绿盟科技（NSFOCUS）：2025年度全球 DDoS 攻击威胁态势报告（英文版）（36页）.pdf

核心结论速览： AI正将DDoS攻击从“带宽消耗”进化为“智能消耗”：AI在侦察阶段自动分析目标弱点、在攻击阶段实时生成定制化载荷、在规避阶段秒级自适应突破。传统基于静态规则和指纹匹配的防御体系面临系统性失效风险。 CLDAP反射攻击占比从约6%飙升至45.52%：这一爆发式增长说明攻击者正快速迁移至放大倍数更高的反射源。DNS反射和NTP反射紧随其后，但占比变化反映了攻击技术的快速迭代。 API接口正成为DDoS攻击的“阿喀琉斯之踵”：AI产品“轻前端、重后端”架构使小流量恶意请求即可触发后端复杂计算和资源调度，实现“单点突破、全链中断”的攻击效果。 多向量攻击已成主流：2、3、4、5+种攻击向量组合的事件数量均有增长。攻击者可灵活切换或叠加多种攻击方法，绕过基于单一特征的防护策略。 超大规模攻击已成新常态：500 Gbps攻击事件同比暴增115.72%，最大单次攻击达2.6 Tbps。攻击峰值带宽主要集中在500 Gbps-1 Tbps区间。 僵尸网络仍是DDoS攻击的核心基础设施：XorDDoS和Mirai合计占僵尸网络活动量的80%以上，但HailBot、RapperBot、Httpbot等新兴家族正快速崛起。 DNS服务正成为攻击者的重点目标：端口53的攻击已连续两年上升。DNS作为互联网域名解析的关键基础服务，一旦瘫痪将引发大规模链式效应。H2：AI驱动的攻击范式转变——防御者必须面对的现实。2025年，AI不再是防御者的专属工具，攻击者已将其深度集成到攻击全链条。这种转变的核心是攻击竞争力从“带宽规模”转向“认知与决策速度”。侦察阶段的AI化：AI自动进行目标分析——域名和IP资产梳理、CDN/Anycast节点识别、源站定位、端口和服务暴露面探测。更关键的是，AI可通过协议响应特征与流量行为建模，识别高连接成本和资源消耗型接口（登录、搜索、动态查询），评估其在高并发场景下的压力阈值。这使攻击者在发动攻击前已精确掌握目标“弱点地图”。攻击实施阶段的AI化：AI可基于侦察发现的弱点，实时构建高度定制化、不可预测的攻击载荷： 弱认证接口的高频凭证填充。 利用协议特性的特殊数据包。 多向量L3/L4/L7融合攻击。 模拟正常用户行为模式（HTTP请求头、交互轨迹、搜索查询）。攻击流量高度多样化、难以标准化，几乎没有可复用的特征痕迹。传统基于指纹和阈值的清洗规则对此类攻击几乎无效。动态规避阶段的AI化：AI代理持续监控目标防护策略变化，在检测到拦截迹象后立即调整攻击参数——源IP池分布、并发率、协议组合或攻击焦点——实现秒级策略再生与自适应突破。传统清洗系统依赖静态规则和人工介入，策略更新速度与攻击端存在数量级差距，防御方“永远慢一步”。现实案例：vire.cc的AI攻击方法：vire.cc平台已集成AI-TEMPEST方法，可基于AI自动为目标制定最有效的攻击方案和设置。还提供CDN-BREAK（绕过CloudFlare防护）、JS-ENGINE（浏览器模拟绕过交互验证）和PKT-FLOOD（高性能洪水攻击）。数据来源：NSFOCUS报告。H2：攻击技术的快速迭代——反射放大格局剧变。CLDAP反射的爆发式增长：| 攻击手段 | 2024年占比 | 2025年占比 | 变化 ||||||| CLDAP反射 | ~6% | 45.52% | 暴增 || DNS反射 | ~35% | 33.34% | 略降 || NTP反射 | ~30% | 16.18% | 显著下降 |CLDAP反射攻击从约6%飙升至45.52%，成为最关键的反射放大攻击手段。这一爆发式增长说明攻击者正快速迁移至放大倍数更高的反射源，技术迭代速度远超防御者的预期。防御启示：反射放大攻击的格局可在一年内发生根本性变化。防御者不能仅依赖对历史攻击手段的认知，需建立对新兴反射源的快速检测和缓解能力。多向量攻击已成主流：攻击者不再依赖单一攻击向量，而是通过2、3、4、5种及以上攻击向量组合发动协同攻击。其中2种攻击向量组合的增长最为显著，成为多向量攻击扩散的主要形式。随着攻击工具和攻击服务日益普及，多向量攻击已被集成到自动化攻击平台中。防御者面临的不是单一威胁，而是可灵活切换和叠加的攻击组合。数据来源：NSFOCUS报告。H2：API与AI基础设施——新兴攻击面的系统性风险。API成为“新靶标”的结构性原因：AI产品“轻前端、重后端”的架构使其成为攻击者的理想目标： 前端（API网关）暴露在公网，易于探测。 后端（大模型推理、向量数据库）资源消耗巨大。 即使一个请求的恶意流量很小，也可触发后端复杂计算和资源调度。DeepSeek遭受攻击时，攻击者精准选择10:00-22:00高峰时段，针对api.deepseek.com和chat.deepseek.com发起攻击。单次攻击持续30分钟至1小时以上，核心API服务严重中断。攻击手段主要为NTP反射、Memcached反射和SSDP反射。防御者的新挑战： API接口通常是核心业务的暴露面，攻击影响面大。 “小流量、高杀伤”的攻击模式绕过传统流量型DDoS防御。 需要API级别的精细化防护，而非仅依赖网络层清洗。数据来源：NSFOCUS报告。H2：僵尸网络生态——“老牌”主导与“新锐”崛起。“老牌”家族的双寡头格局：XorDDoS（48.99%）和Mirai（31.52%）合计占僵尸网络活动量的80%以上。这些家族的优势在于： 长期演化形成的稳定传播机制。 成熟的漏洞利用能力。 大规模调度能力。 持续运营能力。“新锐”家族的快速崛起： HailBot和RapperBot参与对DeepSeek的攻击后，活动量显著上升。 Httpbot、NutsBot、chachatea等新家族进入活动量前十。 NutsBot在React2Shell漏洞（CVE-2025-55182）公开后2天内完成武器化。防御启示： 不能仅关注“老牌”家族，新兴家族的崛起速度可能远超预期。 AI相关基础设施已成为僵尸网络的新目标。 漏洞武器化速度正在加快，从数周缩短至数天。H2：防御策略升级——从“特征匹配”到“智能对抗”。基于2025年DDoS攻击态势，防御者需实现以下系统性进化：第一步：从流量特征识别转向全网实时感知。AI驱动的攻击流量高度多样化、几乎没有可复用的特征痕迹。依赖指纹和阈值的清洗规则对此类攻击几乎无效。防御系统需要建立全网实时感知能力，理解攻击的上下文和意图而非孤立特征。第二步：从经验分析转向自动化威胁推理。AI攻击可实现秒级策略再生，人类分析师无法跟上这种速度。防御系统需要具备自动化威胁推理能力，自动识别攻击模式、推断攻击意图、生成缓解策略。第三步：从静态规则管理转向动态策略生成。攻击参数可在秒级调整，静态规则很快就会过时。防御系统需要具备动态策略生成能力，根据实时攻击特征自动生成针对性防护规则。第四步：关注API层和DNS层的精细化防护。API已成为攻击者的重点目标，端口53的攻击已连续两年上升。防御策略需扩展至API层的精细化防护和DNS基础设施的冗余与弹性建设。第五步：参与跨行业、跨区域的协同防御。地缘政治驱动的攻击已成为常态，单一组织的防御能力有限。需要加强跨行业、跨区域的威胁情报共享和协同响应。延伸阅读。以上为报告核心趋势分析，如需获取完整报告详细数据及全部案例，请访问下载页下载完整PDF报告。FAQ。Q1：AI驱动的DDoS攻击与传统DDoS攻击有何本质区别？传统DDoS攻击依赖带宽规模和固定攻击模式；AI驱动攻击在侦察、攻击和规避全链条实现智能化，可实时生成定制化载荷、模拟正常用户行为、秒级自适应突破防护策略。Q2：CLDAP反射攻击为何突然成为主流？CLDAP协议具有极高的放大倍数，且公网暴露的CLDAP服务器数量可观。攻击者发现其效率后迅速完成技术迁移，从约6%飙升至45%。Q3：为什么API接口容易成为DDoS攻击的目标？AI产品“轻前端、重后端”的架构使小流量恶意请求即可触发后端复杂计算和资源调度。API是核心业务的暴露面，可实现“单点突破、全链中断”。Q4：传统DDoS防御体系为何面临失效风险？AI驱动的攻击流量高度多样化、没有可复用的特征痕迹，且攻击参数可在秒级调整。传统依赖指纹、阈值和静态规则的清洗系统策略更新速度远慢于攻击端。Q5：防御者应优先升级哪些能力？全网实时感知能力（替代特征识别）、自动化威胁推理能力（替代经验分析）、动态策略生成能力（替代静态规则）、API层和DNS层精细化防护。数据来源说明。本分析基于NSFOCUS发布的《2025 Global DDoS Landscape Report》。数据来源于绿盟科技伏影实验室全球威胁狩猎系统2025年全年监测数据。