攻击少了 42%、强度却创新高：DDoS 正从「多」变「强而静」

Link11 刚发布的 2026 上半年欧洲资安报告里，有一组看似矛盾的数字：DDoS 攻击次数少了 42%，但每一类的攻击强度都创了历史新高。单次峰值频宽冲到 2.3 Tbit/s（比去年上半年的 1.2 Tbit/s 高 85%）、封包率 3.22 亿 pps（+56%）、半年累积流量 705 TB（+61%）。威胁没有消失，只是换了打法——从「撒网式大量攻击」变成「精准重砲」。

为什么次数变少、火力反而更猛

报告把原因归给两件事。其一是超级机器人网路（super-botnets）：Aisuru 及其后继者 Kimwolf 这类大型僵尸网路，加上数量不断增加的「被劫持云端伺服器」——单台被劫持的云端主机能推的频宽，远超家用的路由器或摄影机。攻击者不再需要几万台弱鸡设备，几台高频宽的云端肉鸡就够把单次攻击推到 Tbit/s 级。

其二是执法压力真的压到了数量：2025 年 7 月「Operation Eastwood」端掉 NoName057(16) 基础设施、2026 年 3 月美加德三国联手打掉 4 个控制 300 万多台 IoT 设备的僵尸网路 C2 伺服器。次数下来了，但剩下的是更专业、更有钱的那一批。

最扎心的数字：被打过一次，第二次几乎必然

报告里最容易被忽略的一行：被攻击的客户中，30 天内保持「零攻击」的只剩 44%（去年还是 54%）。攻击者会把打过的目标标记在清单上——你的 IP、你的服务、你的弱点，都被记住了。也就是说，第一波攻击从来不是「结束」，而是「试探」；真正的高伤攻击往往在后面。

最危险的攻击，是最安静的

报告记录了一个真实案例：攻击者先用流量尖峰打在两个域名上当「烟幕弹」，然后在同一批 IP 背后，悄悄跑 SQL 注入与 XSS 潜伏探测。要不是这批人图省事、攻击与潜伏用了同一组 IP，这件事根本不会被发现。

这是 2026 年防御者必须接受的现实：只盯频宽、只比对已知签名，一定会漏掉「刻意保持安静」的那一类攻击——因为它们的设计目标就是不被注意，而损坏是延迟爆发的。

对你的防御意味著什么

• 容量规划别用去年的次数：用「去年的攻击次数」决定高防容量，在 2026 年等于系统性低估——单次事件就能突破旧峰值
• 侦测层不能只有一层：频宽级（L3/L4）挡重砲，应用层（L7/WAF）抓藏在正常流量里的 SQLi/XSS，两层都要动
• 被攻击后 30 天是高危期：第一波之后的监控密度应该提高，而不是放松
• 人工盯告警跟不上节奏：强而静的攻击需要 24/7 自动关联分析——跨日志、跨层级、秒级反应，靠人肉轮值做不到