Cloudflare 2026 年 Q3 DDoS 威胁报告：蜂群更多，巨兽更少

Cloudflare 于 2026 年 10 月 29 日发布的第 26 版 DDoS 威胁报告揭示了一个明显变化：攻击流量正在变得更加密集、更加短暂，而单次超过 1 Tbps 的超大流量攻击反而减少。第三季度的核心特征可以概括为“蜂群更多、巨兽更少”。对防守方而言，这也意味着依赖人工查看告警、逐条响应的模式越来越难以应对。

短时高频攻击成为主要压力

Cloudflare 表示，其网络在第三季度自动缓解了 1820 万次网络层 DDoS 攻击，比 2025 年同期增长 208%。同期处理的 HTTP 层 DDoS 请求达到 14.4 万亿次。平均计算，Cloudflare 每小时处理约 8226 次网络层攻击，每天约 19.74 万次，相当于平均每 0.44 秒出现一次攻击。

96% 的网络层攻击持续时间不足 10 分钟；
98% 的攻击流量低于 1 Gbps；
网络层受保护的流量达到 272.6 PB，HTTP 层为 95.1 PB；
短时、中等流量、高频次的攻击集中指向计算机软件、博彩与赌场以及信息技术行业，其特征与 DDoS-for-hire“靴子”服务相符。

这类攻击未必能够持续压垮骨干链路，却足以反复消耗服务器、应用和运维团队的响应能力。尤其是持续不足 10 分钟的攻击，往往在人工分析完成之前就已经结束。

超过 1 Tbps 的攻击减少，但 IoT 僵尸网络仍在演化

超大流量攻击从第二季度的 805 次降至第三季度的 251 次，降幅接近 69%。Cloudflare 将这一变化与 2026 年初针对 Aisuru、KimWolf、JackSkid 和 Mossad 四个大型 IoT 僵尸网络的执法行动联系起来，但报告使用的是“可能反映”，并未将两者表述为已被证明的因果关系。

规模下降不等于威胁消失。Dysphoria、Evooo1Bot 等新变体仍在出现，IoT 僵尸网络依然能够形成高流量攻击。报告中的 Mirai 分类缓解流量在 8 月达到 57.23 PB，占第三季度网络层受保护字节数的 46.5%；8 月 16 日、19 日、23 日和 25 日的单日流量均超过 3 PB。最长一次被归为 Mirai 的持续攻击从 8 月 19 日延续至 21 日，历时 49.7 小时。

CLDAP 退场，DNS 放大与通用 UDP 洪水接替增长

最突出的协议变化是 CLDAP 攻击占比降至全部网络层攻击的 0.05%。此前，CLDAP 在 2026 年上半年曾出现每季度增长 580% 的快速上升，但第三季度的数据呈现出近乎断崖式的回落。

与此同时，DNS 放大攻击增长 215%，占网络层攻击的 3.43%。此类攻击利用开放的 DNS 解析器，将经过伪造的小型查询放大为指向受害者的较大响应。通用 UDP 洪水的占比也从 14.06% 升至 31.31%，增幅为 122%。由于 UDP 是一种无连接传输协议，攻击者可以向目标随机或指定端口发送大量数据包，迫使目标检查服务状态并生成响应，从而占用网络与计算资源。

行业与地理目标同时扩大

媒体、生产与出版业虽然仍是最常遭受攻击的行业，但其攻击份额已降至第二季度的大约四分之一。互联网服务从十名之外升至第六位，消费者服务与成人娱乐分别升至第八和第九位，显示攻击目标不再集中于少数行业。

地域排名也出现明显波动。美国重新成为受攻击最多的地点，中国排名第二，印度尼西亚以全部攻击的 2.93% 进入前三。加拿大从第十六位升至第六位，以色列上升七位至第十位。Cloudflare 将加拿大的变化与零售、电信、服务提供商以及营销广告行业遭受的攻击联系起来；以色列的排名则受到 9 月中旬持续 DDoS 活动的影响。

防守重点应从“大流量告警”转向连续自动化响应

针对上述变化，防守方需要调整监控和处置的重心。首先，应将自动化检测与缓解放在核心位置，因为绝大多数攻击持续时间不足以支持人工响应流程。其次，网络层攻击次数与 HTTP 层 DDoS 请求必须分开观察，两项指标分别衡量攻击事件和请求规模，不能混为同一口径。

资产盘点也应覆盖 DNS 解析器、CLDAP 服务和 UDP 暴露端口，减少可能被用于反射或放大攻击的基础设施。对于地域和行业跨度较大的组织，应分别跟踪不同市场的流量变化，而不是只依赖国家级总量。面向托管商、云平台和互联网服务提供商，Cloudflare 还提供免费的 DDoS 僵尸网络威胁信息源；据公司称，已有 800 多个网络接入，用于定位并下线发起攻击的地址和账户。

Cloudflare 表示，其 330 多个城市组成的网络具备 500 Tbps 容量，所有接入服务均提供免费、不计流量的 DDoS 防护，并由系统自动检测和执行缓解，无需人工介入。这属于厂商披露的能力与保护范围，是否适用于具体业务仍取决于网络架构、接入方式和实际流量特征。

这些数据能说明什么，又不能说明什么

这组数据首先反映的是 Cloudflare 网络可见并已缓解的攻击，而不是全球全部 DDoS 活动的完整统计。客户构成、服务类型和 Cloudflare 的部署位置都可能影响行业与地域分布，因此不宜直接把各国家排名等同于全球总体风险排名。

此外，执法行动与超大流量攻击减少之间只有时间相关性，报告并未证明其中存在直接因果关系；Mirai 分类所采用的检测标准在摘要中也没有展开。报告同样不能单独说明攻击动机、幕后组织或受害者业务所遭受的全部损失。

尽管存在这些限制，本季度最稳定的信号仍然清晰：攻击者正在用更密集、更短暂和更易切换的流量向量制造持续压力，而超大流量攻击数量的回落并未改变 IoT 僵尸网络的长期存在。防守体系需要同时具备自动缓解、快速识别协议变化以及跨地域流量观测能力。

资料来源：Cloudflare DDoS Threat Report 2026 Q3: More swarms, fewer giants（2026-10-29）。