摘要

  • NETSCOUT把2026年上半年超过1 Tbps或1 Gpps任一阈值的1,095起攻击，与2025年上半年的79起相比，得出1,286%的增幅。这个算式成立，但它描述的是供应商观测到的特定阈值事件。
  • 这组数据不能证明总流量、受害者数量、服务中断、防护开支或行业收入也增长了1,286%。比特率与每秒数据包数是两种不同的压力指标，NETSCOUT的公开图表却把它们合并为一个总数。
  • NETSCOUT公开页面对2026年上半年的总攻击数也不一致：报告页称超过910万起，信息图给出9,146,021起，而Global Highlights实时页面显示4,267,744起。页面没有解释差异。

这项增幅只对应一个明确的计数口径

把分母和分子写出来，标题中的数字就容易核对：(1,095 − 79) ÷ 79 × 100，四舍五入后约为1,286%。近期计数约是此前的13.9倍。这个比值只适用于NETSCOUT选定的两种高阈值事件；它并不表示全球所有DDoS攻击增加了近14倍，也不表示每家运营商都经历了相同的变化。

79起是较小的比较基数，因此几十起的变化就会显著拉动百分比。1,095起高容量阈值事件仍是值得关注的信号，但不能把这个百分比直接当作整个行业的风险倍数。

两个门槛衡量的负载并不相同。1 Tbps表示每秒传输的数据量；1 Gpps表示每秒处理的数据包数量。大量小数据包可能带来与高带宽流不同的设备压力。NETSCOUT的信息图将超过任一门槛的攻击汇总，却没有说明其中多少只超过了带宽门槛、多少只超过了包速率门槛、多少两者都超过。公开摘要也没有说明同一起攻击越过两个门槛时是否去重。

2026年上半年有181天，简单平均下来约为每天6起超过阈值的攻击；2025年上半年则约为每天0.44起。这只是把半年度总数除以天数，不是每日观测序列。它无法说明事件是否集中在少数日期、是否同时发生，或是否到达某一客户的网络。

越过容量门槛不等于造成服务故障

高容量攻击可能被现有防护吸收。低于两个门槛的攻击也可能耗尽连接状态或应用资源。NETSCOUT报告页本身指出，链路未饱和时服务也可能受影响，分散到多个目的地的流量还可能避开按单个主机设定的阈值。这些说法说明评估防护不能只看峰值带宽，却不能证明这1,095起攻击造成了1,095次中断。

NETSCOUT还称，2026年上半年直接攻击占其观测攻击的64.40%；持续一分钟或更短的攻击占比则从2025年下半年的1.6%升至2026年上半年的3.1%。公司没有公布这两项指标在1,095起高容量攻击中的分布。不能据此说这些高阈值攻击都很短，或都属于直接攻击。

报告建议服务提供商在网络边缘部署专用缓解能力，采用选择性处置，并为并发攻击留出余量；它把本地防护与云端缓解描述为互补层。这些是值得评估的设计选项，但报告出自一家同时销售DDoS情报与防护产品的公司。商业位置应作为背景披露，它本身并不证明测量结果失真。

信息图还展示了从免费到每月五位数的DDoS-for-hire订阅价格阶梯，并称攻击按交付而非流量计费。这是供应商图表对攻击服务模式的描述，不是公开的成交价格调查：它没有给出代表性套餐、合同或交易记录，更没有提供防御服务的价格。因此不能据此估算防护厂商可获得的市场规模。

采购问题必须回到运营商自己的网络

运营商首先要梳理流量从哪里进入，以及每条链路后面承载哪些服务。关键数据包括相关网络边缘可用的比特率，以及缓解路径每秒能够检查和过滤多少数据包。还要确认缓解后能返回多少正常流量、哪家上游或云服务可以承接溢出流量，以及启用替代路径需要多久。

单看设备标称容量并不足够。常开检测可以在边缘本地处置一部分攻击；云端清洗可以承接分散攻击或超过本地能力的流量；两者结合能增加选择，但也带来系统集成、测试和协同成本。适合的组合取决于拓扑、客户服务承诺、可接受时延、并发需求、既有容量以及误拦截的代价。NETSCOUT的全球计数没有披露任何一家采购方的这些条件。

真正能支撑采购决策的是服务结果：发现与缓解用时、被误丢弃的正常流量、并发事件下服务能否维持、承诺容量、溢出价格，以及事件结束后的报告质量。合同应说明由谁交付清洁流量、保证多少容量和响应时间、超出承诺后如何计费。缺少这些连接数据，超过阈值的攻击增加只构成复核理由，不能直接换算成预算金额。

更大的攻击总数尚未得到解释

1,095与79的比较，与整体攻击总数的公开差异是两个问题。NETSCOUT报告页称，ATLAS在2026年上半年记录了超过910万起攻击；信息图列出精确数9,146,021起。但其Global Highlights页面同样标注2026年1月至6月，却显示4,267,744起，并列出较此前六个月变化14.13%。公开页面没有说明两组总数为何不同。

这不是四舍五入造成的差别。可能的解释包括定义、统计范围、页面更新时间或数据处理方式，但现有公开页面没有证实其中任何一种。应保留为未解释差异，而不是挑选一个总数来计算整体攻击增长。该差异说明，跨页面或跨期比较时必须核实计数定义；它本身并不会改写独立公布的1,095起高阈值计数。

因此，市场层面的可靠结论比标题窄得多：NETSCOUT在2026年上半年观测到比前一年同期更多的高容量阈值事件。运营商可以把它作为压力测试自身架构的理由。若要声称客户损失、防护采购或行业收入同步增长，还需要事故记录、缓解结果、合同、价格与厂商营收等证据。

公开来源