1 Tbps 級 DDoS 第二季急增：Cloudflare 免費防護夠唔夠用？

Cloudflare 今年第二季截停 805 宗流量超過 1 Tbps 嘅網絡層 DDoS，第一季係 130 宗，即係一季升咗 519%。呢個百分比睇落誇張，130 同 805 兩個實數其實更重要：超大型攻擊由偶爾出現，變成平均每日都有多宗。對網站管理員嚟講，防護仲靠人手見到流量急升先撳掣，反應時間已經追唔上。

點解 1 Tbps 攻擊突然密咗

Cloudflare 嘅分類數據顯示，反射同放大攻擊同期回升，可能亦有份推高超大型攻擊數目。Cloudflare 話，2026 上半年有 34.3% 網絡層攻擊同 DNS 有關；DNS Flood 喺第二季佔比升到 40%，CLDAP Flood 亦按季急升 580%，排到第三。攻擊者會冒認受害者 IP，向公開連線嘅 DNS resolver 或 LDAP-over-UDP 端點送出細小查詢，再借伺服器回傳大得多嘅資料。每部機貢獻唔算多，一大批設定鬆散嘅設備疊埋，就可以砌出 Tbps 級流量。

另一份 NETSCOUT 研究亦見到相近方向。佢哋喺 2025 下半年記錄超過 800 萬宗 DDoS，峰值去到 30 Tbps；整體宗數同上半年相差唔大，極端攻擊嘅容量就愈推愈高。換句話講，Cloudflare 嗰 519% 唔代表成個互聯網所有 DDoS 一齊暴升，較合理嘅解讀係最極端嗰批攻擊突然大咗好多，而大型 IoT botnet、受入侵 router 同公開放大器令攻擊者更易堆流量。

圖片：Cloudflare

政府部門升上第九，個排名要識睇

據 iThome 報道，Cloudflare 按自己截停嘅 HTTP DDoS 請求比例計算，政府部門由第一季第 29 位升到第二季第 9 位。Cloudflare 將變化同 2 月底美國、以色列針對伊朗嘅軍事行動，同埋其後嘅黑客行動主義連起來；傳媒、製作同出版業就連續兩季排首位。呢啲係 Cloudflare 客戶流量入面嘅全球產業分類，唔代表香港政府排名，亦唔等於全網受襲機構數目，引用時唔可以抽走量度方法。

一般網站用免費 Cloudflare 夠唔夠

純 HTTP／HTTPS 網站、網店或者內容站，如果流量真係全經 Cloudflare 代理，免費方案已有自動、唔按流量收費嘅 L3 至 L7 DDoS 防護。要擋純粹靠大流量塞爆網站嘅攻擊，呢層基本防護對大部分中小網站都算實用。不過免費版唔會順手解決所有可用性風險：登入、搜尋、結帳同 API 呢類高成本路徑仍可能俾細流量拖慢；電郵、VPN、遊戲 server 同其他非 HTTP 服務亦未必經同一層代理，唔可以見到橙雲就當成套系統安全。

最常見缺口係 源站 IP 仲公開。舊 DNS 紀錄、DNS-only 子網域、電郵服務共用同一部機，甚至歷史紀錄，都可能畀攻擊者搵到真正 IP，跟住繞過 Cloudflare 直接打入去。網站前面頂得住 1 Tbps 都冇用，源站條線幾 Gbps 已經塞死。所有可代理嘅 A、AAAA 同 CNAME 紀錄要開代理，源站 firewall 只收 Cloudflare IP；如果個 IP 曾經公開或受襲，亦要評估換 IP。

管理員而家要檢查五樣嘢

第一，確認 DDoS managed rules 維持預設高敏感度同 mitigation action，唔好因為一次誤擋就成組關掉。第二，針對登入、搜尋、購物車同 API 加 rate limit、WAF 規則同合理 cache。第三，開啟 HTTP DDoS 告警；Cloudflare 文件顯示所有方案都有標準告警，截停超過 100 requests per second 嘅 HTTP 攻擊時可寄電郵。第四，同時監察 5xx、源站 CPU、頻寬同連線數，因為「Cloudflare 已擋」唔保證應用完全冇受影響。

第五，預先寫好聯絡 hosting、封鎖直連、切去靜態維護頁同恢復服務嘅次序，再定期試一次。核心服務可以考慮異地源站或另一條經測試嘅接管路線，但多 CDN 同多 DNS 供應商會令 TLS、cache、WAF 規則同故障切換複雜好多，冇演練過嘅備援好易喺出事時一樣用唔到。免費 Cloudflare 可以做第一層，之後頂唔頂得住，就睇源站有冇藏好、告警有冇人收，同應變流程有冇真係試過。

參考來源

• iThome — 2026年Q2逾1 Tbps DDoS攻擊季增519%，政府部門遭HTTP DDoS攻擊排名升至第9 — original report
• Cloudflare DDoS Threat Report H1 2026 — 主要數據來源，交代統計口徑、攻擊向量、產業比例同地緣事件背景。
• Cloudflare DDoS Protection Overview — 核對各方案嘅標準、唔按流量收費 DDoS 防護範圍。
• Cloudflare：Proactive DDoS Defense — 支援源站封鎖直連、managed rules、WAF 同 rate limit 等設定建議。
• Cloudflare：DDoS Alerts — 核對標準 HTTP DDoS 告警門檻、內容同方案限制。
• NETSCOUT DDoS Threat Intelligence Report — 另一間保安供應商嘅研究，用嚟對照大型攻擊容量同 botnet 趨勢。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。