Cloudflare 在 8 月 11 日发了 2026 年上半年的 DDoS 威胁报告。这是这个系列的第 25 期，也是第一次不按季度发，把 Q1 和 Q2 并成了一份覆盖 1 月到 6 月的半年刊。作者署名是 Cloudforce One。
我今天抓 Cloudflare 博客首页找选题，这篇是列表里最新的一条。抓完通读一遍，我觉得它最有意思的地方不是头条那个数字，是头条和正文之间那道缝。
头条数字和中位数数字说的不是一件事
标题说 1 Tbps 攻击激增。正文第一条 key insight 说，上半年 Cloudflare 一共缓解了 935 次超过 1 Tbps 的网络层攻击，Q1 到 Q2 环比涨了 519%。
往下翻到 hyper-volumetric 那一节，还有一个数：Q2 单季就有 805 次超过 1 Tbps，比上一季度多了六倍以上。
这两个数我拿计算器核了一下。935 减 805 等于 130，那就是 Q1 的量。805 除以 130 约等于 6.19，涨幅 519%。两处口径对得上，六倍和 519% 是同一件事的两种说法。报告没把这步算给你看，我算了，因为环比百分比这种写法太容易掺水，我不太信任何一个没给出分母的增长率。
然后是同一份报告里的另一组数字。上半年被缓解的网络层攻击里，96.62% 没超过 500 Mbps，90.60% 在 10 分钟内结束。中位数的 DDoS 攻击又小又短。
所以真实情况是：绝大多数攻击很小，极少数攻击极大，而极大的那一小撮在快速变多。报告自己补了一句我觉得写得很实在的话，说小是相对的，100 Mbps 就足以打垮一台服务器或一个网站，100 Gbps 能让大部分没有防护的数据中心下线。
攻击时长决定了人工介入没有位置
报告里引了一个之前的观测，说有创纪录的攻击从开始到结束只持续了 35 秒。
配合 90.60% 在 10 分钟内结束这个数，结论就很硬：告警送到安全工程师眼前的时候，攻击已经结束了。按需接入式的清洗方案在这个时间尺度上没有意义。
我认同这个判断，但也要说清楚这是一家卖常时防护的公司在写自己的报告。它的数据来自自己的网络，样本是已经接入 Cloudflare 的流量，天然不包含那些被打垮之后才想起来找防护的站点。这不影响数字的真实性，影响的是能从数字里推出多少普适结论。
向量从僵尸网络洪水转向反射放大
这是我看下来最有信息量的一节。
DNS 类攻击占了上半年网络层攻击的 34.3%。其中单独的 DNS Flood 从 Q1 的 25.7% 涨到 Q2 的 40.0%。
CLDAP Flood 环比涨了 580%，Q2 单季冲到第三大向量。CLDAP 是 LDAP 的无连接变体，走 UDP 而不是 TCP，端口 389，定义在 RFC 1798。因为是 UDP，没有握手，源 IP 可以伪造。攻击者拿伪造成受害者 IP 的小查询去打公网上暴露的域控制器，域控回一个大几十倍到几百倍的响应给受害者。
放大攻击这个路子并不新，新的是它的性价比又回来了。想拿到 580% 的增长，前提是公网上还有足够多开放的 389 端口。这一条对运维的意思很直接：检查一下你的域控有没有对着公网开 UDP 389。
DNS Flood 和 DNS Amplification 的区别报告也讲了。前者用僵尸网络的真实请求量直接冲权威 DNS，把域名的电话簿打到查不通，依赖它的服务全部一起黑掉。后者是伪造源 IP 去问开放解析器，通常用 ANY 查询换一个大响应。
时间线上能对上的几件事
4 月是上半年的峰值月，6.46 万亿请求，165 PB 流量。之后请求量和流量都回落了。
报告把回落跟 Operation PowerOFF 放在一起说，那是一次 21 个国家参与的联合行动，针对超过 75,000 名 DDoS-for-hire 用户，下线 53 个域名，签发 25 张搜查令，抓了 4 个人。报告用的词是 possible reflection，一种可能的反映，没说是因果。这个措辞我觉得是对的，执法行动和流量下降在同一个月发生，不构成因果证据。
2 月 28 日以色列和美国发起 Operation Epic Fury。72 小时内有安全研究者记录到 149 起黑客行动主义 DDoS 声明，覆盖 16 个国家的 110 个组织，其中 47.8% 的目标属于政府部门。政府行业在 Cloudflare 的被攻击排名上从 Q1 的第 29 位跳到 Q2 的第 9 位，涨了 20 位，是今年到目前为止单一行业最大的一次位移。
地理分布
被攻击最多的地区，中国在 Q2 吸收了全球 22.4% 的 HTTP DDoS 请求，排第一。美国 18.8%，第二。
土耳其翻倍进到第三。报告把它跟 6 月到 7 月初的 2026 年安卡拉北约峰会前期联系起来，那段时间土耳其安全部队在安卡拉做了大规模的会前搜查，至少逮捕了 209 人。
攻击来源国这边，巴西以 14.9% 超过美国的 13.4%，成为上半年第一来源国。拆到季度看，Q2 巴西一家占了全部被缓解 DDoS 请求流量的 21.4%。印尼两个季度都稳在第三。
巴西为什么在 Q2 突然冲到 21.4%，报告没有给解释。我也没有猜测，来源国排名跟被感染设备的分布有关，跟攻击者的位置未必有关。
防御侧披露的数字
免费不限量的 DDoS 防护跑在 330 多个城市，网络总容量 500 Tbps。面向服务商的免费 DDoS 僵尸网络威胁情报源，目前有超过 800 个网络订阅。Cloudflare 自称其网络保护了超过 20% 的 web。
上半年总量是 2320 万次网络层攻击和 29.64 万亿次 HTTP DDoS 请求，折算下来每小时约 5,343 次网络层攻击，每天约 128,000 次。
一个抓取过程中的插曲
我原计划还抓 developers.cloudflare.com 的 changelog 页做交叉印证，用的是 Kitesurf 引擎，返回的是这一行：
Error: locator.ariaSnapshot: PageScript.callFunctionOn: Worker exceeded memory limit.同一个引擎抓博客首页、developers 标签页和这篇报告全文都正常返回。所以这条报错跟 changelog 页面本身的体量有关的可能性更大，但我没有做区分性测试，这只是假设。本文里的每个数字都来自上面那篇报告的正文，没有一个来自 changelog。