Verisign与Akamai 2016年第二季度报告显示，DDoS攻击频次与强度双升：平均峰值17Gbps，百G级持久攻击同比增75%，僵尸网络超30,000节点，NTP反射与UDP洪水成主流手段。攻击者已从早期“英雄黑客”演变为脚本化、规模化运作。
攻击规模与特征：数据实测
Verisign Q2 2016 报告记录平均攻击带宽 17Gbps，持久攻击达 100Gbps 以上，同比增幅 75%。攻击源来自全球分布的 30,000 余个僵尸节点，近半流量源自美国。Akamai 同期《互联网现状报告》显示 DDoS 事件同比激增 129%，NTP 反射放大与 UDP 洪水攻击占比显著上升。两大厂商独立观测均指向：攻击规模化、手法多样化、持续时间拉长。
攻击者画像演变：从好奇到工业化
1988 年 11 月 Morris Worm 由研究生 Robert Morris 编写，属首个大规模自我复制蠕虫，动机偏“英雄黑客”式探索与旗帜宣示。随后漏洞利用代码打包成脚本，催生“脚本小子”群体——无需深度技术即可发动攻击。原文未给出具体时间节点，但描述显示攻击门槛持续降低，恶意代码复用率高，攻击行为逐渐脱离单纯技术好奇，转向可复制、可规模化的操作模式。
动机推演：缺失的拼图
原文明确提出“谁在攻击、为何攻击”，但未给出定论性归因数据。历史演变暗示动机已从技术验证、自我展示，向勒索、竞争对手打击、政治诉求、掩护入侵等多元方向延伸。Verisign 与 Akamai 报告均未披露攻击者身份溯源细节，仅呈现流量侧特征。缺乏归因证据链，导致防御侧难以针对性部署威胁情报，只能依赖流量清洗与协议加固等通用手段。
对运维与网络工程师而言，核心启示是：防御体系必须覆盖 100Gbps 级清洗能力，重点加固 NTP、UDP 等反射放大面；同时建立攻击溯源协作机制，弥补厂商报告中归因数据的缺位，将被动清洗转为主动威胁狩猎。
原文: APNIC Blog（2016-09-21）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog