如果把 2025 年稱為「DDoS 的 Terabit 時代元年」，並不誇張。根據 Cloudflare 的 2025 年度 DDoS 威脅報告，全年攻擊總數達 4,710 萬次（較 2024 年翻倍，2023–2025 三年增長 236%），平均每小時自動緩解 5,376 次。而推動這一切的核心角色，是一個被命名為 Aisuru（及其 Aisuru-Kimwolf 變種）的超大規模殭屍網絡。本文讀懂這份報告背後的「規模」與「經濟學」。
一、Aisuru：百萬級主機組成的「殭屍雲」
Aisuru 估計由 100 萬至 400 萬台受感染主機組成，主力設備是 Android 電視盒與基於海思（HiSilicon）晶片的 IoT 設備。它發動的「超規模（hyper-volumetric）」攻擊常態性地突破 1 Tbps 與 10 億 PPS（Bpps）。
更令人不安的是它的租賃經濟：Aisuru 的「區塊」被分銷商當作殭屍網絡即服務（Botnet-as-a-Service）出售。任何人只需花費幾百到幾千美元，就能讓整個國家的骨幹網絡癱瘓、讓數百萬用戶無法訪問關鍵服務。攻擊，已經是完全標準化的商品。
二、紀錄一破再破的數字
- 2025 Q3：Aisuru 打出史上紀錄的 29.7 Tbps UDP carpet-bombing 攻擊，以及 14.1 Bpps；單次攻擊平均每秒隨機轟炸約 1.5 萬個目的端口。
- 2025 Q4（12 月 19 日「聖誕節前夜」行動）：針對 Cloudflare 基礎設施與客戶的 HTTP DDoS，峰值 2.05 億 RPS（205 Mrps）。
- 2025 年底：一起攻擊在短短 35 秒內達到驚人的 31.4 Tbps——這是截至披露時，任何企業公開過的最大攻擊流量。
怎麼理解 205 Mrps？相當於英國、德國與西班牙三國人口在同一秒內同時輸入一個網址並按下 Enter。
三、一個被忽略的真相：附帶損傷（collateral damage）
Aisuru 的流量大到什麼程度？根據 Krebs on Security 的報導，僅僅因為攻擊流量途經某些美國 ISP，就造成了「美國境內大範圍的網絡中斷」——而這些 ISP 根本不是攻擊目標。這才是超大規模 DDoS 最危險的地方：當攻擊規模足以飽和一國骨幹，攻擊的「濺射」本身就會癱瘓第三方。試想，若這股流量直接打向未受充分保護的 ISP、關鍵基礎設施、醫療與緊急服務，後果不堪設想。
四、攻擊來源揭秘：雲端濫用
Cloudflare 發現，絕大多數攻擊流量源自與雲端平台相關的 IP：DigitalOcean、Microsoft、Tencent、Oracle、Hetzner 等都出現在來源前十。這揭示了一個令人深思的現實——威脅行為者正利用全球最易取得、最強大的基礎設施（可輕鬆佈建的虛擬機）來發動大流量攻擊。一次攻擊中常見來自數千個不同 ASN 的流量，殭屍節點真正全球化分佈。
五、為什麼「人類反應」已經不夠
報告中一個關鍵數據：71% 的 HTTP DDoS 與 89% 的網絡層攻擊在 10 分鐘內結束。一次短攻擊可能只持續幾秒，但造成的業務中斷與恢復成本遠超攻擊時長。當攻擊比任何運維人員的反應都快，自動化、自主化的緩解系統不再是「加分項」，而是生存底線。
六、給防護方的啟示
- 需要能扛 Tbps 的全球分散架構：本地設備或按需清洗中心在 30 Tbps 級洪峰面前完全不夠看。
- 源站隱藏是前提：攻擊者會繞過清洗直打真實 IP，隱藏源站 IP 是第一步。
- 自主化緩解：能在秒級識別並牽引，而不是等人上班。
- 依賴本地設備/按需清洗的組織，應重新評估防護策略——這正是 Cloudflare 報告對企業的直接建議。
結語
2025 年的數據傳遞了一個明確信號：DDoS 的規模與精密程度，已經遠超我們的想像。對任何關鍵業務而言，問題不再是「會不會被打」，而是「被打時能不能在幾秒內被洗掉」。Keep DDoS Away，靠的不是運氣，而是一張覆蓋全球、能自主決策的防護網。