一、DoS 不偷东西，只让你不能用

DoS 攻击的思路和其他所有攻击都不一样：它不试图进来，只试图让你关门。

单台机器压不动，攻击者就租一堆机器一起压，这就是 DDoS。 Cloudflare 2026 年上半年的数据量级是这样的：

• 网络层攻击 2320 万次，折合每小时约 5343 次。
• HTTP 请求总量 29.64 万亿次。
• 超过 1 Tbps 的攻击 935 次，比上一季度涨了 519%。
• 单月峰值出现在 4 月，6.46 万亿请求、165 PB 流量。

但真正要命的不是那些上 T 的巨兽。96.62% 的网络层攻击不到 500 Mbps， 90.60% 在 10 分钟内结束。而 100 Mbps 就足以压垮一台没有防护的服务器。

上面这份数据里还有一个细节值得注意：攻击者越来越多地用【反射放大】的办法—— 伪造受害者的地址去问第三方服务器，让这些服务器替自己把流量打过去。 这种方式不需要自己控制多少机器，成本更低。

二、这种攻击没法靠人盯着

为什么这类攻击必须靠自动设备？因为它太快了。 Cloudflare 观察到过一些破纪录的攻击，从开始到结束只有 35 秒。

等告警送到安全分析员眼前，攻击已经结束了。 所以防守方唯一可行的做法是：把判断和动作都交给设备，在第一秒完成。

另外，短攻击的【余波】比攻击本身长： 一次几十秒的突发能引起路由不稳定、TCP 重传、应用超时， 这些下游问题往往要几小时甚至几天才能完全平复。

所以 DDoS 防护要当成常设设施，而不是【出事之后再开通】的应急手段。

三、WAF 和防火墙是两回事

挡流量的设备和看内容的设备经常被混淆，其实分工很清楚：

• 防火墙看网络层和传输层——端口、协议、流量大小。 它能拦住【洪水式的灌流量】，但不知道这个请求里写的是什么。
• WAF（Web 应用防火墙）看应用层——它读的是 HTTP 请求里的内容。 SQL 注入、跨站脚本这类攻击，流量很小、端口完全正常， 只有把请求内容拆开看，才知道它是恶意的。

WAF 这几年涨得很快，而且部署方式在变：

• 2025 年全球 86 亿美元，2026 年预计 101.3 亿美元，2034 年预测 308.6 亿。
• 云型部署 2026 年占比约 54.6%，已经超过一半。

云型占多数这件事很有意思——它意味着很多企业不再自己买盒子， 而是直接把 WAF 挂在 CDN 或云负载均衡前面，按量付费、不用维护。 对中小团队来说，这是最省事的选择。

四、日志分析：最不紧急，却决定恢复速度

日志是三条线里最不起眼的一条。它不阻止任何攻击， 但它决定了你在出事之后多久能搞清楚状况。

现实数据并不好看：

• 企业每天平均收到约 4484 条安全告警。
• 其中 44% 从来没被人看过——纯粹是被淹没了。
• 而在看过、被调查过的告警里，68% 最后确认是误报。
• 发现一起入侵的中位时间 16 天；人工响应的中位时间 16 小时以上； 自动化剧本介入后降到 4.2 小时。

这三个数字连起来，解释了日志分析真正的难点：不是存不下，是没人看。 48% 的企业说成本太高，52% 说系统之间集成太复杂。

所以务实的做法通常是分两步走：先把日志集中到一个地方，再慢慢写关联规则。 集中这一步哪怕不做分析，也已经能让【查一件事】从登十几台机器变成查一个地方。

五、动手 Demo：把攻击规模与响应时间算一遍

攻击的量级和响应的速度，都可以算出更直观的口径：

attacks_h1 = 23_200_000        # 2026 上半年网络层攻击次数
hours = 181 * 24               # 1~6 月约 181 天
print("  每小时攻击次数 = %.0f" % (attacks_h1 / hours))
print("  超 1Tbps 攻击比上季增长 = %d%%" % 519)
print("  人工响应 16 小时 -> 自动化 4.2 小时，快 %.1f 倍" % (16 / 4.2))
print("  WAF 2026 -> 2034 要涨 %.1f 倍" % (308.6 / 101.3))

实跑输出：

--------------------------------------------------------------------
被打穿之后，靠什么顶住
--------------------------------------------------------------------
  假定攻击者已经摸到了门口的服务器，接下来最常见的一招是把它压垮。
  DoS 攻击不偷东西，只求让服务不能用；分布式版本（DDoS）就是租一堆机器一起压。

  指标（Cloudflare 2026 上半年）     数值              含义
  -----------------------------------------------------------------------
  网络层攻击次数                     2320 万次         约每小时 5343 次
  HTTP 请求总量                      29.64 万亿次      半年累计
  超 1 Tbps 的攻击                   935 次            比上一季度涨 519%
  单月峰值（4 月）                   6.46 万亿请求     同期 165 PB 流量
  -----------------------------------------------------------------------

  但真正要命的不是那些上 T 的巨兽。96.62% 的网络层攻击不到 500 Mbps，
  90.60% 在 10 分钟内结束。100 Mbps 就足以压垮一台没防护的服务器。

  所以这类攻击不能靠人盯着，只能靠自动设备在第一秒就动手。分成两件事：

               门口拦量的               门口看内容的
  -----------------------------------------------------------
  典型设备     防火墙、抗DDoS清洗       WAF（Web应用防火墙）
  看哪一层     网络层、传输层           应用层（第七层）
  判据         端口、协议、流量大小     HTTP 请求里的内容
  能拦什么     洪水式的灌流量           SQL注入、跨站脚本
  -----------------------------------------------------------

  WAF 这几年涨得很快，而且越来越多人不买盒子、直接买云上的服务：

  口径              规模             备注
  --------------------------------------------------------
  WAF 2025          86 亿美元        全球
  WAF 2026          101.3 亿美元     预计，年复合约 14.9%
  WAF 2034          308.6 亿美元     预测值
  云型占比 2026     约 54.6%         已超过一半
  --------------------------------------------------------

  小算例：86 亿 → 101.3 亿，一年涨 17.8%；按 14.9% 的复合增速，
  从 101.3 亿走到 308.6 亿要 8 年，正好对上 2026 到 2034 的预测窗口。

  最后一件事是留证据。日志分析听起来最不紧急，实际决定恢复得快不快：

  日志与响应指标                 数值
  -------------------------------------------
  企业每天收到的安全告警         约 4484 条
  其中从未被人看过的             44%
  看过之后确认是误报的           68%
  发现一起入侵的中位时间         16 天
  人工响应的中位时间             16 小时以上
  自动化剧本介入后的响应时间     4.2 小时
  -------------------------------------------

  48% 的企业说日志分析成本太高，52% 说系统之间集成太复杂。
  这也解释了为什么多数公司的选择是：先集中收集，再慢慢写关联规则。

5343 次/小时这个数字，等价于平均每 0.67 秒就有一次攻击打到某个地方。 而 4.2 小时对 16 小时，是自动化把响应压到约四分之一—— 这正是 9-1 里【快就省钱】那句话的兑现方式。 最后一行的 3 倍，说明 WAF 还会继续涨很久。

30 秒实验

1. 打开 Chrome 开发者工具的 Network 面板，随便点几个请求，看看响应时间——正常都是几百毫秒内。
2. 查一下你常用网站有没有 Cloudflare 或 Akamai 的响应头，那说明它在前面挡着。
3. 看一下你司服务器上有没有开日志轮转——日志写满磁盘是很常见的翻车方式。

常见误区

1. 错误：DDoS 攻击都是几百 G 以上的巨型攻击。——纠正：96.62% 的网络层攻击不到 500 Mbps，100 Mbps 就足以压垮一台没防护的服务器。
2. 错误：有防火墙就不用 WAF。——纠正：防火墙看端口和流量，WAF 看请求内容；SQL 注入这类攻击的流量特征完全正常，只有 WAF 认得出。
3. 错误：日志存下来就行了。——纠正：存下来没人看等于没存（44% 的告警从未被查看）；关键是让它能被搜索、能被关联。

• ☐ 下一节（9-5 客户保护机制：多因子验证、CAPTCHA）

相关笔记

• DMZ的防守方式 —— 上一节讲的检测设备，这一节讲挡不住之后怎么办
• 系统运行后的管理 —— 日志与监控在上线后的日常运维里怎么用
• 防范针对 Web 应用的典型攻击手段 —— WAF 要挡的那些攻击长什么样
• 日志是调查事故原因的重要线索 —— 日志为什么是必备项
• 低成本、安全地在站点之间进行通信（互联网VPN） —— 让访问本身不暴露在公网上的办法
• 🕸️ Web技术原理 · 索引