最近DDoS攻击的玩法又变了。以前常见的是单点大流量砸过来，现在更多是把流量摊薄，同时打你一大片IP地址。这种叫地毯轰炸式攻击，单看每个IP的流量都不高，传统阈值检测很容易漏掉，但合在一起就能把你的出口带宽或核心链路拖垮。

2025年一整年，超大容量攻击规模涨了700%以上。有记录的峰值到了31.4Tbps，整个过程才持续35秒。攻击源主要是Aisuru-Kimwolf这类僵尸网络，估计有100万到400万台设备，很多是被感染的Android TV、路由器和IoT设备。它们特别爱用UDP carpet bombing：流量随机化包属性，目标分散到多个IP甚至整个网段，再配合hit-and-run短时爆发。单次看起来像背景噪音，累计起来却能让服务商或电信客户直接卡顿甚至断服。

更麻烦的是，这种攻击经常不只是单纯搞瘫痪。攻击流量制造的噪音会把安全团队的注意力全吸过去，同时掩护数据窃取、横向移动或者投递勒索软件。有案例显示，攻击者先用DDoS把日历服务之类的平台打乱，然后在混乱中偷走数百万用户数据。三倍勒索（加密+数据泄露+DDoS威胁）也越来越常见。IT团队忙着清洗流量时，后门已经埋好了。

应用层那边也不闲着。攻击者用AI生成更贴近正常行为的请求，再混加密流量和API滥用，绕过简单的签名规则。游戏、电信、金融、电商这些对延迟敏感的行业中招特别多，因为他们的业务一停就直接亏钱。

面对这种新常态，单纯靠单点高防或者按需清洗已经不够用了。得上多层、始终在线的防护，而且要能覆盖多IP、多协议。

先从边缘开始。把业务挂到具备Anycast和全球节点的高防CDN上，流量一进来就在最近的节点被分流和初步过滤。这样即使攻击是地毯式的，分散到多个边缘节点，单个节点压力也不会爆。高防服务器则适合作为源站或者游戏/API的直连后端，提供更粗暴的大带宽清洗能力。基石云这类服务在这块的通用能力就是把CDN加速和服务器级清洗结合起来，让你不用自己维护一整套清洗中心。

检测环节必须从“单IP阈值”升级到“全网段行为基线”。传统设备看到每个IP只有几十Mbps就放行，结果几千个IP加起来就是几百G甚至T级。需要能同时观察整片地址范围的异常模式：源IP分布、协议比例、包大小随机度、请求路径相似度。机器学习辅助的基线能更快抓出这种低速分散攻击。一旦确认，就自动触发精准过滤，只拦恶意流，尽量不伤正常用户。

实操部署时有几个关键点。第一，始终开启防护，别等攻击来了再切。短时爆发只有几十秒，人工响应根本来不及。第二，多层叠加：网络层拦UDP/SYN/ICMP洪水和放大反射，应用层用WAF、速率限制、机器人挑战对付HTTP洪水和API滥用。针对地毯轰炸，还要支持网段级清洗策略，而不是一个IP一个规则。第三，源站IP严格隐藏，所有入口走高防节点，攻击者打不到真实机器。第四，监控要全链路：边缘节点流量、源站健康、业务关键指标（登录成功率、交易延迟）一起看。一旦出现多IP同时异常，立刻告警并自动进入强化模式。

常见误区不少。有人觉得“我带宽够大，扛得住小流量”，结果地毯轰炸把链路打满却触发不了告警。有人只开了单IP防护，攻击一换目标就失效。还有人把清洗中心当唯一手段，结果清洗本身被打爆或者延迟飙升，用户体验照样崩。更危险的是只盯着DDoS，忽略了同期的异常登录、异常数据外传。响应计划必须把“DDoS期间的二次攻击排查”写进去，包括快速隔离可疑主机、检查日志是否有横向移动痕迹。

场景举例。游戏服经常被短时地毯轰炸，玩家突然掉线一堆。部署时把游戏协议走高防服务器的四层防护，Web后台走高防CDN的七层清洗，再加地理围栏和会话行为分析。电商大促期间API容易被滥用，这时候高防CDN的边缘速率限制和AI机器人识别就很关键，正常用户几乎无感，异常请求直接被挡在外面。电信或云服务商自己的基础设施更要关注网段级防护，因为攻击者经常整片ASN一起打。

运维日常可以做这些：定期演练短时大流量和多IP同时攻击场景，验证自动切换和误报率；保持威胁情报同步，及时拉黑已知僵尸网络相关的代理和住宅IP段；对IoT和边缘设备做好加固，减少自己变成别人僵尸网络的一部分；日志留存和关联分析要覆盖DDoS时段，方便事后复盘是否有掩护行为。

基石云在高防服务器和高防CDN方向的通用能力，正好覆盖了边缘清洗、多协议防护和弹性扩展这些需求。业务方不用从零搭清洗中心，也能快速上线始终在线的多层防护。实际用的时候，建议先做流量画像，确认自己的正常基线，再调防护策略，避免一上来就过严影响体验。

攻击规模还在涨，持续时间却越来越短，手法也更隐蔽。地毯轰炸只是当前流行的一种，后面肯定还会有更多变种。关键是别再指望“扛一下就过去了”，而是把防护做成常态化的基础设施。多层、自动化、全网段视野，再加一点对掩护攻击的警惕，才能在下一次短时爆发里稳住业务。实操中多测、多调、多复盘，比单纯堆带宽靠谱得多。