Кратко

  • Рост на 1 286% сопоставляет 1 095 атак, превысивших хотя бы один из двух порогов в первом полугодии 2026 года, с 79 атаками за первое полугодие 2025-го. Опубликованная арифметика верна; она описывает пересечения порогов, а не трафик, пострадавших, простои, расходы или выручку.
  • Операторам эта цифра может послужить поводом отдельно проверить запас пропускной способности и обработку пакетов. Она не показывает, как часто атаковали конкретную сеть, сработала ли защита и сколько должен вложить определённый покупатель.
  • Страницы NETSCOUT расходятся в оценке общего числа атак: в отчёте — более 9,1 млн, в инфографике — 9 146 021, а на обновляемой странице Global Highlights для января—июня 2026 года — 4 267 744. Публичного объяснения нет. Это расхождение касается общего итога и само по себе не опровергает отдельную цифру 1 095.

Большой процент и узкая единица измерения

Расчёт прост: (1 095 − 79) ÷ 79 × 100 даёт примерно 1 286%. Число за последнее полугодие примерно в 13,9 раза выше предыдущего. Инфографика NETSCOUT к выпуску 17 считает атаки, преодолевшие 1 Тбит/с или 1 Gpps. Из этого не следует, что весь ландшафт DDoS вырос в тринадцать раз, что каждый оператор увидел такую же динамику или что ущерб от атак увеличился во столько же раз.

Знаменатель невелик. При исходных 79 событиях несколько десятков дополнительных случаев сильно меняют процент. Но 1 095 наблюдений — значимый операционный сигнал: в телеметрии NETSCOUT чаще появлялись атаки такого масштаба. Это изменение выбранной группы, а не универсальный коэффициент риска.

Два порога отражают разные нагрузки. Терабиты в секунду описывают поток данных, а миллиард пакетов в секунду — нагрузку на их обработку. Поток небольших пакетов способен перегрузить оборудование иначе, чем поток, занимающий широкую полосу. Инфографика объединяет оба критерия, но не показывает, сколько атак превысили только порог полосы, только пакетный порог или оба сразу. Не объяснено и то, как учитывается событие, пересёкшее оба порога. По общей цифре нельзя отдельно рассчитать нужную пропускную способность или производительность обработки.

В первом полугодии 2026 года было 181 календарный день. Деление итогового числа на дни даёт около 6,0 подходящей под пороги атаки в день; за предыдущие 181 день — около 0,44. Это лишь среднее. Оно ничего не говорит о распределении по дням, одновременности событий или присутствии атаки в сети определённого клиента. Формулировка «несколько раз в день» в инфографике не означает равномерный ежедневный ритм.

Пересечение порога — не то же самое, что отказ сервиса

Подсчёт описывает события в наблюдениях NETSCOUT, а не число компаний, потерявших доступ к услугам. Атака может превысить порог и быть отражена защищённой сетью. Событие меньшего масштаба способно исчерпать состояние соединений или ресурсы приложения. Сама страница отчёта указывает, что сервис может пострадать ещё до насыщения канала, а распределённый по адресатам трафик может обходить пороги, установленные для отдельного хоста. Это повод смотреть не только на пиковую полосу, но не доказательство 1 095 соответствующих простоев.

NETSCOUT также сообщает, что прямые методы составили 64,40% всех наблюдавшихся атак, а доля атак длительностью не более минуты выросла с 1,6% во втором полугодии 2025 года до 3,1% в первом полугодии 2026-го. Эти цифры относятся к более широкой совокупности. Отдельной разбивки для 1 095 атак выше порогов нет. Нельзя перемножать показатели и утверждать, что все высокоёмкие атаки были короткими или прямыми.

Рекомендации показывают коммерческую рамку отчёта: NETSCOUT выступает за выделенные средства отражения атак на сетевой границе, выборочные меры и запас на одновременные события; локальную защиту и облачную очистку она описывает как взаимодополняющие. Это возможные архитектурные решения, которые стоит оценить. Но NETSCOUT продаёт и аналитику угроз, и защиту от DDoS. Коммерческая позиция — важный контекст, а не доказательство недостоверности измерений.

В инфографике есть и шкала месячных цен на аренду атак — от бесплатных до пятизначных сумм; там сказано, что продаётся доставка атаки, а не её объём. Это утверждение компании, а не опрос о совершённых сделках, типичных тарифах или условиях договоров. Цены на защитные сервисы не приводятся. Рассчитать потенциальную выручку поставщиков по этой шкале нельзя.

Покупателю нужно соотнести цифру со своей сетью

Проверка мощности начинается с карты точек входа трафика и сервисов, зависящих от каждого канала. Важно знать устойчивую полосу на соответствующей границе и число пакетов, которое может проверять и фильтровать путь защиты. Оператору также нужны данные о том, сколько очищенного трафика можно вернуть, какой вышестоящий провайдер или облачный сервис принимает избыток и сколько занимает его подключение. Отдельный вопрос — сколько легитимного трафика потеряется при ужесточении фильтрации.

Номинальная ёмкость одного устройства не задаёт архитектуру. Можно постоянно обнаруживать атаки на собственной границе, направлять выбранный трафик в сервис очистки или сочетать локальное оборудование с внешней защитой. Выбор зависит от топологии, обязательств перед клиентами, допустимой задержки, одновременного спроса, уже установленной ёмкости и цены ложных срабатываний. Глобальный итог NETSCOUT не описывает условия отдельного покупателя.

Для закупки важнее показатели, связанные с работой сервиса: время обнаружения и смягчения атаки, доля потерянного легитимного трафика, сохранение доступности при параллельных событиях, контрактная ёмкость, доплата за превышение и качество отчёта после инцидента. В договоре следует определить, кто возвращает очищенный трафик, какой объём и время реакции гарантированы, как тарифицируется избыток и какие подтверждения поставщик предоставит.

Без такой связи между событием, результатом и условиями договора рост пороговой группы может оправдать проверку, но не определяет бюджет. Он может побудить проверить зависимость от единственного маршрута или зафиксировать пределы обработки пакетов. Но из него не следует, что оператору пора покупать определённое число дополнительных терабит, менять поставщика или заключать многолетний договор облачной очистки.

Общий итог атак публично не согласован

Сравнение высокоёмких атак можно оценивать отдельно от расхождения в общем количестве. Страница выпуска 17 сообщает, что ATLAS зафиксировала более 9,1 млн атак в первом полугодии 2026 года. В инфографике указано 9 146 021. На обновляемой странице Global Highlights за январь—июнь отображается 4 267 744 атаки и изменение на 14,13% относительно предыдущих шести месяцев. Публичные материалы не объясняют разницу.

Расхождение слишком велико, чтобы списать его на округление. Возможны различные определения, охват, время обновления или способ агрегации, однако ни одна из этих версий не подтверждена просмотренными источниками. Выбирать одно число и рассчитывать по нему общий рост DDoS было бы необоснованно. Это несоответствие делает границы серий важными для сравнения, но автоматически не отменяет отдельно опубликованные 1 095 пересечений порогов.

Обоснованный рыночный вывод уже, чем заголовок: по телеметрии NETSCOUT, в первом полугодии 2026-го было больше атак выше выбранных порогов ёмкости, чем за сопоставимый период. Операторы могут использовать это как повод проверить готовность. Для утверждений об ущербе, закупках или росте отраслевых доходов нужны другие данные — инциденты, результаты отражения атак, договоры, цены и выручка.

Что подтверждают открытые источники

Надёжный вывод конкретен: NETSCOUT насчитала больше атак выше выбранных высоких порогов в первой половине 2026 года. Это повод задать более точные вопросы о работе сети, а не подсчёт ущерба и не прогноз расходов на киберзащиту.