DDoS-атаки обрушивают сервисы до того, как заполнится канал — число инцидентов выросло на четверть

С января по июнь 2026 года Netscout зарегистрировала свыше 9,1 миллиона DDoS-атак по всему миру. Это почти на четверть больше, чем за тот же период годом ранее, и новый рекорд, зафиксированный в отчёте DDoS Threat Intelligence Report. Особенно резко выросло число мощных атак.

Инциденты с пиковой нагрузкой выше 1 Тбит/с или 1 Гпакетов/с участились на 1286% в годовом выражении. Значительную часть этого роста обеспечили операторы ботнетов, связанных с группировками Aisuru, Kimwolf, Jackskid и их преемниками. Теперь злоумышленникам требуется меньше заражённых устройств, чтобы запустить разрушительную атаку.

«Распространение резидентных прокси и коротких атак с высокой частотой запросов, запускаемых через DDoS-для-найма, делает традиционные грубые сетевые фильтры неэффективными, — пояснил Хардик Моди, вице-президент по инженерным решениям DDoS и команде анализа угроз ASERT в Netscout. — Провайдерам и предприятиям нужны более тонкие, избирательные методы подавления и увеличенные мощности очистки трафика на границах сети, чтобы противостоять качественному усложнению атак». Многие из таких атак перегружают сетевое оборудование огромным количеством пакетов, запросов и соединений.

Межсетевые экраны и балансировщики нагрузки исчерпывают ресурсы ещё до того, как будет заполнена полоса пропускания канала. Атаки, доставляющие миллиарды пакетов в секунду, уже выводили из строя отдельные компоненты маршрутизаторов — линейные карты, на которых отсутствовали защитные механизмы. Когда такая карта перестаёт передавать трафик, отключиться могут клиенты и сети, которые вовсе не были целью атаки.

IPv6 сохранил примерно ту же долю наблюдаемых атак, что и годом ранее, но сами атаки стали более требовательными. В первой половине 2026 года система ATLAS впервые зафиксировала IPv6-атаку мощностью более 1 Тбит/с, а объём активного подавления IPv6-атак вырос более чем на 300%. Атаки прямого пути, при которых трафик направляется непосредственно на цель, составили 64,4% от всех зарегистрированных инцидентов.

Их доля растёт третий полугодовой период подряд. Ковровые бомбардировки выросли с 3,97% в первой половине 2025 года до 4,54% в первой половине 2026-го. При таких атаках трафик распыляется по множеству адресов внутри сетевого префикса.

Нагрузка на каждый отдельный адрес может оставаться ниже порога обнаружения, тогда как суммарный объём перегружает сеть или общую инфраструктуру. Провайдеры применили средства подавления к 23,12% наблюдаемых атак — годом ранее этот показатель составлял 22,35%. Поскольку общее число атак выросло, увеличилось и количество как отражённых, так и достигших цели инцидентов.

Защита на стороне операторов обычно в первую очередь ориентирована на общую инфраструктуру, а защита клиентов предоставляется через специализированные DDoS-сервисы. Специалисты Netscout подчёркивают, что провайдерам требуется больше выделенных фильтрующих мощностей на границах сети, а предприятиям — защита, расположенная как можно ближе к их сервисам. Платформы DDoS-для-найма предлагают подписки, пробные периоды, каталоги методов и панели управления с преднастроенными параметрами, что сводит технические усилия к минимуму.

Во всех изученных сервисах форма запуска по умолчанию настроена на одну атаку длительностью 60 секунд с выбранным бесплатным методом. Доля атак продолжительностью до одной минуты выросла с 1,6% во втором полугодии 2023 года до 3,1% в первой половине 2026-го, хотя большинство инцидентов по-прежнему длятся дольше. Продавцы рекламируют методы, якобы способные обходить конкретные защитные механизмы, делая упор на число пакетов, соединений и запросов, а не только на полосу пропускания.

Резидентные прокси-сети пропускают трафик через потребительские устройства с адресами домашних и мобильных подключений. Исследователи сопоставили данные о прокси-инфраструктуре с телеметрией DDoS и выявили источники, участвующие в атаках. Часть пользователей сознательно соглашается делиться подключением за плату, другие становятся прокси-хостами через приложения, которые включают такую функцию без явного согласия, либо через оборудование с предустановленным прокси-софтом.

Блокировка по IP-адресам ненадёжна, поскольку домашние адреса меняются, а клиенты прокси часто переключаются между узлами. Защитники могут выявлять скоординированное поведение — источники, обращающиеся к одной цели, синхронно меняющие интенсивность или повторяющие характерные паттерны протоколов. Отслеживание транзитных систем, с которыми связываются клиенты прокси, помогает провайдерам обнаруживать хосты-участники в собственных и дочерних сетях.

Адреса таких систем часто остаются стабильными неделями или месяцами. Для обнаружения и подавления вредоносного трафика с этих хостов нужны отдельные инструменты, а грубые блокировки могут нарушить работу обычных пользователей, когда атака затрагивает множество адресов. Исходящий и транзитный атакующий трафик способен ухудшить работу сетей, через которые он проходит, поэтому операторам и предприятиям необходимы более избирательные методы фильтрации непосредственно на границах.