## 概述 2025年12月，僵尸网络 Aisuru 打出 31.4 Tbps 的攻击峰值，创下有公开记录以来最大的 DDoS 攻击纪录——这是18个月前纪录的5.6倍。瑞典央行罕见地为此发布经济评论，分析本国金融系统遭遇的连续攻击；骨干网运营商 Arelion 的2026年度报告则显示：单一僵尸网络已占其全网攻击流量的约33%。本文回答三个问题：T级攻击凭什么在18个月里膨胀5倍？为什么攻击者“打别人”，瑞典的银行和全民身份认证系统却先趴下了？运营商骨干网手里到底有几张牌？本文数据均来自 Cloudflare DDoS 季度威胁报告、Arelion 年度 DDoS 报告与瑞典央行公开评论，属于可交叉验证的一线观测。 ## 目录 - 一、军备竞赛：18个月，纪录从5.6 Tbps到31.4 Tbps - 二、Aisuru解剖：50万台摄像头和安卓手机组成的火力网 - 三、瑞典样本：挨打的是别人，疼的是全国 - 四、运营商的牌桌：六种武器与各自的坑 - 五、2026年新变量：AI把攻击门槛打到地板 - 六、给通信工程师的实操清单 - 七、结语：容量即防御，冗余即正义 ## 一、军备竞赛：18个月，纪录从5.6 Tbps到31.4 Tbps 先看一份来自 Cloudflare 官方威胁报告的时间线——这是全球观测点上最连续、口径最一致的 DDoS 数据源之一： | 时间 | 事件 | 规模/数据 | 来源 | | --- | --- | --- | --- | | 2024年Q4 | Cloudflare 拦截当时创纪录攻击 | 5.6 Tbps | Cloudflare 2024 Q4 报告（2025-01-27发布） | | 2025年Q1 | 单季拦截攻击数暴涨 | 超2050万次，同比+358%；包速率纪录4.8 Bpps | Cloudflare 2025 Q1 报告 | | 2025年5月中 | 新的带宽纪录 | 7.3 Tbps | Cloudflare 官方博客（2025-06发布） | | 2025年全年 | 攻击总量翻倍 | 网络层超大流量攻击增长700% | Cloudflare 2025 Q4 报告（2026-02-05发布） | | 2025年12月 | 当前纪录 | **31.4 Tbps**（Aisuru 僵尸网络） | Cloudflare 2025 Q4 报告；Arelion 2026 报告交叉印证 | | 2026年上半年 | 超大流量攻击数量同比+519% | 主要向量：DNS 与 CLDAP 反射 | Cloudflare 2026 H1 报告（2026-08-11发布） | | 2026年 | 单一骨干网观测纪录 | 6.1 Tbps（Arelion AS1299） | Arelion DDoS Threat Landscape Report 2026 | 三个数字值得每个网工记住：**18个月，峰值纪录从5.6 Tbps涨到31.4 Tbps**；**2025年一年，超大流量攻击数量增长700%**；**2026年上半年又同比再涨519%**。这不是线性增长，是爆炸。 而防御侧的天花板也在抬高：Cloudflare 在2026年4月宣布其全球网络外联容量突破500 Tbps——这个数字的存在本身说明，行业已经默认“未来攻击会比防御容量小不了多少”。骨干网运营商 Arelion 的情况更贴近多数运营商的现实：它没有500 Tbps，靠的是自家全球第一梯队容量的 AS1299 骨干加自动化清洗，2026年报告的原话是——6.1 Tbps 的攻击在其骨干上被吸收，客户业务“最小程度受扰”。 ## 二、Aisuru解剖：50万台摄像头和安卓手机组成的火力网 31.4 Tbps 不是天上掉下来的。Arelion 2026年8月底发布的技术博客把主角讲得很清楚：Aisuru 被称为“僵尸网络之母”，是2025年最具破坏力的 DDoS 威胁，由**超过50万台失陷的物联网设备和安卓系统设备**组成，2025年12月打出31.4 Tbps 峰值。在 Arelion 的网络上，Aisuru **每天发起数百次攻击，贡献了全网约三分之一的 DDoS 攻击流量**（约33%，Arelion 2026报告数据）。 它是怎么把流量做到T级的？两个工程事实： **第一，肉鸡规模化。** 50万台设备听着不多，但家宽和物联网设备的上行带宽早已不是拨号时代——一台家用路由器上行100 Mbps很常见，50万台同时打满，理论合力就是数十Tbps量级。Cloudflare 2025 Q3 报告的标题直接称之为“僵尸网络的顶点（the apex of botnets）”。 **第二，反射放大兜底。** Cloudflare 2026 H1 报告明确指出，超大流量攻击主要由 **DNS 和 CLDAP 反射向量**驱动。反射放大的原理通信工程师都熟：攻击者伪造源地址向第三方服务器发小请求，服务器向受害者回大响应，DNS 属于几十倍量级的放大系数，CLDAP 同样如此——这正是接入侧部署 BCP38/uRPF 源地址校验、从源头掐断伪造流量的全部理由。放大器服务器遍布全球，运营商骨干网就成了攻击流量的“必经之路”。 支撑这一切的是成熟的黑产商业模式：瑞典央行在2025年11月的评论文章中专门分析了 **DDoS-as-a-Service**——攻击能力被打包成服务出售，有的提供“代打”，有的直接给控制面板，**发起者不需要任何深度技术能力**。手机上点几下，就能让一个国家的支付系统打摆子。这就是2025年瑞典发生的事。 ## 三、瑞典样本：挨打的是别人，疼的是全国 这是本文最值得复盘的部分。瑞典央行（Riksbank）2025年11月6日发布的《金融部门分布式拒绝服务攻击》经济评论，是少见的由央行出面、系统复盘 DDoS 攻击影响的官方文档。 ```mermaid timeline title 瑞典DDoS攻击潮时间线 2024年秋 : 多家银行与金融基础设施遭连续攻击 : 手机银行App与Swish支付间歇中断 2024年9-10月 : NCSC观测瑞典IP空间近30%DDoS指向关键基础设施 : 覆盖政府/高校/电信/金融 2025年4月 : BankID遭遇其历史上最严重攻击 : 全国登录与电子签名受阻 2025年春 : 攻击持续 : GorillaBot等僵尸网络被点名参与 2025年6月 : Arelion发布2025年度报告 : AS1299骨干峰值屡破纪录 2025年12月 : Aisuru打出31.4 Tbps : Cloudflare拦截史上最大攻击 2026年8月 : Arelion2026报告 : Aisuru占其网内攻击流量约33% ``` | 时间 | 事件 | 影响面 | | --- | --- | --- | | 2024年秋-2025年春 | 瑞典多家银行、金融基础设施被连续攻击 | 手机银行App无法访问、Swish支付中断 | | 2024年9-10月 | 瑞典NCSC统计：国内IP空间近30%的DDoS指向关键基础设施 | 政府、高校、电信、金融行业 | | 2025年4月 | BankID（全民电子身份系统）遭重创 | 据当时媒体报道，为BankID历史上最严重攻击 | | 持续性 | 攻击者含亲俄黑客团体 NoName057(16)、GorillaBot 僵尸网络等 | 地缘政治动机与黑客行动主义明显 | **根因分析**：这波攻击最精妙也最值得警醒的一点是——多数银行不是被直接打死的，而是被**公共依赖**拖死的。BankID 是瑞典几乎所有银行、政务、医疗服务的统一电子身份底座，Swish 是全民级实时支付系统。攻击者打 BankID 一个点，全国几十家机构的登录和签名同时出问题。瑞典央行原文的评价是：“针对系统关键组件的攻击，其影响会外溢到多个组织”——这跟核心网里的公共网元被拥塞拖垮是一个逻辑：**集中化降低成本的同时，也把故障域做到了全网级**。做过核心网集中化改造的兄弟，看着这段应该后背发凉。 **影响评估**：央行的结论相对克制——这轮攻击造成的是短期服务中断，未触及金融稳定，未在受影响机构的资产负债表上留下明显痕迹，攻击停止后系统通常立即恢复。但报告同时承认：机构为防御付出的资源“无论在攻击期间还是平时都相当可观”。 **处置与整改**：瑞典金融 sector 由此强化了多层防御；NCSC 与私营部门共建情报共享机制（NCSC finansforum）；央行自2023年起加入北欧金融 CERT（NFCERT），并在2025年支持筹建金融行业危机管理职能，由央行牵头协调重大运营中断的响应。监管侧，欧盟《网络弹性法案》（CRA）将于2027年起陆续适用，对联网设备的软硬件提出强制安全要求——直指僵尸网络的源头：出厂弱口令、不更新的物联网设备。 ## 四、运营商的牌桌：六种武器与各自的坑 攻击流量从肉鸡出发，经接入网、城域网汇入骨干，最终涌向受害者。运营商能在哪些位置动手？下图是典型的骨干网清洗路径： ```mermaid flowchart TD subgraph BOT["僵尸网络源头"] IOT["物联网设备：摄像头与路由器"] AND["失陷安卓终端"] end subgraph NET["运营商网络"] AGG["城域网汇聚"] EDGE["骨干边缘路由器"] DET["流量检测与清洗系统"] CORE["骨干核心"] end USER["正常用户"] CUST["被攻击的政企客户"] IOT -->|UDP洪水与反射放大| EDGE AND -->|攻击流量| AGG USER -->|正常流量| AGG AGG --> EDGE EDGE -->|异常流量镜像| DET DET -->|自动下发Flowspec规则| EDGE EDGE -->|清洗后流量| CORE CORE --> CUST ``` 各种手段的工程特性差异很大，选型前先看这张表： | 手段 | 生效位置 | 收敛速度 | 粒度 | 主要副作用 | 适用场景 | | --- | --- | --- | --- | --- | --- | | RTBH 黑洞路由 | 上游/边缘 | 分钟级 | /32粒度极粗 | 业务整体不可达，保网不保业务 | 攻击目标单一、保骨干优先 | | BGP Flowspec | 边缘PE | 分钟级，可全自动 | 五元组级 | 规则错误伤面大，依赖硬件支持 | 有自动化检测管道的骨干网 | | 中心清洗 Scrubbing | 清洗中心 | 十分钟级 | 深度协议检测 | 引流绕路增加时延 | 高价值大客户、持续型攻击 | | Anycast 分流 | 全球/全网节点 | 秒级 | 天然分散 | 建设与运营成本高 | 云平台、CDN、全局型服务 | | 边缘ACL/硬件限速 | 接入/城域 | 秒级 | 端口级 | 配置维护成本高 | 已知向量、反射源头压制 | | BCP38/uRPF | 接入侧 | 常态生效 | 源地址校验 | 非对称路由下需谨慎配置 | 从源头掐断伪造源地址 | Arelion 的实践路径值得参考：其2026年博客披露，面对游戏/视频平台每天超过1 Tbps 的多向量攻击（单一客户曾扛住数Tbps峰值），靠的是 **BGP Flowspec 自动化防御**——检测系统识别恶意流量后自动下发过滤规则，在保留合法会话的同时把脏流量丢在骨干网内；监测能力上与 NETSCOUT 深度合作，提升全网异常检测密度；产品化上把清洗能力打包进 SecureConnect，随 IP Transit 和专线互联网接入（DIA）一起卖。2025年10月 SDxCentral 也报道了其自动化清洗方案的商用。Cloudflare 则走了另一条路：把全网容量堆到500 Tbps，并在2026年3月推出可编程流防护（Programmable Flow Protection），让客户自定义 UDP 协议的有状态清洗逻辑——针对的就是游戏类私有UDP协议这类传统规则写不准的场景。 标准允许多种实现，各厂家的检测算法、规则下发机制与默认行为以各厂家官方文档为准，但工程原则是共通的：**自动化程度决定收敛速度，收敛速度决定客户感知**。 ## 五、2026年新变量：AI把攻击门槛打到地板 Arelion 2026年8月博客的标题就是态度：《Protecting the Internet from AI-enabled threats》。文中明确指出：**AI 正在降低发起大规模 DDoS 攻击的门槛**。结合瑞典央行对 DDoS-as-a-Service 的分析，攻击生态已经完成“平台化”：Botnet 是弹药库，拍卖行式市场是军火商，AI 是把这一切装进聊天框的操作员——过去需要一个懂 BGP、懂反射原理的团伙才能干的事，现在一条提示词就能下单。 地缘政治是第二个放大器。Cloudflare 2026 H1 报告明确把"geopolitical tensions"写进副标题；瑞典央行点名亲俄团体 NoName057(16)，NCSC 认定2024年的攻击潮“大概率由地缘冲突与意识形态动机驱动”。对运营商来说这意味着：**你所在的网络，可能因为一场万里之外的战争挨打**，与你的客户行为毫无关系。 第三个变量是监管的迟到但已到：欧盟 CRA 2027年起适用，把联网设备的安全责任压给制造商——弱口令摄像头、永不更新的路由器，未来在欧洲市场会越来越难卖。这是从源头削减僵尸网络兵员的唯一治本路径，尽管见效要到2027年之后。 对企业客户，Arelion 的警告很直白：**不能再假设本地部署的传统防御设备能扛住多T级攻击**。上联带宽才是第一道闸门，防御能力必须建在高容量基础设施之上——这也是 DDoS 防护从安全产品变成“连接服务标配”的原因。 ## 六、给通信工程师的实操清单 把上面所有内容压成六条可执行项： 1. **容量即防御。** 评估你所在的城域/骨干出口，把“单点被1 Tbps以上流量打满”写进容量规划场景，2025年的攻击峰值已经是31.4 Tbps，不要用三年前的攻击模型做今天的容量设计。 2. **上游联动预案。** RTBH 和 Flowspec 的对等体配置、 community 约定，要在和平时期和每个上游谈好、写进运维手册并演练。攻击当天才去发邮件申请黑洞，黄花菜都凉了。 3. **接入侧堵源。** BCP38/uRPF 在接入与城域的部署率，直接决定你的网络是攻击的发源地还是免疫区。反射放大攻击的每一台放大器、每一台伪造源地址的肉鸡，都是你的客户在给你埋雷。 4. **公共依赖解耦。** 学 BankID 的教训：集中化的认证、计费、DNS、NTP 公共网元，要有降级策略和分池部署，别让一个点的拥塞变成全网的手停机。 5. **演练到肌肉记忆。** 攻击剧本（谁发现、谁拍板、谁执行、对外口径）要演练到不用翻文档。瑞典央行的复盘证明：DDoS 的直接损失有限，真正烧钱的是响应过程的组织成本。 6. **盯紧反射向量。** DNS、CLDAP 是2026年上半年放大攻击的主力，先扫自己的网内有没有开放解析器和 CLDAP 服务暴露公网——这是成本最低、见效最快的一步。 ## 七、结语：容量即防御，冗余即正义 从5.6 Tbps 到31.4 Tbps，18个月5倍的膨胀速度，背后是50万台失陷设备、成熟的攻击服务市场和 AI 帮凶。瑞典的故事说明，T级时代的 DDoS 早已不是“某个网站打不开”的技术事故，而是关基级的公共事件；Arelion 的实践则证明，骨干网层面自动化的清洗加上足够的容量冗余，仍然能把31.4 Tbps 挡在客户的体验之外。 对通信工程师而言，这一仗没有终局：肉鸡在增员，AI 在降门槛，攻击向量在轮换。但万变不离其宗——**在正确的时间、正确的位置，把脏流量丢掉**。接入侧堵源、边缘侧自动化、骨干侧留容量、组织侧练剧本，四件事做扎实，下一次31.4 Tbps 打过来的时候，你的告警栏里才会只有一条工单，而不是一座火山。 ## 参考来源 1. [Cloudflare Blog — DDoS 标签页（2024 Q4至2026 H1全部季度威胁报告）](https://blog.cloudflare.com/tag/ddos/) — 5.6/7.3/31.4 Tbps 纪录数据、2025年攻击量翻倍与700%增长、2026 H1 超大流量攻击+519%及 DNS/CLDAP 反射向量，均出自该系列官方报告 2. [Arelion Blog — Protecting the Internet from AI-enabled threats（2026-08-31）](https://blog.arelion.com/2026/08/31/protecting-the-internet-from-ai-enabled-threats/) — Aisuru 僵尸网络超50万设备、31.4 Tbps 峰值、6.1 Tbps 骨干纪录、BGP Flowspec 自动化防御与 NETSCOUT 合作 3. [Telecom Ramblings — Arelion 2026 DDoS report: Aisuru responsible for nearly one-third of DDoS attacks（2026-07-15）](https://newswire.telecomramblings.com/2026/07/arelions-2026-ddos-report-shows-aisuru-botnet-responsible-for-nearly-one-third-of-ddos-attacks/) — Aisuru 占 Arelion 网内攻击流量约33%的独立报道 4. [瑞典央行（Riksbank）经济评论 — Distributed denial-of-service attacks in the financial sector（2025-11-06）](https://www.riksbank.se/globalassets/media/rapporter/ekonomiska-kommentarer/engelska/2025/distributed-denial-of-service-attacks-in-the-financial-sector.pdf) — 瑞典金融行业攻击潮复盘、BankID 影响外溢、NoName057(16)与GorillaBot、DDoS-as-a-Service、CRA 2027 5. [Arelion DDoS Threat Landscape Report 2025（PDF）](https://www.arelion.com/dam/jcr:c6c04a06-efe3-4376-9468-073c8b356c0b/Arelion_DDoS_Threat_Landscape_Report_2025.pdf) — AS1299 骨干2024年攻击观测的官方原始报告 6. [SDxCentral — Arelion automates DDoS mitigation with new solution（2025-10-17）](https://www.sdxcentral.com/news/arelion-automates-ddos-mitigation-with-new-solution/) — SecureConnect 自动化清洗方案商用报道 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。