01前言
基于教育行业⽹络安全状况的脆弱性以及被攻击威胁的严重性，各个⾼校开始越来越重视⽹络安全⽅⾯的问题。为全面反映我省教育网络安全状况，推动全省高等教育网信工作发展，我公司对山东省教育行业进行实时威胁监测，每周评估当前山东省教育行业安全风险态势，定时推送，供大家参考。
02教育网告警趋势
2026年11月02日至2026年11月08日内告警产生情况，高危告警7486345条、中危告警9613507条、低危告警4826232条。
其中，IPv4告警占比 92.49% ， IPv6告警占比 7.51% 。IPv4告警数量为 20279389 条，高危告警 6754926 条，中危告警 9595226 条，低危告警 3929237 条； IPv6告警数量为 1646695 条，高危告警 731419 条、中危告警 18281 条、低危告警 896995 条。
03教育网VPN翻墙告警趋势
下图为VPN翻墙告警趋势图，监测网络出口流量，发现多起疑似VPN翻墙的异常访问行为。
04教育网流量协议占比
下图为告警流量协议占比统计，其中dns协议占比46.26%、http协议占比44.79%、icmp协议占比6.18%、tls协议占比1.51%。根据流量协议占比分析，其中的僵木蠕、恶意流量通信、高危端口账号密码暴力破解、web漏洞攻击告警数量比较多。
05告警类型TOP10
如下是告警类型及其对应的告警次数的列表。根据告警类型分析，可发现网络环境中存在大量扫描器扫描行为以及常规WEB攻击行为。
| 告警类型 |
告警次数 |
| 设备漏洞 |
7701567 |
| 僵木蠕 |
4892625 |
| 扫描器指纹 |
2615715 |
| 服务扫描 |
978144 |
| 挖矿软件 |
801752 |
| 敏感信息泄露 |
715970 |
| 主机存活扫描 |
600632 |
| Web扫描 |
463867 |
| 远程控制 |
327250 |
| 远程代码执行 |
281245 |
06WEB攻击类型TOP10
如下是关于WEB攻击类型、攻击次数、受害者数量和攻击者数量的相应排序列表。通过这几个维度的参数值排序，可获知大量的攻击者重点使用的WEB攻击类型。
| WEB攻击类型 |
攻击次数 |
受害者数量 |
攻击者数量 |
| VMware vCenter Server远程代码执行漏洞(CVE-2024-38812) |
234368 |
6892 |
1525 |
| 检测到读取敏感文件(/etc/passwd) |
222019 |
2377 |
2668 |
| 通用目录遍历(../_URL) |
144589 |
453 |
2456 |
| 跨站脚本攻击(攻击XSS代码) |
111117 |
381 |
2270 |
| Laravel .env配置文件泄露漏洞(CVE-2017-16894) |
75363 |
6216 |
1290 |
| SQL注入攻击(攻击SQL语句) |
69333 |
444 |
1639 |
| 通用XSS攻击 |
61160 |
194 |
1531 |
| PHPUnit远程代码执行漏洞(CVE-2017-9841) |
57487 |
3201 |
173 |
| 通用任意文件读取 |
56202 |
990 |
1936 |
| 检测到webshell后门访问(疑似) |
48908 |
154 |
764 |
07攻击者TOP10
如下是一个关于攻击者、攻击次数、受害者数量和攻击类型的相应排序列表。通过这几个维度的参数值排序，可获知频繁攻击的攻击者所攻击的网站数量及攻击类型数量。
| 攻击者 |
攻击次数 |
受害者数量 |
攻击类型数量 |
| 222.134.43.132 |
520406 |
1 |
439 |
| 39.98.33.241 |
234025 |
22 |
936 |
| 111.203.201.51 |
194515 |
64 |
1591 |
| 163.172.53.219 |
190392 |
136311 |
2 |
| 149.115.68.35 |
89097 |
89526 |
2 |
| 31.59.220.33 |
84784 |
79737 |
2 |
| 111.23.133.178 |
64093 |
62530 |
2 |
| 45.135.194.3 |
58476 |
54712 |
2 |
| 8.166.130.144 |
58047 |
15 |
821 |
| 47.92.234.52 |
55223 |
2 |
878 |
08疑似VPN翻墙行为TOP10
如下是疑似VPN翻墙行为TOP10统计列表，汇总网络出口流量中触发次数最多的10个恶意IP。
| 违规代理服务器IP |
攻击次数 |
| 222.79.111.92 |
12265 |
| 217.217.88.35 |
9968 |
| 36.248.14.233 |
8979 |
| 134.195.101.129 |
7652 |
| 43.206.121.233 |
7306 |
| 134.195.101.178 |
7158 |
| 134.195.101.137 |
7020 |
| 142.202.241.250 |
6993 |
| 142.202.241.178 |
6928 |
| 134.195.101.207 |
6885 |
09恶意域名TOP10
如下是恶意域名TOP10统计列表，汇总网络内触发攻击次数最多的10个恶意域名。更多恶意域名请点击文末“阅读原文”查看恶意域名列表。
| 恶意域名 |
攻击次数 |
受害者数量 |
| prsuo.su6s.su |
931080 |
1 |
| eovcklmzxdewq.cn |
926516 |
1 |
| fox.weilders.com |
297383 |
1 |
| pruebadenuevonuevo202024202024.duckdns.org |
193473 |
1 |
| ircd.winscp.top |
87902 |
2 |
| dnslog.cn |
84478 |
7 |
| servicesssl.linkpc.net |
78643 |
2 |
| www.technectar.top |
78505 |
2 |
| oeihefoeaboeubfuo.ru |
77735 |
3 |
| sgposerverbc.com |
77247 |
2 |
10恶意攻击来源-境外国家TOP10（WEB漏洞攻击）
如下是恶意攻击来源TOP10统计列表，汇总网络环境内触发攻击次数最多的10个恶意攻击IP来源国家。
| 国家名称 |
攻击次数 |
| 美国 |
1081979 |
| 日本 |
182219 |
| 新加坡 |
165566 |
| 印度尼西亚 |
141471 |
| 英国 |
120305 |
| 加拿大 |
57135 |
| 德国 |
53968 |
| 荷兰 |
48064 |
| 比利时 |
40091 |
| 巴西 |
30838 |
11恶意攻击来源-地区TOP10（WEB漏洞攻击）
如下是恶意攻击来源地区TOP10统计列表，汇总网络环境内触发攻击次数最多的10个恶意攻击IP来源地区。
| 地区名称 |
攻击次数 |
| 北京 |
2076535 |
| 浙江-杭州 |
672114 |
| 山东-滨州 |
632563 |
| 香港 |
325394 |
| 东京都-Tokyo |
179634 |
| 新加坡-Singapore |
162768 |
| 印度尼西亚-雅加达-Jakarta |
128804 |
| 上海 |
122174 |
| 美国-德克萨斯州-San Antonio |
112136 |
| 河北-张家口 |
111951 |
12全球网络攻击源国家分布图
13省内受攻击资产地理分布图
14国内网络攻击源省份分布图
15国内网络攻击源城市分布图
