1. 总览

在 2023 年 2 月 1 日至 2023 年 4 月 6 日期间，通过持续威胁检测与溯源系统共发现威胁事件 54858 起，其中威胁最多的 Web 远程代码执行。

威胁事件 TOP10

2. 威胁等级占比

通过 2023 年 2 月 1 日至 2023 年 4 月 6 日期间的数据统计，高危事件占比较高（49.13%）。

3. 部分高危事件详情

3.1. 挖矿木马

Ø 问题主机：192.168.136.200

发现失陷 IP 192.168.136.200 存在挖矿特征通信等行为，通过 DNS 服务器访问矿池 ait.pilutce.com。

Ø 问题主机：10.4.115.246

发现失陷 IP 10.4.115.246 存在挖矿特征通信等行为，通过 DNS 服务器访问矿池 cake.pilutce.com、tun.pilutce.com。

Ø 问题主机：10.4.115.251

发现失陷 IP 10.4.115.251 存在挖矿特征通信等行为，通过 DNS 服务器访问矿池 cake.pilutce.com、tun.pilutce.com。

3.2. 弱口令

弱口令地址：https://kygl.nwupl.edu.cn/

弱口令地址：http://tam.nwupl.edu.cn/

弱口令地址：http://flkx0.nwupl.edu.cn/

3.3. WeBshell 攻击

Ø 恶意 IP：47.109.64.163

该恶意 IP 对 10.0.101.24 、10.0.101.13 、10.0.102.20 、

10.0.102.60、持续进行了 Web 远程代码执行、文件包含漏洞、路径穿越攻击、跨站请求伪造、SQL 注入，均为攻击尝试，建议对该 IP 进行封禁。

Ø 恶意 IP：149.28.155.164

该恶意 IP 对 10.0.102.55、10.0.102.60、10.0.101.64、10.0.

101.14 持续进行Web 远程代码执行、文件包含漏洞、路径穿越攻击、

跨站请求伪造、SQL 注入等 web 攻击，均为攻击尝试，建议对该 IP 进行封禁。

Ø 恶意 IP：185.225.74.55

该恶意 IP 对 10.0.102.42 、10.0.102.64 、10.0.102.55 、

10.0.101.64、10.0.102.4 持续进行Web 远程代码执行、文件包含混洞等web 攻击，均为攻击尝试，建议对该 IP 进行封禁。

Ø 恶意 IP：20.247.122.246

该恶意 IP 对 10.0.101.25、10.0.101.64 持续进行Web 远程代码执行、文件包含漏洞、路径穿越攻击、跨站请求伪造、SQL 注入等攻击，均为攻击尝试，建议对该 IP 进行封禁。

Ø 恶意 IP：47.98.132.176

该恶意 IP 对 10.0.102.60、10.0.102.23 持续进行Web 远程代码执行、文件包含漏洞、路径穿越攻击、跨站请求伪造、SQL 注入等 web攻击，均为攻击尝试，建议对该 IP 进行封禁。

3.4. CVE 漏洞攻击

Ø 恶意 IP：149.28.155.164

该恶意 IP 对 10.0.102.55、10.0.102.60、10.0.101.64、10.0.101.14 等持

续进行未授权访问/权限绕过、其他漏洞攻击、weblogic 漏洞攻击、struts 漏洞攻击等漏洞攻击，均为攻击尝试，建议对该 IP 进行封禁。

Ø 恶意 IP：152.89.196.54

该恶意 IP 对 10.0.102.55、10.0.102.42、10.0.102.64、10.0.101.13、

10.0.101.34 等进行了未授权访问/权限绕过，均为攻击尝试，建议对该 IP 进行封禁。

Ø 恶意 IP：59.49.19.46

该恶意 IP 对 10.0.101.13、10.0.102.62、10.0.101.14、10.0.101.64、

10.0.101.68 进行未授权访问/权限绕过攻击，均为攻击尝试，建议对该 IP 进行封禁。

Ø 恶意 IP：120.28.222.133

该恶意 IP 对 10.0.102.55、10.0.101.30、10.0.102.64、10.0.102.60、

10.0.101.14 等进行 struts 漏洞攻击、其他漏洞攻击等漏洞攻击，均为攻击尝试，建议对该 IP 进行封禁。

Ø 恶意 IP：20.247.122.246

该恶意IP 对10.0.101.25、10.0.101.64 等持续进行未授权访问/权限绕过、其他漏洞攻击、struts 漏洞攻击等漏洞攻击，均为攻击尝试，建议对该 IP 进行封禁。

3.5. 渗透工具识别

Ø 恶意 IP：161.35.233.14 对 10.0.101.13 进行渗透工具攻击行为。

Ø 恶意 IP：152.89.196.54 对 10.0.101.13 进行渗透工具攻击行为。

Ø 恶意 IP：167.248.133.52 对 10.0.101.13 进行渗透工具攻击行为。

Ø 恶意 IP：162.142.125.223 对 10.0.101.13 进行渗透工具攻击行为。

4. 部分高危 IP 统计

建议针对以上IP 进行封禁。

5. 整体威胁趋势

通过 2023 年 2 月 1 日至 2023 年 4 月 6 日期间的数据统计，其中 2023 年 3

月 1 日的攻击总数频率较高。

6. 安全建议

通过持续威胁检测与溯源系统所暴露的安全问题，建议加强工作人员安全意识教育，组织信息安全培训，不断提高全员安全意识。针对上述存在的安全问题整改完成后，举一反三，查找存在类似安全隐患并整改，不断完善网络及信息系统的网络架构规划及制度管理，主要措施如下：

（一）安全意识培训

通过信息安全培训提高信息安全意识水平，将全员信息安全意识提升到具体的工作中，放大信息安全工作的效果。信息安全培训必要性（培训内容）主要表现在：

1. 网络安全意识不足，内网账号、应用平台以及系统账号存在弱口令。

2. 不仅要在重点保障期间对账号密码统一整改，在平时工作要创建密码定期更改的管理制度。

（二）定期安全测试

申请专业安全技术人员季度性对内部资产进行渗透测试，检测目前在用或新上线系统是否存在安全问题，去掉其安全隐患，降低网络事故发生风险比率。

（三）基础运维保障

1. 加强设备管理，梳理资产信息，严格核对 CMDB 中信息，将密码变更列入季度安全运维工作，对不在用的策略、服务器进行清理线下，将继续使用的设备进行资产审核，确认资产信息准确性。

2. 严格杜绝系统弱口令，加强口令强度设置；需要用户注册功能的，要对注册用户加以限制，要对上传文件格式限制；加强信息系统及用户账号的管理，定期查看使用情况，确认不用的系统、用户账号及时进行关停处理。

3. 需要对防火墙策略申请、端口映射申请进行周期性梳理，删除无效、无用策略，防止内部服务被误开放到互联网平台。

附：

附：安全资讯