防暴筆記BREACH NOTES
威脅情報報告

Cloudflare Q3 DDoS 報告：每小時 8226 起攻擊，短時低頻攻擊暴增 208%

防暴筆記編輯部
威脅情報報告

Cloudflare 於 2026 年 Q3 自動緩解 1820 萬起網路層 DDoS 攻擊與 14.4 兆個 HTTP DDoS 請求，相當於每 0.44 秒一起攻擊。網路層攻擊較 Q2 增加 38%，短時低頻攻擊（10 分鐘內、1 Gbps 以下）暴增 208%。超大型攻擊（1 Tbps 以上）則減少 69%，可能與執法行動打擊 DDoS 服務有關。美國、中國、印尼、英國、土耳其是最常被攻擊的國家。

30 秒看懂
  • Cloudflare 於 2026 年 10 月 31 日發布第三季 DDoS 威脅報告，揭露威脅行為者在該季發動平均每小時 8226 起網路層 DDoS 攻擊。Cloudflare 自動緩解 1820 萬起網路層（L3）攻擊與 14.4 兆個 HTTP DDoS 請求，相當於每日 197,400 起攻擊、每 0.44 秒一起。相較於 Q2 的 1320 萬起與 Q1 的 1000 萬起，Q3 網路層攻擊增加 38%。攻擊增長與 DDoS-for-hire 的 booter 或 stresser 服務有關，這些服務負責數十萬起攻擊。
  • 攻擊型態轉變：短時低頻攻擊（10 分鐘內、1 Gbps 以下）暴增 208%，Cloudforce One 威脅情報團隊指出這類攻擊難以偵測與歸因。超大型攻擊（1 Tbps 以上）則從 Q2 的 805 起減少 69% 至 Q3 的 251 起，Cloudflare 認為可能與 3 月執法行動打擊 AISURU、KimWolf、JackSkid、Mossad 等 DDoS 服務有關。然而威脅仍未完全消除，Dysphoria 與 Evooo1Bot 等新變種已出現。
  • 攻擊手法方面，CLDAP（Connectionless Lightweight Directory Access Protocol）floods 減少，DNS amplification 則暴增 215%，佔所有網路層攻擊的 3.43%。最常被攻擊的產業為媒體、製作與出版業；資訊技術與服務；博弈與賭場；電腦軟體；電信服務商。最常被攻擊的國家為美國、中國、印尼、英國、土耳其，加拿大與以色列首次進入前 10 名，加拿大的攻擊集中於零售、電信、行銷部門。

發生了什麼

來源：本文整理自 The Hacker News 於 2026 年 10 月 31 日發布的報導，原始資料來自 Cloudflare 於同日發布的 2026 年第三季 DDoS 威脅報告。原文連結，原文發布日期為 2026 年 10 月 31 日。

每 0.44 秒就有一起 DDoS 攻擊。Cloudflare 在 2026 年第三季緩解了 1820 萬起網路層攻擊，比第二季增加 38%。攻擊者的策略改變了：超大型的 1 Tbps 攻擊減少，但短時低頻攻擊暴增 208%——10 分鐘內、1 Gbps 以下，難以偵測、難以歸因、卻能有效癱瘓目標。

攻擊量持續增長

Cloudflare 在 2026 年 Q3 自動緩解：

  • 1820 萬起網路層（L3）DDoS 攻擊
  • 14.4 兆個 HTTP DDoS 請求

相當於：

  • 每日 197,400 起攻擊
  • 每小時 8,226 起攻擊
  • 每 0.44 秒一起攻擊

與前兩季比較：

  • Q1 2026：1000 萬起
  • Q2 2026：1320 萬起
  • Q3 2026：1820 萬起（增加 38%）

DDoS-for-hire 服務是主要推手

攻擊增長與 DDoS-for-hire 的 booter 或 stresser 服務有關，這些服務負責數十萬起攻擊。

Booter 或 stresser 服務是讓任何人都能租用的 DDoS 攻擊服務，使用者只需支付費用,無需自己架設僵屍網路或撰寫攻擊程式碼。

攻擊型態的轉變

短時低頻攻擊暴增 208%

短時低頻攻擊（10 分鐘內、1 Gbps 以下）暴增 208%。

這類攻擊的特性：

  • 持續時間短：10 分鐘內
  • 頻寬低：1 Gbps 以下
  • 難以偵測：可能被視為正常流量波動
  • 難以歸因：攻擊結束後才發現，日誌可能已被清理

超大型攻擊減少 69%

相反地，超大型攻擊（1 Tbps 以上）從 Q2 的 805 起減少 69% 至 Q3 的 251 起。

Cloudflare 認為這可能與 3 月的執法行動有關，當時執法單位打擊 AISURU、KimWolf、JackSkid、Mossad 等 DDoS 服務。

然而，威脅仍未完全消除，Dysphoria 與 Evooo1Bot 等新變種已出現。

攻擊手法的變化

DNS Amplification 暴增 215%

DNS amplification（DNS 放大攻擊）暴增 215%，佔所有網路層攻擊的 3.43%。

DNS amplification 的運作方式：

  1. 攻擊者偽造受害者的 IP 位址
  2. 送一個小的 DNS 查詢給開放的 DNS 伺服器
  3. DNS 伺服器回應一個遠大於查詢的回應給受害者
  4. 攻擊者用很小的頻寬就能產生大量流量攻擊受害者

CLDAP Floods 減少

相對地，CLDAP（Connectionless Lightweight Directory Access Protocol）floods 減少。

CLDAP 也是一種放大攻擊手法，但顯然攻擊者在 Q3 更偏好 DNS amplification。

最常被攻擊的產業

  1. 媒體、製作與出版業
  2. 資訊技術與服務
  3. 博弈與賭場
  4. 電腦軟體
  5. 電信服務商

最常被攻擊的國家

  1. 美國
  2. 中國
  3. 印尼
  4. 英國
  5. 土耳其

加拿大與以色列首次進入前 10 名，加拿大的攻擊集中於：

  • 零售業
  • 電信業
  • 行銷部門

為什麼短時低頻攻擊更危險

1. 難以偵測

10 分鐘內的流量峰值可能被視為正常的流量波動，特別是在流量本來就有起伏的服務（如新聞網站、社群平台）。

1 Gbps 以下的攻擊頻寬也不算大，可能不會觸發 DDoS 防護服務的告警閾值。

2. 難以歸因

攻擊結束後，日誌可能已被輪替或清理。即使保留日誌，短時間的攻擊也很難從大量正常流量中識別出來。

3. 可以重複發動

攻擊者可以每隔幾小時打一次，讓服務斷斷續續。客戶會抱怨「網站有時候很慢」,但管理員可能找不到明確原因。

4. 成本低

短時低頻攻擊需要的資源少，booter 服務的收費也較低。攻擊者可以用很少的錢持續騷擾目標。

如何偵測與防禦

部署 DDoS 防護服務

若尚未部署 DDoS 防護服務，評估以下選項：

  • Cloudflare
  • Akamai
  • AWS Shield
  • Google Cloud Armor
  • Azure DDoS Protection

這些服務通常能自動偵測與緩解攻擊,包括短時低頻攻擊。

設定自動化緩解規則

針對短時低頻攻擊，設定更敏感的偵測規則：

  1. 縮短偵測時間窗口：從 1 小時縮短到 10 分鐘甚至 5 分鐘
  2. 降低告警閾值：不要只在頻寬接近上限時才告警
  3. 監控連線數與請求率：不只看頻寬，也看每秒新連線數、每秒請求數

監控 DNS 伺服器

若你管理 DNS 伺服器：

  1. 限制查詢來源：只接受已知網路的查詢
  2. 關閉遞迴查詢：公開的 DNS 伺服器不應提供遞迴查詢
  3. 監控查詢量與回應倍率：異常的大量查詢或高回應倍率可能代表你的伺服器被用於放大攻擊

檢視歷史流量

回顧 7-9 月的網路流量監控記錄：

  1. 尋找 10 分鐘內的短時流量峰值
  2. 確認是否有週期性的異常流量（例如每天同一時間、每週同一天）
  3. 檢查流量來源是否集中於特定地區或 AS

你可以學到什麼

站在攻擊者的角度：我不需要架設自己的僵屍網路，我只要花錢租用 booter 服務。我選擇短時低頻攻擊——10 分鐘內、1 Gbps 以下，你的監控工具可能會漏掉，即使發現也很難追蹤到我。我用 DNS amplification，送一個小查詢給開放的 DNS 伺服器，它回一個大回應給你，我的成本很低但你的頻寬很快就滿了。我可以每隔幾小時打一次，讓你的服務斷斷續續，客戶抱怨但你找不到原因。如果你想阻擋我，等你發現攻擊時我已經停了，你連我的 IP 都沒抓到。

lessons本案的 7 個教訓
  1. 01
    攻擊型態轉變：超大型 1 Tbps 攻擊減少 69%，但短時低頻攻擊（10 分鐘內、1 Gbps 以下）暴增 208%。
  2. 02
    DDoS-for-hire 服務降低攻擊門檻：任何人都能租用 booter 或 stresser 服務發動攻擊，無需技術能力。
  3. 03
    執法行動有效但不持久：3 月打擊 DDoS 服務後超大型攻擊減少，但新變種（Dysphoria、Evooo1Bot）已出現。
  4. 04
    DNS amplification 成為主流：暴增 215%，攻擊者偏好這種低成本高效率的放大攻擊。
  5. 05
    短時低頻攻擊難以偵測與歸因：10 分鐘內的攻擊可能被視為正常流量波動，攻擊結束後日誌可能已清理。
  6. 06
    週期性攻擊更難處理：每隔幾小時打一次，讓服務斷斷續續，客戶抱怨但管理員找不到原因。
  7. 07
    加拿大與以色列首次進入前 10：顯示攻擊目標的地理分布在變化，任何國家都可能成為目標。
keywords重點學習：最需要學習的 10 個關鍵字7 個
  1. 01
    短時低頻攻擊（Short-burst, Low-bandwidth）
    10 分鐘內、1 Gbps 以下的 DDoS 攻擊，Q3 暴增 208%，難以偵測與歸因。
  2. 02
    DDoS-for-hire（Booter, Stresser）
    讓任何人都能租用的 DDoS 攻擊服務，降低攻擊門檻，負責數十萬起攻擊。
  3. 03
    DNS Amplification（DNS 放大攻擊）
    攻擊者偽造受害者 IP 送小查詢給開放 DNS 伺服器，伺服器回大回應給受害者，Q3 暴增 215%。
  4. 04
    CLDAP Floods
    Connectionless LDAP 放大攻擊，Q3 減少，攻擊者轉向 DNS amplification。
  5. 05
    執法行動
    3 月打擊 AISURU、KimWolf、JackSkid、Mossad 等 DDoS 服務後，超大型攻擊減少 69%。
  6. 06
    Dysphoria 與 Evooo1Bot
    新出現的 DDoS 變種，顯示執法行動後威脅並未完全消除。
  7. 07
    Cloudforce One
    Cloudflare 的威脅情報團隊，負責分析 DDoS 趨勢與發布季度報告。
try today今天就可以來試試約 15 分鐘

全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。

  1. 檢視 7-9 月的網路流量監控記錄
    看到什麼代表什麼：尋找 10 分鐘內的短時流量峰值、週期性異常流量、特定來源的集中流量。
  2. 若尚未部署 DDoS 防護服務，評估選項
    看到什麼代表什麼：Cloudflare、Akamai、AWS Shield、Google Cloud Armor、Azure DDoS Protection，根據預算與需求選擇。
  3. 設定自動化緩解規則
    在 DDoS 防護服務中設定更敏感的偵測規則：縮短時間窗口到 10 分鐘、降低告警閾值、監控連線數與請求率
    看到什麼代表什麼：能更快偵測短時低頻攻擊。
  4. 若管理 DNS 伺服器，檢查設定
    限制查詢來源、關閉遞迴查詢、監控查詢量與回應倍率
    看到什麼代表什麼：避免成為 DNS amplification 的共犯，減少被濫用的風險。
  5. 檢查 DDoS 防護服務的告警記錄
    看到什麼代表什麼：確認 Q3 是否有攻擊嘗試被自動緩解，評估現有防護是否足夠。
  6. 評估服務的可用性 SLA
    看到什麼代表什麼：若服務對可用性要求高（如金融、電商），考慮多層防護（CDN + DDoS 防護 + 限流）。

如果你管理面向公眾的服務

  1. 部署 DDoS 防護服務：若尚未部署，現在就評估選項。短時低頻攻擊暴增 208%，你的服務可能已經受到影響而你還不知道。
  2. 設定自動化緩解規則：縮短偵測時間窗口、降低告警閾值、監控連線數與請求率。
  3. 檢視歷史流量：回顧 Q3 的流量記錄，確認是否有短時異常峰值。
  4. 監控 DNS 伺服器：若你管理 DNS 伺服器，確保設定正確，避免成為放大攻擊的共犯。
  5. 關注新變種：Dysphoria 與 Evooo1Bot 已出現，持續關注 Cloudflare、Akamai 等服務商的威脅情報。

攻擊者的策略正在改變，從「大而明顯」轉向「小而頻繁」。短時低頻攻擊更難偵測、更難歸因、卻同樣能癱瘓服務。今天就檢查，今天就防護。

來源

分享
精選拆解直送信箱

每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。

延伸閱讀