波仔
🛡️ 第二章 针对网络的攻击
📄 一句话概括

拒绝服务攻击不偷东西、不改数据，它只做一件事——把你的资源用完；而"分布式"三个字，就是把这件事从一个人的力气变成一支军队。

📝 本节和前面几节的关系

上一节（无辜的人变成犯罪者）解释了"攻击者的军队是怎么来的"——那些被接管的设备。这一节讲这支军队用来干什么。

它对应三要素里的可用性：数据没被看走、也没被改，但服务开不了。也正好接上 信息安全的三要素 里的那条排序——可用性出事，你立刻就知道。

一、这一类的共同点：不偷不抢，只占资源

把这一类攻击单独归成一组，是因为它们的目的和别的不一样：

它的目标是让合法用户用不上。所以它的"成功"不看有没有偷到东西，只看服务有没有停。

二、四个成员：从"一个人敲"到"一群人堵"

教材列的四种，其实是同一件事的四个规模档：

名称 谁在打 怎么打 特点
拒绝服务攻击 单一来源 用大量请求或畸形数据把服务压垮 现在基本打不动大站，但打小站够用
分布式拒绝服务攻击 成百上千个来源 一堆机器同时打一个目标 主力形态，难封堵
僵尸网络 被控设备组成的网络 它不是一个"攻击"，而是发起攻击的那支军队 前面 2-5 讲的就是它
邮箱炸弹 邮件 用海量邮件把你的邮箱塞爆 目标不是打瘫服务器，是淹掉某封要紧的信

排序上有个规律值得记住："分布式"三个字是关键升级。单点拒绝服务很容易挡（封一个地址就行），一旦来源变成上千个普通家庭地址，封谁呢？

还有两种常见的手法是按"怎么耗"来分的，值得单独记住：

三、邮箱炸弹：看起来最"小"，但很有讲究

邮箱炸弹的原理很像"往锁孔里灌胶水"——不是要偷信，是让你拿不到信。它真正想干的通常是这三件事之一：

  1. 把某一封关键邮件淹掉——比如你正在等一封"重置口令"或"付款确认"的邮件，攻击者用成千上万封垃圾邮件把它挤到看不见的地方。这是一种针对"流程"的攻击，不是针对"服务器"的。
  2. 用"邮件轰炸 + 电话"组合——先把你邮箱炸到崩溃，然后冒充客服打电话说"我们检测到你的账户有异常，帮你处理一下"，趁你注意力全在故障上骗走验证码。这类"声东击西"在近几年增长很快。
  3. 逼你上钩——在噪音里塞一封看起来很真的邮件，因为周围都是垃圾，人反而会急着处理那封"像真的"。

所以邮箱炸弹的正确理解是：它是一个"注意力攻击"。

四、动手 Demo：把 Tbps 翻译成人能理解的量

# 把公开的攻击规模数据换算成日常能理解的口径
peak_tbps, peak_sec = 31.4, 35          # 2025-11 单次峰值纪录
avg_gbps,  avg_sec  = 6120, 8.9 * 60    # 平均攻击流量与平均时长
# 一次攻击打出的数据量 = 速率 × 时长；再用 100 Mbps 家庭宽带做参照

实跑输出：

  ① 2025 年 11 月单次峰值纪录：31.4 Tbps，只持续 35 秒。
     这一次打出去的数据量 = 31.40 Tbps × 35 秒 = 137.4 TB
     换算成家庭宽带（按 100 Mbps 算）：314000 条。
     换算成千兆宽带：31400 条。

  ② 2025 年 10 月，云平台上观测到的最大 DDoS：15.72 Tbps，
     来自 50 万个以上的源 IP——每一个都是被接管的普通设备。
     相当于 157200 条百兆宽带同时打一个地址。

  ③ 平均值的走向比峰值更能说明问题：
     平均攻击流量 6,120 Gbps（同比 +22%），
     平均包速率 999 Mpps（同比 +60%），
     平均时长掉到 8.9 分钟（同比 -20%）。
     平均一次攻击打出的数据 ≈ 408.5 TB —— 又大又快又短。

  ④ 算一笔攻防成本账：
     · 攻击侧：僵尸网络套件月租 15~20 美元；
     · 防守侧：一次具破坏性的 DDoS 平均损失约 50 万美元；
       每小时直接加间接损失 2 万~10 万美元。
       按 8.9 分钟折算，单次损失约 2967~14833 美元。
     · 这就是为什么【打不打】不取决于难度，只取决于划算不划算。

  ⑤ 2026 年要防的不只是洪水本身：攻击者越来越常把 DDoS 当烟雾弹，
     在防守方忙于扩带宽的时候，同时干勒索、偷凭据、外传数据。

读这个输出：两个数字最值得记住。第一个是"35 秒"——一次创纪录的攻击，短到你可能都来不及反应。这说明"等看见了再去扩带宽"这个反应速度在今天是跟不上的。第二个是"月租 15~20 美元"——攻击的边际成本低到这个程度，意味着防守方不能用"这值不值得打"来判断风险，因为对攻击者来说几乎总是值得。

五、怎么防

这一类攻击的防御思路和其他几类很不一样，因为你没法"消除攻击者"——他手上有上百万台不属于他的设备。能做的只有三件事：

  1. 让自己扛得住：冗余带宽、内容分发网络、流量清洗服务。这也是为什么现在大厂的防护思路是"在上游就把垃圾流量滤掉"而不是在自己门口挡。
  2. 把"正常"和"异常"能分开：能在流量到达服务之前就识别出异常特征（比如同一个地址发来的请求格式高度雷同），就能过滤掉大部分。
  3. 准备"降级预案"：真的被打的时候，哪些功能可以先关？哪些入口可以先收紧？"被打时该关什么"要提前写下来——出事的时候没人有精力做决策。

还有一条常被忽略的：要有"这件事正在发生"的可见性。很多服务在被打的时候，运营者第一反应是"是不是我们自己的程序出问题了"——先分不清是故障还是攻击，就会先浪费掉最宝贵的几分钟。

六、⚠️ 2026 现状

30 秒实验

看一眼你手上的服务，回答三个问题（不用动手，想清楚就行）：

  1. 如果我的网站／系统现在完全打不开半小时，谁会先发现？——如果答案是"客户打电话来"，说明你的可见性是缺的。
  2. 被打的时候，我第一件事会做什么？——如果你答不出具体的动作，说明预案是缺的。
  3. 我有没有一个"降级运行"的清单（哪些功能可以临时关掉）？——如果没有，出事时就只能全关或全开。

这一节要带走的一句是：这一类攻击不图你的数据，只图你的服务停下来——所以它拼的不是谁的代码更安全，而是谁在被打的时候还能做决定。

常见误区

  1. 错误：我的站很小，没人会来打。——纠正："打"的成本已经低到月租十几美元，而且攻击者往往不是专门针对你——他可能是用现成的僵尸网络群发，或者把你当成练手的靶子，甚至误伤（打的其实是同一个机房里的别人）。所以"太小不会被盯上"在 2026 年不成立。

  2. 错误：DDoS 就是流量暴涨，看带宽曲线就知道了。——纠正：流量的暴涨只是其中一种（耗带宽型）。另一种是耗连接资源型——流量看起来不高，但服务已经进不来人了（因为连接表被半开连接占满）。只看带宽曲线会漏掉这一种，必须同时看连接数、请求特征这些指标。

  3. 错误：被打的时候赶紧加大带宽就行了。——纠正：扩带宽只能对付"耗带宽"那一类，而且反应速度跟不上——创纪录的攻击只持续 35 秒，你来不及扩容。真正的做法是在上游（运营商或清洗服务）就把垃圾流量滤掉，让异常流量根本到不了你的门口。而且扩带宽对耗连接资源型的攻击基本无效。

  4. 错误：被打的时候只要盯住流量就行了。——纠正：2026 年越来越常见的做法是把 DDoS 当烟雾弹——在防守方全力应付流量的时候，同时干勒索、偷凭据、外传数据。所以被打的时候，除了保服务，还必须同时盯住有没有别的异常（异常登录、异常的数据流出、异常的文件改动）。别让"救火"变成"掩护"。

自测三问（点开对答案） 1. "分布式拒绝服务攻击"相比"拒绝服务攻击"，升级在哪一点？为什么这一点很关键？ —— 升级在**来源数量**：从单一来源变成成百上千个分布在不同网络、不同地点的来源（通常是前面讲的被接管设备）。关键之处在于**封堵策略失效了**——单点攻击你可以封一个地址，但面对上千个真实家庭地址，**你没法把它们全封掉**（会误伤大量正常用户）。所以防御思路必须从"挡来源"转向"在上游滤掉异常特征"。 2. 为什么"邮箱炸弹"被归在"增加负载"这一类，但它的真正目标往往不是打瘫服务器？ —— 因为它的效果取决于**具体场景**。把邮件服务器打瘫当然是一种结果，但更常见的用法是**针对"流程"**：你正在等一封重置口令或付款确认的邮件，攻击者用海量垃圾邮件把它淹没——**目的是让你拿不到那封信**。它攻击的是**人的注意力和业务的时序**，而不是服务器的处理能力。 3. 为什么"等发现被打再去扩带宽"这条思路在今天越来越不管用？ —— 因为**攻击的持续时间已经短到来不及反应**——创纪录的那次只持续 35 秒，而扩容决策、采购、配置的时间远不止 35 秒。同时攻击的**规模**（几十 Tbps）也远超单个企业能自己扩出来的容量。所以正确的做法是**把防护前置到上游**（运营商、清洗服务、内容分发网络），并**提前写好降级预案**，而不是临场扩容。

相关笔记