Cloudflare 2026年第三季度DDoS报告：每小时约8,226次网络层攻击，短时攻击增多、超1 Tbps攻击减少

Cloudflare 于 2026 年 10 月 29 日发布第 26 期 DDoS 威胁报告，覆盖 2026 年第三季度（7 至 9 月），数据来自其自有网络。报告称，该季度自动缓解了 1,820 万次网络层 DDoS 攻击和 14.4 万亿次 HTTP DDoS 请求，平均每小时约 8,226 次网络层攻击。主要趋势是攻击更短、更频繁：持续不到 10 分钟的小流量攻击大幅增加，超过 1 Tbps 的超大流量攻击明显减少。

先看总量。网络层攻击折合每天约 19.74 万次，约每 0.44 秒一次；缓解的流量在网络层共 272.6 PB，在 HTTP 层共 95.1 PB。报告说，这批 1,820 万次攻击较 2025 年同期增长 208%，其中 96% 的攻击在 10 分钟内结束，98% 的攻击速率低于 1 Gbps。需要注意，“208%”在报告里出现了两次：正文把它放在网络层攻击总数相对 2025 年同期的增幅上，要点列表则把它写在“短时、低带宽攻击”上，要点列表没有说明比较基准。引用时应该说明采用哪一种读法。

超大流量攻击的方向相反。超过 1 Tbps 的网络层攻击从第二季度的 805 次降到第三季度的 251 次，降幅接近 69%。报告认为这与 2026 年年初执法部门取缔四个最大的物联网 DDoS 僵尸网络（Aisuru、KimWolf、JackSkid 和 Mossad）同时发生，要点中用的是“可能反映”的措辞，没有断言因果。但物联网僵尸网络仍是持久威胁，Dysphoria 和 Evooo1Bot 等新变种不断出现。被归为 Mirai 的缓解流量在 8 月达到 57.23 PB 的峰值，其中 8 月 16、19、23 和 25 日每天都清除了 3 PB；最长的一次 Mirai 持续攻击从 8 月 19 日到 21 日，历时 49.7 小时。报告明确把 46.5% 写作第三季度缓解的网络层字节占比，但 8 月的 57.23 PB 只相当于季度总量 272.6 PB 的约 21%。两处数字无法直接对上，原文没有解释差异。

攻击手法也在换。CLDAP 反射攻击在上半年曾比上一季度激增 580%，第三季度却降到只占攻击的 0.05%，报告称环比下降 99.5%。DNS 放大攻击增长 215%，占网络层攻击的 3.43%；其他 UDP 洪水从 14.06% 升到 31.31%，增幅约 122%。UDP 是无连接协议，适合发送大量原始流量。

目标分布也更分散。媒体、制作与出版仍是被攻击最多的行业，但占比降到第二季度的约四分之一；互联网行业从前十名之外升到第六，消费者服务和成人娱乐分别升到第八和第九。报告指出，这类“短时、中等规模、高频”攻击带有按需出租的“booter”服务的特征，主要针对软件、博彩和信息技术行业。地区上，美国重新成为被攻击最多的地方，中国第二，印度尼西亚升入前三，占 2.93%；加拿大从第 16 名升到第 6 名，以色列上升 7 位到第 10 名。

报告对地区和行业的描述也有边界。加拿大从第 16 名升到第 6 名，被报告归因于零售、电信、服务提供商与运营商（原文类别为 Service providers & carriers）、营销与广告等行业遭到攻击，并放在双边贸易争端的背景里叙述；以色列在 9 月中旬出现持续的 DDoS 活动，报告把它与议会选举前的争议决定、新年假期以及针对以色列的敌对网络活动放在一起讲。这些是背景介绍，报告没有证明政治事件与攻击量之间的因果关系。报告还说明，这一期回到了季度发布的节奏，此前上半年是合并的一期；报告由 Cloudflare 的威胁情报团队 Cloudforce One 编写，数据来自 Cloudflare 网络，该公司自称保护着全球超过 20% 的网站。

报告还解释了两种手法的共同点。CLDAP 反射攻击利用公开的域控制器（UDP 389），用伪造受害者 IP 的小查询换回放大的响应；DNS 放大同样靠开放的 DNS 解析器，以小查询换大响应。UDP 洪水则向目标的随机或指定端口发送大量 UDP 包，迫使目标检查是否有程序在监听并作出回应，从而消耗网络和计算资源。Cloudflare 还说，其免费、不限量的 DDoS 防护运行在 330 多个城市。报告把本期定位为第 26 期，回到季度节奏，并说明免费的僵尸网络威胁情报源面向托管商、云平台和互联网服务提供商，用来协助它们找出并下线发起攻击的滥用 IP 和账号。

读这份报告时要记住，它是一家防护厂商基于自己网络的统计，排名反映的是 Cloudflare 客户的受攻击情况，不是整个互联网。Cloudflare 还说，其防护覆盖 330 多个城市，网络容量 500 Tbps，并向服务提供商提供免费的僵尸网络威胁情报源，已有 800 多个网络注册。对运维团队的意义在于：多数攻击在人工能看到告警之前就已结束，所以防护需要自动化；单次攻击的规模不能代表风险，次数同样重要。