概述

2025年12月，僵尸网络 Aisuru 打出 31.4 Tbps 的攻击峰值，创下有公开记录以来最大的 DDoS 攻击纪录——这是18个月前纪录的5.6倍。瑞典央行罕见地为此发布经济评论，分析本国金融系统遭遇的连续攻击；骨干网运营商 Arelion 的2026年度报告则显示：单一僵尸网络已占其全网攻击流量的约33%。本文回答三个问题：T级攻击凭什么在18个月里膨胀5倍？为什么攻击者“打别人”，瑞典的银行和全民身份认证系统却先趴下了？运营商骨干网手里到底有几张牌？本文数据均来自 Cloudflare DDoS 季度威胁报告、Arelion 年度 DDoS 报告与瑞典央行公开评论，属于可交叉验证的一线观测。

目录

• 一、军备竞赛：18个月，纪录从5.6 Tbps到31.4 Tbps
• 二、Aisuru解剖：50万台摄像头和安卓手机组成的火力网
• 三、瑞典样本：挨打的是别人，疼的是全国
• 四、运营商的牌桌：六种武器与各自的坑
• 五、2026年新变量：AI把攻击门槛打到地板
• 六、给通信工程师的实操清单
• 七、结语：容量即防御，冗余即正义

一、军备竞赛：18个月，纪录从5.6 Tbps到31.4 Tbps

先看一份来自 Cloudflare 官方威胁报告的时间线——这是全球观测点上最连续、口径最一致的 DDoS 数据源之一：

三个数字值得每个网工记住：18个月，峰值纪录从5.6 Tbps涨到31.4 Tbps；2025年一年，超大流量攻击数量增长700%；2026年上半年又同比再涨519%。这不是线性增长，是爆炸。

而防御侧的天花板也在抬高：Cloudflare 在2026年4月宣布其全球网络外联容量突破500 Tbps——这个数字的存在本身说明，行业已经默认“未来攻击会比防御容量小不了多少”。骨干网运营商 Arelion 的情况更贴近多数运营商的现实：它没有500 Tbps，靠的是自家全球第一梯队容量的 AS1299 骨干加自动化清洗，2026年报告的原话是——6.1 Tbps 的攻击在其骨干上被吸收，客户业务“最小程度受扰”。

二、Aisuru解剖：50万台摄像头和安卓手机组成的火力网

31.4 Tbps 不是天上掉下来的。Arelion 2026年8月底发布的技术博客把主角讲得很清楚：Aisuru 被称为“僵尸网络之母”，是2025年最具破坏力的 DDoS 威胁，由超过50万台失陷的物联网设备和安卓系统设备组成，2025年12月打出31.4 Tbps 峰值。在 Arelion 的网络上，Aisuru 每天发起数百次攻击，贡献了全网约三分之一的 DDoS 攻击流量（约33%，Arelion 2026报告数据）。

它是怎么把流量做到T级的？两个工程事实：

第一，肉鸡规模化。 50万台设备听着不多，但家宽和物联网设备的上行带宽早已不是拨号时代——一台家用路由器上行100 Mbps很常见，50万台同时打满，理论合力就是数十Tbps量级。Cloudflare 2025 Q3 报告的标题直接称之为“僵尸网络的顶点（the apex of botnets）”。

第二，反射放大兜底。 Cloudflare 2026 H1 报告明确指出，超大流量攻击主要由 DNS 和 CLDAP 反射向量驱动。反射放大的原理通信工程师都熟：攻击者伪造源地址向第三方服务器发小请求，服务器向受害者回大响应，DNS 属于几十倍量级的放大系数，CLDAP 同样如此——这正是接入侧部署 BCP38/uRPF 源地址校验、从源头掐断伪造流量的全部理由。放大器服务器遍布全球，运营商骨干网就成了攻击流量的“必经之路”。

支撑这一切的是成熟的黑产商业模式：瑞典央行在2025年11月的评论文章中专门分析了 DDoS-as-a-Service——攻击能力被打包成服务出售，有的提供“代打”，有的直接给控制面板，发起者不需要任何深度技术能力。手机上点几下，就能让一个国家的支付系统打摆子。这就是2025年瑞典发生的事。

三、瑞典样本：挨打的是别人，疼的是全国

这是本文最值得复盘的部分。瑞典央行（Riksbank）2025年11月6日发布的《金融部门分布式拒绝服务攻击》经济评论，是少见的由央行出面、系统复盘 DDoS 攻击影响的官方文档。

timeline
    title 瑞典DDoS攻击潮时间线
    2024年秋 : 多家银行与金融基础设施遭连续攻击 : 手机银行App与Swish支付间歇中断
    2024年9-10月 : NCSC观测瑞典IP空间近30%DDoS指向关键基础设施 : 覆盖政府/高校/电信/金融
    2025年4月 : BankID遭遇其历史上最严重攻击 : 全国登录与电子签名受阻
    2025年春 : 攻击持续 : GorillaBot等僵尸网络被点名参与
    2025年6月 : Arelion发布2025年度报告 : AS1299骨干峰值屡破纪录
    2025年12月 : Aisuru打出31.4 Tbps : Cloudflare拦截史上最大攻击
    2026年8月 : Arelion2026报告 : Aisuru占其网内攻击流量约33%

根因分析：这波攻击最精妙也最值得警醒的一点是——多数银行不是被直接打死的，而是被公共依赖拖死的。BankID 是瑞典几乎所有银行、政务、医疗服务的统一电子身份底座，Swish 是全民级实时支付系统。攻击者打 BankID 一个点，全国几十家机构的登录和签名同时出问题。瑞典央行原文的评价是：“针对系统关键组件的攻击，其影响会外溢到多个组织”——这跟核心网里的公共网元被拥塞拖垮是一个逻辑：集中化降低成本的同时，也把故障域做到了全网级。做过核心网集中化改造的兄弟，看着这段应该后背发凉。

影响评估：央行的结论相对克制——这轮攻击造成的是短期服务中断，未触及金融稳定，未在受影响机构的资产负债表上留下明显痕迹，攻击停止后系统通常立即恢复。但报告同时承认：机构为防御付出的资源“无论在攻击期间还是平时都相当可观”。

处置与整改：瑞典金融 sector 由此强化了多层防御；NCSC 与私营部门共建情报共享机制（NCSC finansforum）；央行自2023年起加入北欧金融 CERT（NFCERT），并在2025年支持筹建金融行业危机管理职能，由央行牵头协调重大运营中断的响应。监管侧，欧盟《网络弹性法案》（CRA）将于2027年起陆续适用，对联网设备的软硬件提出强制安全要求——直指僵尸网络的源头：出厂弱口令、不更新的物联网设备。

四、运营商的牌桌：六种武器与各自的坑

攻击流量从肉鸡出发，经接入网、城域网汇入骨干，最终涌向受害者。运营商能在哪些位置动手？下图是典型的骨干网清洗路径：

flowchart TD
    subgraph BOT["僵尸网络源头"]
        IOT["物联网设备：摄像头与路由器"]
        AND["失陷安卓终端"]
    end
    subgraph NET["运营商网络"]
        AGG["城域网汇聚"]
        EDGE["骨干边缘路由器"]
        DET["流量检测与清洗系统"]
        CORE["骨干核心"]
    end
    USER["正常用户"]
    CUST["被攻击的政企客户"]

    IOT -->|UDP洪水与反射放大| EDGE
    AND -->|攻击流量| AGG
    USER -->|正常流量| AGG
    AGG --> EDGE
    EDGE -->|异常流量镜像| DET
    DET -->|自动下发Flowspec规则| EDGE
    EDGE -->|清洗后流量| CORE
    CORE --> CUST

各种手段的工程特性差异很大，选型前先看这张表：

Arelion 的实践路径值得参考：其2026年博客披露，面对游戏/视频平台每天超过1 Tbps 的多向量攻击（单一客户曾扛住数Tbps峰值），靠的是 BGP Flowspec 自动化防御——检测系统识别恶意流量后自动下发过滤规则，在保留合法会话的同时把脏流量丢在骨干网内；监测能力上与 NETSCOUT 深度合作，提升全网异常检测密度；产品化上把清洗能力打包进 SecureConnect，随 IP Transit 和专线互联网接入（DIA）一起卖。2025年10月 SDxCentral 也报道了其自动化清洗方案的商用。Cloudflare 则走了另一条路：把全网容量堆到500 Tbps，并在2026年3月推出可编程流防护（Programmable Flow Protection），让客户自定义 UDP 协议的有状态清洗逻辑——针对的就是游戏类私有UDP协议这类传统规则写不准的场景。

标准允许多种实现，各厂家的检测算法、规则下发机制与默认行为以各厂家官方文档为准，但工程原则是共通的：自动化程度决定收敛速度，收敛速度决定客户感知。

五、2026年新变量：AI把攻击门槛打到地板

Arelion 2026年8月博客的标题就是态度：《Protecting the Internet from AI-enabled threats》。文中明确指出：AI 正在降低发起大规模 DDoS 攻击的门槛。结合瑞典央行对 DDoS-as-a-Service 的分析，攻击生态已经完成“平台化”：Botnet 是弹药库，拍卖行式市场是军火商，AI 是把这一切装进聊天框的操作员——过去需要一个懂 BGP、懂反射原理的团伙才能干的事，现在一条提示词就能下单。

地缘政治是第二个放大器。Cloudflare 2026 H1 报告明确把"geopolitical tensions"写进副标题；瑞典央行点名亲俄团体 NoName057(16)，NCSC 认定2024年的攻击潮“大概率由地缘冲突与意识形态动机驱动”。对运营商来说这意味着：你所在的网络，可能因为一场万里之外的战争挨打，与你的客户行为毫无关系。

第三个变量是监管的迟到但已到：欧盟 CRA 2027年起适用，把联网设备的安全责任压给制造商——弱口令摄像头、永不更新的路由器，未来在欧洲市场会越来越难卖。这是从源头削减僵尸网络兵员的唯一治本路径，尽管见效要到2027年之后。

对企业客户，Arelion 的警告很直白：不能再假设本地部署的传统防御设备能扛住多T级攻击。上联带宽才是第一道闸门，防御能力必须建在高容量基础设施之上——这也是 DDoS 防护从安全产品变成“连接服务标配”的原因。

六、给通信工程师的实操清单

把上面所有内容压成六条可执行项：

1. 容量即防御。 评估你所在的城域/骨干出口，把“单点被1 Tbps以上流量打满”写进容量规划场景，2025年的攻击峰值已经是31.4 Tbps，不要用三年前的攻击模型做今天的容量设计。
2. 上游联动预案。 RTBH 和 Flowspec 的对等体配置、 community 约定，要在和平时期和每个上游谈好、写进运维手册并演练。攻击当天才去发邮件申请黑洞，黄花菜都凉了。
3. 接入侧堵源。 BCP38/uRPF 在接入与城域的部署率，直接决定你的网络是攻击的发源地还是免疫区。反射放大攻击的每一台放大器、每一台伪造源地址的肉鸡，都是你的客户在给你埋雷。
4. 公共依赖解耦。 学 BankID 的教训：集中化的认证、计费、DNS、NTP 公共网元，要有降级策略和分池部署，别让一个点的拥塞变成全网的手停机。
5. 演练到肌肉记忆。 攻击剧本（谁发现、谁拍板、谁执行、对外口径）要演练到不用翻文档。瑞典央行的复盘证明：DDoS 的直接损失有限，真正烧钱的是响应过程的组织成本。
6. 盯紧反射向量。 DNS、CLDAP 是2026年上半年放大攻击的主力，先扫自己的网内有没有开放解析器和 CLDAP 服务暴露公网——这是成本最低、见效最快的一步。

七、结语：容量即防御，冗余即正义

从5.6 Tbps 到31.4 Tbps，18个月5倍的膨胀速度，背后是50万台失陷设备、成熟的攻击服务市场和 AI 帮凶。瑞典的故事说明，T级时代的 DDoS 早已不是“某个网站打不开”的技术事故，而是关基级的公共事件；Arelion 的实践则证明，骨干网层面自动化的清洗加上足够的容量冗余，仍然能把31.4 Tbps 挡在客户的体验之外。

对通信工程师而言，这一仗没有终局：肉鸡在增员，AI 在降门槛，攻击向量在轮换。但万变不离其宗——在正确的时间、正确的位置，把脏流量丢掉。接入侧堵源、边缘侧自动化、骨干侧留容量、组织侧练剧本，四件事做扎实，下一次31.4 Tbps 打过来的时候，你的告警栏里才会只有一条工单，而不是一座火山。

参考来源

1. Cloudflare Blog — DDoS 标签页（2024 Q4至2026 H1全部季度威胁报告） — 5.6/7.3/31.4 Tbps 纪录数据、2025年攻击量翻倍与700%增长、2026 H1 超大流量攻击+519%及 DNS/CLDAP 反射向量，均出自该系列官方报告
2. Arelion Blog — Protecting the Internet from AI-enabled threats（2026-08-31） — Aisuru 僵尸网络超50万设备、31.4 Tbps 峰值、6.1 Tbps 骨干纪录、BGP Flowspec 自动化防御与 NETSCOUT 合作
3. Telecom Ramblings — Arelion 2026 DDoS report: Aisuru responsible for nearly one-third of DDoS attacks（2026-07-15） — Aisuru 占 Arelion 网内攻击流量约33%的独立报道
4. 瑞典央行（Riksbank）经济评论 — Distributed denial-of-service attacks in the financial sector（2025-11-06） — 瑞典金融行业攻击潮复盘、BankID 影响外溢、NoName057(16)与GorillaBot、DDoS-as-a-Service、CRA 2027
5. Arelion DDoS Threat Landscape Report 2025（PDF） — AS1299 骨干2024年攻击观测的官方原始报告
6. SDxCentral — Arelion automates DDoS mitigation with new solution（2025-10-17） — SecureConnect 自动化清洗方案商用报道

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。