互联网恶意程序传播途径，连续7年以来，CNCERT联合应用商店、云平台等服务平台持续加强对移动互联网恶意程序的发现和下架力度，以保障移动互联网健康有序发展。2019年上半年，CNCERT累计协调国内177家提供移动应用程序下载服务的平台，下架1,190个移动互联网恶意程序。
近年来，新型网络诈骗手法层出不穷，随着移动互联网和普惠金融的大力发展，出现了大量以移动端为入口骗取用户个人隐私信息和账户资金的网络诈骗活动。据CNCERT抽样监测，2019年上半年以来，我国以移动互联网为载体的虚假贷款APP或网站达1.5万个，在此类虚假贷款APP或网站上提交姓名、身份证照片、个人资产证明、银行账户、地址等个人隐私信息的用户数量超过90万。大量受害用户在诈骗平台支付了上万元的所谓“担保费”、“手续费”费用，经济利益受到实质损害。
4.联网智能设备恶意程序
据CNCERT监测发现，目前活跃在智能联网设备上的恶意程序家族主要包括Mirai、Gafgyt、MrBlack、Tsunami、Reaper、Ddostf、Satori、TheMoon、StolenBots、VPNFilter、Cayosin等。这些恶意程序及其变种产生的主要危害包括用户信息和设备数据泄露、硬件设备遭控制和破坏，被用于DDoS攻击或其他恶意攻击行为、攻击路由器等网络设备窃取用户上网数据等。CNCERT抽样监测发现，2019年上半年，联网智能设备恶意程序控制服务器IP地址约1.9万个，同比上升11.2%；被控联网智能设备IP地址约242万个，其中位于我国境内的IP地址近90万个（占比37.1%），同比下降12.9%；通过控制联网智能设备发起DDoS攻击次数日均约2,118起。
（二）安全漏洞
1.安全漏洞收录情况
2019年上半年，国家信息安全漏洞共享平台（以下简称“CNVD”）收录通用型安全漏洞5,859个，同比减少24.4%，其中高危漏洞收录数量为2,055个（占35.1%），同比减少21.2%，“零日”漏洞收录数量为2,536个（占43.3%），同比增长34.0%。安全漏洞主要涵盖Google、Microsoft、Adobe、Cisco、IBM等厂商产品。按影响对象分类统计，收录漏洞中应用程序漏洞占56.2%，Web应用漏洞占24.9%，操作系统漏洞占8.3%，网络设备（如路由器、交换机等）漏洞占7.6%，数据库漏洞占1.8%，安全产品（如防火墙、入侵检测系统等）漏洞占1.2%，如图5所示。
图52019年上半年CNVD收录漏洞按影响对象类型分类统计
2019年上半年，CNVD继续推进移动互联网、电信行业、工业控制系统和电子政务4类子漏洞库的建设工作，分别新增收录安全漏洞数量384个（占收录数量的6.6%）、323个（占5.5%）、158个（占2.7%）和87个（占1.5%）。
2.联网智能设备安全漏洞
2019年上半年，CNVD收录的安全漏洞中关于联网智能设备安全漏洞有1,223个，与2018年上半年基本持平。这些安全漏洞涉及的类型主要包括设备信息泄露、权限绕过、远程代码执行、弱口令等；涉及的设备类型主要包括家用路由器、网络摄像头等。
（三）拒绝服务攻击
CNCERT抽样监测发现，2019年上半年我国境内峰值超过10Gbps的大流量分布式拒绝服务攻击（以下简称“DDoS攻击”）事件数量平均每月约4,300起，同比增长18%，并且仍然是超过60%的DDoS攻击事件为僵尸网络控制发起。在DDoS攻击资源分析方面，2019年上半年，CNCERT发现用于发起DDoS攻击的C&C控制服务器②数量共1,612个，其中位于我国境内的有144个，约占总量的8.9%，同比减少13%，位于境外的控制端数量同比增长超过一倍；总肉鸡③数量约64万个，同比下降10%；反射攻击服务器约617万个，同比下降33%；受攻击目标IP地址数量约5.7万余个，这些攻击目标主要分布在色情、博彩等互联网地下黑产方面以及文化体育和娱乐领域。
（四）网站安全
1.网页仿冒
2019年上半年，CNCERT自主监测发现约4.6万个针对我国境内网站的仿冒页面。为有效防范网页仿冒引发的危害，CNCERT重点针对金融行业、电信行业网上营业厅的仿冒页面进行处置，共协调处置仿冒页面1.2万余个，同比减少35.2%。对这些已协调处置的仿冒页面分析来看，承载仿冒页面IP地址归属情况与近几年来的情况一样，主要分布在美国和中国香港，如图6所示。
图62019年上半年承载仿冒页面IP地址和仿冒页面数量分布
2.网站后门
2019年上半年，CNCERT监测发现境内外约1.4万个IP地址对我国境内约2.6万个网站植入后门，同比增长约1.2倍。其中，约有1.3万个（占全部IP地址总数的91.2%）境外IP地址对境内约2.3万个网站植入后门，位于美国的IP地址最多，其次是位于中国香港和新加坡的IP地址，如图7所示。从控制我国境内网站总数来看，位于中国香港的IP地址控制我国境内网站数量最多，有6,984个，其次是位于美国和菲律宾的IP地址，分别控制了我国境内4,816个和2,509个网站。
图72019年上半年向我国境内网站植入后门IP地址所属国家或地区TOP10
3.网页篡改
2019年上半年，CNCERT监测发现并协调处置我国境内遭篡改的网站有近4万个，其中被篡改的政府网站有222个。从境内被篡改网页的顶级域名分布来看，“.com”、“.net”和“.org”占比分列前三位，如图8所示。
（五）云平台安全
（六）工业互联网安全
1.工业网络产品安全检测情况
电力安全是关键信息基础设施保护的重要内容之一，为调查我国电力二次设备的安全现状，2019年上半年CNCERT继续对国内主流电力厂商的产品进行安全摸底测试，电力设备供应商在电网企业的引导下，已有一定安全意识，但设备整体网络安全水平仍有待提高。截至目前，在涉及28个厂商、70余个型号的六大类产品（测控装置、保护装置、智能远动机、站控软件、PMU、网络安全态势感知采集装置，）中均发现了中、高危漏洞，可能产生的风险包括拒绝服务攻击、远程命令执行、信息泄露等。其中SISCOMMS协议④开发套件漏洞，几乎影响到每一款支持MMS协议的电力装置。
2.联网工业设备和工业云平台暴露情况
2019年上半年，CNCERT进一步加强了针对联网工业设备和工业云平台的网络安全威胁发现能力，累计监测发现我国境内暴露的联网工业设备数量共计6,814个，包括可编程逻辑控制器、数据采集监控服务器、串口服务器等，如图9所示，涉及西门子、韦益可自控、罗克韦尔等37家国内外知名厂商的50种设备类型。其中，存在高危漏洞隐患的设备占比约34%，这些设备的厂商、型号、版本、参数等信息长期遭恶意嗅探，仅在2019年上半年嗅探事件就高达5,151万起。另外，CNCERT发现境内具有一定用户规模的大型工业云平台40余家，业务涉及能源、金融、物流、智能制造、智慧城市、医疗健康等方面，并监测到根云、航天云网、COSMOPlat、OneNET、OceanConnect等大型工业云平台持续遭受漏洞利用、拒绝服务、暴力破解等网络攻击，工业云平台已经成为网络攻击的重点目标。
图92019年上半年发现的联网工业设备类型分布情况
3.重点行业安全情况
图102019年上半年发现的重点行业联网监控管理系统分类
（七）互联网金融安全
1.互联网金融网站安全情况
2019年上半年，CNCERT监测发现互联网金融网站的高危漏洞92个，其中SQL注入漏洞27个（占比29.3%）；其次是远程代码执行漏洞20个（占比21.7%）和敏感信息泄漏漏洞16个（占比17.4%），如图11所示。近年来，随着互联网金融行业的发展，互联网金融平台运营者的网络安全意识有所提升，互联网金融平台的网络安全防护能力有所加强，特别是规模较大的平台，但仍有部分平台安全防护能力不足，安全隐患较多。
图11互联网金融网站高危漏洞分布情况
2.互联网金融APP安全情况
图12互联网金融移动APP高危漏洞分布情况
二、2019年上半年我国互联网网络安全状况特点
（一）个人信息和重要数据泄露风险严峻
（二）多个高危漏洞曝出给我国网络安全造成严重安全隐患
2019年以来，WinRAR压缩包管理软件、Microsoft远程桌面服务、OracleWebLogicwls-9-async组件等曝出存在远程代码执行漏洞⑤，给我国网络安全造成严重安全隐患。以OracleWebLogicwls-9-async组件存在反序列化远程命令执行“零日”漏洞为例，该漏洞容易利用，攻击者利用该漏洞可对目标网站发起植入后门、网页篡改等远程攻击操作，对我国网络安全构成了较为严重的安全隐患。这些基础软件广泛应用在我国基础应用和通用软硬件产品中，若未得到及时修复，容易遭批量利用，造成严重危害。同时，近年来“零日”漏洞收录数量持续走高，在2019年上半年CNVD收录的通用型安全漏洞数量中，“零日”漏洞收录数量占比43.3%，同比增长34.0%，因这些漏洞在披露时尚未发布补丁或相应的应急策略，一旦被恶意利用，将可能产生严重安全威胁。针对安全漏洞可能产生的危害，CNVD持续加强对重大高危漏洞的应急处置协调，2019年上半年通报安全漏洞事件万余起。
（三）针对我国重要网站的DDoS攻击事件高发
正像前期预测，2019年具有特殊目的针对性更强的网络攻击越来越多。2019年上半年，CNCERT监测发现针对我国重要网站的CC攻击事件高发。攻击者利用公开代理服务器向目标网站发起大量的访问，访问内容包括不存在的页面、网站大文件、动态页面等，由此来绕过网站配置的CDN节点直接对网站源站进行攻击，达到了使用较少攻击资源造成目标网站访问缓慢甚至瘫痪的目的。2019年上半年，CNCERT抽样监测发现，针对我国境内目标的DDoS攻击中，来自境外的DDoS攻击方式以UDPAmplificationFLOOD攻击、TCPSYNFLOOD攻击方式等为主，其中又以UDPAmplificationFLOOD攻击方式占比最高约75%。
（四）利用钓鱼邮件发起有针对性的攻击频发
三、2019年上半年网络安全威胁治理工作开展情况
2019年上半年，CNCERT协调处置网络安全事件约4.9万起，同比减少7.7%，其中安全漏洞事件最多，其次是恶意程序、网页仿冒、网站后门、网页篡改、DDoS攻击等事件。此外，2019年以来，我国有关部门针对移动应用违法违规收集使用个人信息、互联网网站安全等开展专项治理工作，以规范市场秩序、维护我国网络安全。
（一）我国网络安全治理的顶层设计逐步完善
（二）移动APP违规收集个人信息治理专项
（三）互联网网站安全整治专项
2019年5月至12月，中央网信办、工业和信息化部、公安部、市场监管总局四部门联合开展全国范围的互联网网络安全专项整治工作。专项整治工作将对未备案或备案信息不准确的网站进行清理，对攻击网站的违法犯罪行为进行严厉打击，对违法违规网站进行处罚和公开曝光。此次专项整治的一大特点是将加大对未履行网络安全义务、发生事件的网站运营者的处罚力度，督促其切实落实安全防护责任，加强网站安全管理和维护。专项整治期间，中央网信办将加强统筹协调，指导有关部门做好信息共享、协同配合，坚持依法依规，坚持防摄并举，促使网站运营者网络安全意识和防护能力有效提升，实现网站安全形势取得明显改观。截至2019年6月，互联网网站安全专项整治行动期间，共享网站安全事件511起，其中网页篡改事件占比最高达89.2%。
（四）DDoS攻击团伙治理工作
①“零日”漏洞是指CNVD收录该漏洞时还未公布补丁。
②C&C控制服务器：全称为CommandandControlServer，即“命令及控制服务器”，目标机器可以接收来自服务器的命令，从而达到服务器控制目标机器的目的。
③肉鸡：接收来自C&C控制服务器指令，对外发出大量流量的被控联网设备。
④制造报文规范（MMS）协议是ISO9506标准所定义的一套用于工业控制系统的通信协议，目的是为了规范工业领域具有通信能力的智能传感器、智能电子设备、智能控制设备的通信行为，使系统集成变得简单、方便。
⑤对应的CNVD编号：WinRAR系列任意代码执行漏洞（CNVD-2019-04911、CNVD-2019-04912、CNVD-2019-04913与CNVD-2019-04910），Microsoft远程桌面服务远程代码执行漏洞（CNVD-2019-14264），OracleWebLogicwls9-async反序列化远程命令执行漏洞（CNVD-C-2019-48814）。