文/郑先伟

3月教育网整体运行平稳，未发生影响严重的安全事件。近期有两类攻击事件需要引起关注，一类是NTP服务反射放大攻击，我们已经在教育网内检测到多起此类攻击，涉及到NTP服务器及开放了NTP服务的网络设备。另一类需要关注的攻击是利用超算服务器进行比特币挖矿的攻击，此类攻击也已经在多个学校的超算中心被发现。

安全投诉事件统计

安全事件中需要关注的是NTP反射放大攻击，这类攻击利用了NTP服务的monlist查询功能的漏洞进行攻击。monlist命令原本设计用于查询NTP服务的状态，当服务程序收到该查询命令时会返回当前服务器最后服务的600个地址信息，这些地址每6个被封装在一个数据包里，最多封装100个，因此理论上发送一个查询数据包最多可以返回100个数据包，如果按数据包的大小算，返回流量可以是查询流量的200倍。由于NTP服务使用UDP协议，攻击者只需将查询包的源发地址伪造成攻击的目标地址，就可以达到反射放大攻击的效果。NTP的服务端口是UDP 123端口，如果您发现网络上123端口上UDP流量突然变大，就可能是遭受了NTP反射放大攻击。目前除了专用NTP服务器外，多数网络设备上也自带NTP服务，这些网络设备也一样可以用来进行反射放大攻击。

另外一个需要关注的攻击是利用超算服务器进行比特币挖矿的攻击事件。我们已经发现多家高校的超算服务器被控制用来进行比特币挖矿。经查发现，这类攻击通常并不是直接攻击超算服务器，而是先攻击控制那些有权限在超算服务器上进行运算的客户端，再通过客户端登录超算服务器后运行挖矿程序。……