从网空测绘看俄乌战争态势--及对我们的启示

2022年05月17日

通过对战争发动前后，俄乌互联网空间测绘数据分析，可以从一个侧面一窥俄乌实体战争态势情况，也能更详细窥视网空对抗情况。

一、战争前期俄罗斯网空防御居于劣势

通过网空测绘显示，俄罗斯网络空间最近一年互联网IP的开放端口暴露数量为：8609万，乌克兰为516万，其中俄罗斯防火墙数量6.6万，乌克兰0.9万。乌方一个防火墙平均覆盖560个资产，俄方一个要覆盖1291个资产，防御密度来看，乌克兰占优势。

二、从网空测绘可以反馈物理战争进展

     我们通过网空IP掉线率，可以了解实体战争态势。

通过对乌克兰互联网空间的240万IP地址，每小时做存活性测绘，得出各个区域的掉线率，用颜色标记。2月25日下午4点左右，掉线情况如下：

用地图标识如下(颜色越深，掉线率越高)：

和网络报道的俄罗斯军队进攻路线和进度高度重合：

可见通过网空测绘，可以掌握部分实体战争进度。

其中乌克兰中部、西部也出现了掉线情况，根据对关键基础设施暴露在互联网的IP地址测绘，根据新闻媒体报道，其网络持续受到DDos攻击，有新闻报道称是俄罗斯所为，但没有给出明确证据。

三、战争期间乌克兰互联网受到持续强度打击

3.1 乌克兰互联网持续掉线情况

通过对乌克兰240万互联网IP存活测绘显示：

    1) 2月15日起在地面冲突前一周左右，乌受到规模化DDoS攻击，和新闻报道一致。

    2) 2月乌克兰发布新闻，23-24日乌通过自主防卫手段，开始主动断网，加固保护关基和信息设施。

    3) 2月24日开战后前期主动断网系统重新上线，但在随后几天里这些资产持续掉线，持续受到DDos攻击压制，乌克兰临时断网加固没有效果。

时间历程如下图（横轴是时间，纵轴是存活IP数量）：

3.2 乌克兰关键基础设施受到持续打击压制

我们对乌克兰关基设施的互联网IP抽样进行存活观察如下：乌克兰在线存活的关键基础设施数量从2月24日起急剧下降，掉线比率超过50%。攻击方使用规模化DDoS等攻击手段瘫痪关基，直接打击乌关基设施。

从互联网掉线的关基分类和比例如下：

3.3 DDos和网页篡改并列

    除了持续受到DDos攻击导致乌克兰大量关基无法提供服务，被压制掉线以外，1月1日到3月1日，我们还监测到121次乌克兰政府网站、新闻媒体网站被篡改事件。和新闻报道基本一致：

    篡改内容包括：发布虚假战况、发布虚假政府公告、发布政治宣言、发布恐吓信息等。