2026 年 DDoS 的两个变化

Cloudflare 在 2026 年上半年缓解了大量网络层攻击，其中超过 1 Tbps 的攻击显著增加。与此同时，攻击重心向 DNS Flood、CLDAP 等反射和放大方式移动。

报告中一个容易被忽略的结论是：大多数攻击持续时间很短。短并不代表影响小，因为几十秒的突发流量足以塞满带宽、打爆连接跟踪表，并触发后端超时和级联重试。

为什么人工响应来不及

当告警发送、人员确认并开始切换线路时，攻击可能已经结束，但服务仍在处理连接重传、队列积压和后端恢复。因此“发现后再开启防护”越来越不可靠。

把 CDN、DDoS 清洗、速率限制和缓存提前配置好，而不是故障时临时改 DNS。

只允许可信 CDN 回源地址访问 80/443，避免攻击者绕过 CDN 直接打源站 IP。管理端口应限制来源 IP，并禁止直接暴露数据库。

网络层处理 SYN、UDP 和连接数量；代理层限制请求速率；应用层针对登录、搜索和昂贵 API 设置更严格的配额。

随机查询参数、无意义路径和异常 Header 可能让每个请求都回源。应规范缓存键并过滤明显异常参数。

监控带宽、连接数、5xx、上游延迟和数据库负载。恢复时逐步放量，防止积压请求再次压垮系统。

面对短时高强度攻击，自动化防护比人工处置更重要。个人站点即使不是重点目标，也可能受到扫描、僵尸网络测试或同 IP 段攻击的影响。