01 · 档案使用说明
本档案库按"国家级影响／容量型纪录／应用层纪录／执法打击／国内治理"五类整理标志性事件。每则案例标注时间、主体、手法、影响、处置、启示六要素，所有事实均来自执法机关通报、受影响机构官方声明、权威安全厂商披露或同行评审论文，口径分歧处予以注明。本档案用于检测规则验证、防御基线评估与治理决策参考，不含任何攻击操作细节。
02 · 国家级影响案例
案例2.1：爱沙尼亚DDoS事件（2007年4—5月）
- 事实：因"青铜战士"纪念碑迁址引发外交争端期间，爱沙尼亚政府、议会、银行、媒体与电信服务商网站遭多波DDoS攻击，网上银行服务大面积中断数天，依赖网络的社会运转受严重冲击。攻击使用了全球范围内被控僵尸网络（含租赁的Botnet资源），爱方指责俄罗斯政府参与，俄方否认；攻击者归属至今存在争议。
- 处置与影响：爱沙尼亚一度考虑援引北约集体防御条款讨论；事件直接推动北约于2008年在塔林成立合作网络防御卓越中心（CCDCOE），"网络攻击可构成国家安全事件"成为国际共识起点。
- 启示：关键依赖（金融/政务在线服务）的单点可用性即国家韧性；国家级影响不需要国家级工具——租赁Botnet即可达成。
案例2.2：俄格战争网络攻击（2008年8月）
- 事实：南奥塞梯冲突爆发前后，格鲁吉亚政府网站遭DDoS攻击与篡改，总统府网站被迫迁移至境外服务器（含爱沙尼亚方面协助）。攻击与军事行动在时间上高度同步，被视为"网络战与常规战协同"的早期样本。
- 启示：政府门户类"低防护高象征价值"目标在冲突窗口期必然首当其冲；应急迁移与多地域冗余须事先演练。
案例2.3：Dyn DNS攻击事件（2016年10月21日）
- 事实：Mirai僵尸网络分三波攻击美国DNS服务商Dyn，Dyn声明攻击涉及数千万级IP地址；Twitter、GitHub、Netflix、Spotify、Reddit、Etsy等大量依赖其解析服务的网站与App在当日持续不可用。攻击规模峰值估计数百Gbps级（各方口径不一）。
- 处置：Dyn联合上游运营商与清洗服务商缓解，服务当日逐步恢复。
- 启示：攻击DNS实现"杠杆式"放大——打瘫一家服务商即波及全网；这是现代互联网关键节点依赖风险的经典教材，直接支撑第6页"上游多样性"设计原则。
03 · 容量型纪录案例
| 时间 | 事件 | 关键事实 | 防御要点启示 |
|---|---|---|---|
| 2016.9 | Krebs on Security遭攻击 | Mirai峰值约620Gbps（初期报道665Gbps，Akamai分析口径约620—623Gbps），当时历史纪录；Akamai在持续攻击后宣布停止为该站点提供免费防护，站点随后转入Project Shield | 纪录的诞生即IoT僵尸网络时代开端；清洗资源可持续性也是防御组成部分 |
| 2016.10 | OVH遭攻击 | 法国云服务商OVH创始人公开披露遭遇约1.1Tbps攻击，由约14万台以上摄像头/DVR类设备组成（其公开披露口径） | 单服务商面临Tbps级攻击已成现实；Anycast+分布式清洗为唯一可行承接形态 |
| 2018.2.28 | GitHub遭Memcached放大攻击 | 峰值1.35Tbps（Akamai披露），Memcached UDP反射放大所致，响应包达上万倍放大系数；数日后NETSCOUT（Arbor）披露观测到1.7Tbps级同类攻击 | 互联网存量服务的"隐形放大面"可在数日内被武器化；暴露面治理速度决定风险窗口（第4页） |
| 2020.2 | AWS缓解2.3Tbps攻击 | AWS Shield披露缓解当时公开纪录级的2.3Tbps UDP反射攻击（CLDAP等向量），持续数天、多向量组合 | 反射资源总量决定容量型攻击上限；超大规模攻击的持续化趋势明确 |
| 2021.11 | Azure缓解3.47Tbps攻击 | 微软披露缓解针对亚洲客户的3.47Tbps级UDP反射攻击（2021年11月），为当时公开披露的最大规模DDoS之一 | 纪录约每两年刷新一个量级；防御规划必须按"超出现有纪录"预留弹性 |
04 · 应用层纪录案例
| 时间 | 事件 | 关键事实 | 防御要点启示 |
|---|---|---|---|
| 2021.7 | Cloudflare拦截Mēris攻击 | 峰值约1720万rps（Cloudflare披露），利用HTTP管线化技术 | 应用层纪录进入千万rps时代；单连接请求密度管理成为新控制点 |
| 2021.9 | Yandex遭攻击 | 峰值约2180万rps（Qrator Labs分析披露），归因Mēris僵尸网络 | 肉鸡全部来自2018年已修复的MikroTik漏洞——补丁≠修复的治理悖论（第3页） |
| 2022.6 | Mēris HTTPS攻击纪录 | Cloudflare披露拦截Mēris发起的约2600万rps HTTPS DDoS | 加密化攻击使内容检测失效；TLS指纹与速率行为分析成为主力手段 |
| 2023.8—10 | HTTP/2 Rapid Reset攻击 | CVE-2023-44487：滥用RST_STREAM帧重置机制绕过并发流限制。Google披露峰值约3.98亿rps（攻击发生于2023年8月、10月10日协调披露），Cloudflare披露约2.01亿rps，AWS披露约1.55亿rps | 协议实现缺陷可在零僵尸网络规模下制造亿级rps——协议栈安全更新必须纳入抗D基线 |
05 · 执法打击案例
| 时间 | 行动/事件 | 方式与结果 |
|---|---|---|
| 2010.2 | Waledac僵尸网络瓦解（微软主导） | 经美国法院命令接管其域名，数日切断C2通信；确立"司法命令+域名接管"范式 |
| 2014.6 | Operation Tovar（GameOver Zeus） | FBI联合多国执法与产业伙伴：sinkhole接管P2P网络、合作破解其DGA，同步瓦解其搭载的CryptoLocker；运营者Bogachev被起诉并遭FBI通缉（悬赏300万美元）——证明P2P僵尸网络同样可治理 |
| 2016.12 | Avalanche网络摧毁（欧洲刑警组织） | 多国同步行动先sinkhole后抓捕，瓦解运营约七年、支撑海量钓鱼/垃圾邮件/恶意软件分发的基础设施；执法通报称其每日约50万台受控计算机（欧刑警与FBI公开口径） |
| 2017.12—2018.9 | Mirai作者司法追责 | 美国司法部公布Paras Jha、Josiah White、Dalton Norman三人认罪协议（2017年12月），法院判处五年缓刑、社区服务并承担合计约12.7万美元赔偿金（2018年9月）——对IoT僵尸网络运营形成标志性司法判例 |
| 2020.10 | TrickBot基础设施瘫痪（微软主导） | 微软联合安全厂商与电信运营商以法院命令方式瘫痪其大部分C2；数月后残余逐步恢复，后成为Emotet重建的跳板 |
| 2021.1 | Emotet跨国打击（欧洲刑警组织协调） | 七国联合接管C2，执法机构随后向受控设备推送卸载模块；2021年底被多家机构报告复活并持续活跃——"基础设施型家族"打击难度的典型样本 |
| 2022.12 | Operation PowerOFF | FBI与欧洲刑警组织等联合，关停48个Booter平台域名并在美英荷波等多国实施逮捕——直接打击DDoS攻击的需求侧市场 |
| 2023.8 | Operation Duck Hunt（Qakbot） | FBI主导接管Qakbot C2并下发卸载指令；司法部通报清理受感染计算机超70万台、查获逾860万美元加密货币 |
| 2016—2017 | vDOS平台案 | Krebs公开调查揭露该Booter平台（其数据库显示两年收入超60万美元）后，两名以色列运营者在以色列被定罪并判处社区服务与缓刑——暴露DDoS租用经济的真实规模 |
06 · 国内治理实践
- 刑事追责路径成熟：《刑法》第286条（破坏计算机信息系统罪）是DDoS攻击的主要罪名依据：对计算机信息系统功能进行干扰、造成系统不能正常运行且后果严重的，处五年以下有期徒刑或拘役；后果特别严重的处五年以上有期徒刑。2011年两高司法解释（法释〔2011〕19号）明确了"后果严重/特别严重"的量化标准（涉及系统数量、不能正常运行时长等维度）；提供DDoS攻击平台、技术支持者可适用第285条（提供侵入、非法控制计算机信息系统程序、工具罪）、第287条之二（帮助信息网络犯罪活动罪，2015年《刑法修正案（九）》增设）。各地法院公开裁判文书显示，搭建/运营攻击平台、受雇攻击竞争对手、以攻击相威胁敲诈勒索等类型案件均已形成稳定判例。
- 专项行动持续压制：公安部"净网"系列专项行动持续将黑客攻击破坏、DDoS黑产、物联网卡黑卡等纳入整治范围；针对Booter类"压力测试平台"的清理贯穿多次行动。
- 监测通报与协同处置：CNCERT/CC长期运行国家互联网网络安全监测体系并发布DDoS攻击相关分析通报；三大基础电信运营商依托骨干清洗能力（如电信云堤）为政府与企业提供抗D服务，并在重保期间承担国家级流量保障。
- 关键信息基础设施保护：《关键信息基础设施安全保护条例》（2021年9月施行）将"保障关键信息基础设施免受攻击、侵入、干扰和破坏"确立为法定要求，DDoS防御能力成为能源、电信、金融等运营者合规建设的标准项。
07 · 案例共性规律
- 纪录事件的技术驱动切换：2016年（IoT肉鸡）→2018年（Memcached放大面）→2023年（协议实现缺陷）。每一轮纪录都暴露一类被忽视的"免费资源"，防御方必须保持对新兴放大面与协议缺陷的敏感（第4页）。
- 杠杆点始终是关键依赖：Dyn（DNS）、爱沙尼亚（银行）、Mēris（HTTP服务）共同说明：攻击者追求的不是流量纪录而是业务停摆的最大杠杆率。防御评估应从"我的关键依赖是什么"出发，而非从"我能抗多少G"出发。
- 执法行动的有效性分层：域名/C2接管对集中式家族立竿见影（Waledac），对P2P与多基础设施家族则需要"接管+渗透+司法"组合（GOZ）；需求侧打击（PowerOFF）压缩黑产市场但无法根除动机。治理须组合施策（第8页）。
- 复活与重建是常态而非例外：Emotet（2021年底复活）、TrickBot残余被复用说明：代码与基础设施均可重建，人才与利益链才是治理的真正对象。