31.4Tbps：史上最大DDoS复盘

概述：2025年12月19日，代号「圣诞前夜」的攻击行动向Cloudflare的基础设施灌入了峰值31.4Tbps的洪流，并在HTTP层打出每秒超过2亿请求——这是迄今公开披露的最大规模DDoS攻击。驱动它的，是一个感染了数百万台摄像头、路由器和电视盒子的IoT僵尸网络家族（Aisuru/Kimwolf）。本文复盘这场攻防的时间线、僵尸网络的工业化路径、运营商为何总是前排挨打，以及这场仗给宽带网络运维留下的实操清单。

目录

• 一、纪录四连跳：18个月，洪峰放大九倍
• 二、解剖Aisuru：一台固件服务器的沦陷
• 三、运营商为什么总是前排挨打
• 四、防御重构：把响应速度卷进亚分钟
• 五、第三条战线：收网、披露与IoT新规
• 六、写在割接本上的六条建议
• 结语：洪峰不会停，深度防御才会

一、纪录四连跳：18个月，洪峰放大九倍

如果把DDoS世界的「最高水位线」画成曲线，2025年是人类互联网有记录以来最陡的一段。

据Cloudflare披露、BleepingComputer等媒体2025年9月23日报道：Cloudflare成功缓解了一次峰值22.2Tbps、每秒106亿包的体积型DDoS攻击，持续时间仅40秒，攻击规模相当于100万路4K视频同时点播。而这已经是当年第三次破纪录——据同文回顾，2025年年中Cloudflare刚处理过7.3Tbps的攻击；三周前（2025年9月初）又披露了一次11.5Tbps、每秒51亿包的攻击，奇安信XLab团队将其溯源到名为Aisuru的僵尸网络。

真正的天花板在三个月后到来。据Cybersecurity News、The Hacker News等多家媒体2026年1月底至2月初报道：Aisuru/Kimwolf僵尸网络自2025年12月19日起发起代号「圣诞前夜」（The Night Before Christmas）的连续攻击，对Cloudflare及其客户打出峰值31.4Tbps的L4洪流，叠加每秒超过2亿次的HTTP洪水——L7层的2亿rps同样是公开披露的最高纪录。按同样口径换算，31.4Tbps约等于140万路4K视频同时开播。

值得注意的是40秒这个数字。对人类而言，告警还没看完，攻击已经结束；对全网自动化的缓解系统而言，40秒够跑完「识别—分发—清洗」的全部流程。这场仗从头到尾都是机器对机器的——这一点后面还会展开。

半年之内，公开纪录翻了四倍多；把时间轴拉长到2021年（微软Azure披露的3.47Tbps），四年多的时间洪峰放大了约九倍。这不是渐进式增长，而是攻击供给侧的换挡。

二、解剖Aisuru：一台固件服务器的沦陷

Aisuru的故事，几乎是一部IoT安全欠账的浓缩史。

据BleepingComputer援引奇安信XLab的分析：Aisuru在2024年年底浮出水面，2025年4月出现感染量暴增——导火索是Totolink路由器的固件升级服务器被攻陷。升级通道一旦失守，厂商自己的分发体系就成了木马投递网络，这是比单个漏洞被利用更可怕的事情：它意味着攻击者拥有了「官方渠道」。此后Aisuru持续感染IP摄像头、DVR/NVR录像机、Realtek方案芯片设备，以及Zyxel、D-Link、Linksys等厂商的多款路由器。到2025年9月，XLab估计其全球感染设备已超过30万台。

30万台听起来不多，但账不能这么算：一台家庭摄像头的上行带宽虽小，几十万台同时以UDP小包灌向同一目标，叠加起来就是每秒上百亿包——DDoS的历史一再证明，攻击者的算力不需要强，只需要多。

更值得运维同行警惕的是它的「繁殖方式」。据KrebsOnSecurity 2026年3月19日报道（援引美国司法部通报）：2025年10月，攻击者利用Aisuru播撒出变种Kimwolf，后者引入了一种新颖的传播机制——能够穿透用户内网，感染隐藏在家庭路由器NAT保护之后的设备。传统认知里，「内网设备不直接暴露公网」是默认安全边界，Kimwolf把这个假设直接击穿。2026年1月2日，安全公司Synthient公开披露了Kimwolf利用的传播漏洞，其扩散势头才被压制；但据司法部通报，随后又有多支僵尸网络复制了同样的手法，争夺同一批易感设备。

僵尸网络的另一面是勒索生意。据司法部通报，这批网络的控制者发动了数十万次攻击，常以勒索付款为目标，有受害者报告了数万美元的损失与处置费用——从「炫技」到「变现」，IoT僵尸网络已经完成了商业化闭环。

三、运营商为什么总是前排挨打

Cloudflare能扛住31.4Tbps，靠的是分布在全球数百个节点的anycast网络，把一点洪峰稀释成全球细雨。但这个能力，运营商骨干网并不天然具备。

先算一笔物理账。一家省级宽带运营商对外的互联总带宽，通常在几Tbps量级；一家全国性ISP的Transit+Peering总和，一般也就是几十Tbps。31.4Tbps，相当于把一家中型国家骨干网的全部对外管道一次性灌满。如果这样的洪峰对准的不是Cloudflare，而是某家ISP的DNS递归集群、BRAS/CGNAT资源池或IXP接入端口，剧本就完全不同了：互联带宽打满→递归DNS超时→全网用户「有信号、上不了网」→客服话务量爆炸。这不是危言耸听——据KrebsOnSecurity 2025年10月报道，Aisuru当年就曾对多家美国ISP发起创纪录规模的集中攻击。

第二个账是包速率。22.2Tbps若由小包构成，对应每秒106亿包，这个数字的杀伤对象不是光纤，而是设备转发平面：路由器与防火墙的百万级到千万级PPS处理预算、会话表容量、ACL/Flowspec条目规模，都会在洪峰下见底。很多老网工见过这样的场景：带宽监控明明还有余量，业务却已经抖动——那就是包速率或会话数先于带宽触顶。

第三个账最棘手：流量源是真实的住宅用户IP。Mirai时代的反射放大攻击靠伪造源地址，运营商用uRPF、反欺骗过滤就能掐掉大半。而Aisuru/Kimwolf是百万台真机直灌，源地址全部合法、分布在千家万户，反欺骗防线完全失效——你总不能把自己用户的整个城域网段RTBH掉。更麻烦的是，肉鸡就在你的接入网里：Kimwolf甚至在内网横向传播，意味着攻击流量在冲出你的上行口之前，就已经在占用OLT上联和汇聚带宽。运营商不再只是DDoS的受害者，同时也是僵尸网络的宿主——这是这轮攻击潮给电信网络重新定义的角色。

flowchart TD
    A["百万级IoT设备<br/>摄像头/路由器/NVR"] --> B["弱口令与固件漏洞<br/>被批量植入木马"]
    B --> C["Aisuru与Kimwolf<br/>僵尸网络控制端"]
    C --> D["2025年12月19日<br/>圣诞前夜行动"]
    D --> E["31.4Tbps洪流<br/>叠加2亿次/秒HTTP"]
    E --> F["云端目标<br/>anycast稀释成细雨"]
    F --> G["自动化清洗<br/>客户业务无感"]
    E --> H["若目标是ISP<br/>互联带宽瞬间打满"]
    H --> I["递归DNS与CGNAT过载<br/>全省用户上不了网"]
    H --> J["肉鸡藏在接入网里<br/>OLT上联先被吃满"]

四、防御重构：把响应速度卷进亚分钟

面对「40秒打完收工」的对手，人类的审批流和工单流已经彻底出局。防御体系必须按机器速度重构，Cloudflare对这两次破纪录攻击的表述都是「autonomously mitigated」（自主缓解）——识别、决策、下发全链路无人工介入。对运营商，可用的工具箱其实是成熟的，问题在于各层是否真的串了起来：

真正的重点是把这几层预编排起来：阈值触发→自动申请上游清洗→同步Flowspec→告警闭环，整个剧本在洪峰到来之前就演练过，而不是攻击发生时再拉会。40秒的攻击意味着SOC值班员的反应时间预算是零，预案必须是可自动执行的，人工只负责事后审计。另外，包速率维度的监控（PPS、新建会话速率、DNS查询速率）必须和带宽监控同级告警——只看Gbps曲线，会在洪峰到达时瞎掉。

五、第三条战线：收网、披露与IoT新规

纯技术防御追不上感染速度，所以这场仗一定有三条战线。

第一条是执法。据KrebsOnSecurity 2026年3月19日报道：美国司法部联合加拿大、德国执法机构，拆除了Aisuru、Kimwolf、JackSkid、Mossad四个僵尸网络的在线基础设施——据司法部通报，这四个网络累计感染超过300万台IoT设备，分别下达过20万、2.5万、9万和约1000次攻击指令。行动由国防部监察长办公室的DCIS主导（起因是针对国防部地址段的攻击），FBI安克雷奇办事处参与，近二十家科技公司协助。KrebsOnSecurity后续查明，Kimwolf的核心运营者是一名22岁的加拿大男子，另一名主要嫌疑人是一名住在德国的15岁少年——供应链上端，可能只是两个年轻人。

第二条是披露。Synthient在2026年1月2日公开Kimwolf的传播漏洞，直接压制了其扩散——这符合安全社区的老规律：一个被公开分析的漏洞，比十个未披露的IOC更值钱。

第三条是监管。IoT僵尸网络的弹药库就是出厂弱口令和永不更新的固件，监管正在收口：英国自2024年起实施PSTI法案禁止设备出厂默认密码；欧盟《网络弹性法案》（CRA）按时间表在2026年9月11日正式启用了在野漏洞与严重安全事件的快速上报义务，主要合规义务将在2027年12月落地。对运营商而言，这意味着设备侧的安全责任正在从「用户自己的事」变成产业链共担——宽带运营商被推到一线，只是时间问题。

顺带回应一个行业焦虑：AI在这场攻防里的角色。目前公开可验证的事实是，防御侧的自动化缓解（如Cloudflare的自主缓解系统）已经在顶住史上最大攻击；而攻击侧的主力仍是传统漏洞利用与弱口令扫描，尚未出现AI驱动的质变。但方向不难判断——当防御全部机器化，攻击侧的自动化只是时间问题。

六、写在割接本上的六条建议

以一个老网优/核心网运维的视角，给宽带网络同行留下几条可以直接进周会的建议：

1. 告警分层加一维「包速率」：PPS、新建会话速率、DNS qps与Gbps同级监控、同级告警，清洗阈值按包速率而非带宽设定。
2. 把Flowspec当危险武器管理：预生成模板、限定条目上限、双人复核下发，每次演练都验证「误杀回滚」路径。
3. 与上游签订清洗联动条款并演练：洪峰超过本地容量是迟早的事，合同里的响应时限要 drilled 过，而不是出事时翻出来读。
4. 递归DNS做成分布式+限速：递归集群物理分散到多个大区，开启响应率限制（RRL），关闭一切不必要的区域传送与开放解析。
5. 接入网肉鸡治理立项：基于NetFlow/信令面异常（对内横向扫描、异常外联）识别感染终端，联动装维工单换机换密——这是把攻击扼杀在自己网里的唯一路径。
6. 预案以「40秒」为设计目标：所有抗D预案问一句——如果攻击只持续40秒，我们的系统自己能不能扛过去？答不上来就改造。

结语：洪峰不会停，深度防御才会

从7.3Tbps到31.4Tbps只用了半年，从Mirai到「圣诞前夜」只用了十年。弹药是几百万台没人升级的摄像头，操盘手可能是两个未成年的孩子，而挡住洪峰的是一套完全自动化的全球清洗体系。这场攻防给电信网络的启示并不新鲜，只是这次格外刺眼：安全不再是一台防火墙的事，而是从设备出厂、接入网治理、骨干编排到跨国执法的全链条战争。运营商站在这条链的中间——既是受害者，也是守门人。把接入网里的每一台肉鸡当成分了自己的警报，也许才是这场洪峰留下的最真实遗产。

参考来源

1. Cloudflare mitigates new record-breaking 22.2 Tbps DDoS attack — BleepingComputer — 22.2Tbps/106亿包攻击细节、2025年纪录时间线、XLab对Aisuru的溯源分析
2. 31.4 Tbps DDoS Attack Via Aisuru Botnet Breaks Internet With New World Record — Cybersecurity News — 「圣诞前夜」行动31.4Tbps峰值与2亿rps HTTP洪水的公开披露
3. AISURU/Kimwolf Botnet Launches Record-Setting 31.4 Tbps DDoS Attack — The Hacker News — 31.4Tbps攻击与2025年DDoS攻击总量统计（4710万次）
4. DDoS Botnet Aisuru Blankets US ISPs in Record DDoS — KrebsOnSecurity — Aisuru对多家美国ISP的创纪录集中攻击，以及5月针对Krebs自身6.35Tbps攻击的亲历记录
5. Feds Disrupt IoT Botnets Behind Huge DDoS Attacks — KrebsOnSecurity — 美加德三国联合收网四大僵尸网络、司法部通报细节与嫌疑人背景调查

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。