Крупное число в заголовке ещё не объясняет, что произошло с угрозой. Сначала нужно понять, что посчитали, на какой выборке и по какому правилу. Этот разбор поможет сравнить два отчёта без ложной точности и заполнить короткий паспорт сопоставимости.
Начните с вопроса, на который нужен ответ
«Число атак выросло» может означать несколько разных вещей: система обнаружила больше отдельных векторов, аналитики объединили события в большее число инцидентов, увеличилась клиентская база или изменился порог включения в статистику. Эти объяснения не исключают друг друга. По одной итоговой цифре выбрать между ними нельзя.
Поэтому перед расчётом полезно записать вопрос целиком. Например: «Изменилось ли число инцидентов на одной и той же группе защищаемых ресурсов за два одинаковых периода?» Для редакционного материала вопрос может быть другим: «Какие изменения описал конкретный провайдер в своей области наблюдения?» Второй вопрос тоже содержателен, но не даёт ответа о всём интернете или риске для отдельной компании.
Вопрос задаёт необходимый набор данных. Для сравнения инцидентов нужны одинаковые определения инцидента. Для оценки нагрузки — сопоставимые показатели трафика. Для влияния на бизнес — данные о доступности и выполнении пользовательских операций. Число срабатываний защиты не заменяет ни один из этих результатов автоматически.
Назовите единицу: запрос, вектор, инцидент
Один инцидент может включать несколько сетевых или прикладных векторов. Один вектор способен породить множество запросов или пакетов. Из этого не следует универсальное соотношение: «одна атака равна определённому числу запросов». Оно зависит от того, как источник выделяет и объединяет события.
Для сравнения важно не привычное слово «атака», а его определение в данном отчёте. Отдельно проверьте, объединяет ли методика последовательные волны, разные протоколы, несколько адресов или ресурсов одного клиента. Значение имеет и правило окончания события: например, сколько времени должно пройти без выявленной активности. Если правило не раскрыто, не придумывайте его по графику.
Особенно легко ошибиться на стыке периодов. Если раньше считали отдельные векторы, а теперь — сгруппированные инциденты, новая серия может быть полезнее для анализа. Однако соединять её со старой одной непрерывной линией без пересчёта нельзя. Пометка о смене методики должна стоять рядом с графиком, а не прятаться в конце презентации.
Рабочее правило: перепишите определение из методики своими словами и сохраните ссылку на точный раздел. Если определения нет, запишите «не раскрыто». Одинаковое название метрики ещё не делает её одинаковой.
Уточните, какая часть мира попала в выборку
Провайдер видит трафик в своей инфраструктуре, у подключённых клиентов или в другой описанной области наблюдения. Это ценные данные, но границы видимости нужно сохранить в выводе. Изменение портфеля клиентов, географии, отраслей и подключённых сервисов может менять итоговые значения независимо от изменения активности против конкретного ресурса.
Сравнивая два периода одного источника, спросите, оставалась ли выборка постоянной. Подключение крупного клиента способно увеличить суммарный трафик и число обнаружений. Сравнивая разных поставщиков, дополнительно проверьте, относятся ли показатели к сетевой защите, HTTP-защите, отдельной платформе или всей наблюдаемой инфраструктуре. «Количество клиентов» и «количество защищаемых ресурсов» тоже не одно и то же.
Постоянная панель ресурсов, наблюдаемых в обоих периодах, помогает ответить на более узкий вопрос. Нормирование на ресурс или время наблюдения может быть полезным, когда понятен знаменатель. Но деление само по себе не устраняет различия между интернет-магазином, API и небольшим информационным сайтом. Если состав выборки неизвестен, сравнение нужно назвать ограниченным, а не исправленным с помощью удобного коэффициента.
Проверьте порог включения и способ наблюдения
В отчёт могут попадать только события, достигшие заданной интенсивности или длительности. Часть наблюдений может формироваться автоматически, часть — после аналитического разбора. Изменение порога или группировки меняет учёт: одно и то же исходное множество событий может дать другой итог.
Нужно различать и происхождение данных. Статистика инфраструктуры описывает наблюдаемые технические события. Опрос клиентов описывает ответы участников опроса. Комментарий эксперта объясняет интерпретацию. Эти типы сведений можно использовать в одном материале, но нельзя складывать их в единый счётчик или представлять как одну и ту же выборку.
Пропуски также требуют явной подписи. Если данные за часть периода недоступны, это не означает отсутствия атак. Если показатель не раскрыт, он неизвестен. Если после публикации исправлена методика или цифра, для сравнения нужна версия отчёта и дата проверки. Сохраните ссылку на первичный документ; чужая пересказанная диаграмма часто теряет необходимые оговорки.
Не смешивайте число событий, мощность и последствия
Пакеты в секунду, биты в секунду и HTTP-запросы в секунду отвечают на разные вопросы. Перевести один показатель в другой без дополнительных данных обычно нельзя. Пиковая интенсивность отдельного события также не описывает его длительность или общую картину периода.
Проверьте, как именно получен максимум: это пик одного вектора, совокупность одновременно действующих векторов или агрегат по нескольким ресурсам? Каков интервал агрегации? Короткий всплеск и устойчивый высокий поток могут выглядеть по-разному при разных интервалах. Неизвестный интервал не следует считать одинаковым у двух источников.
Для долей нужен знаменатель. «Большая часть атак» может относиться к числу инцидентов, объёму трафика, числу HTTP-запросов или времени наблюдения. Даже проценты с одинаковой подписью нельзя сравнить, пока не установлен этот выбор.
Наконец, отражённый поток не тождественен недоступности сервиса. Публичная статистика обнаружений сама по себе не показывает, сколько пользователей не смогли завершить операцию, какова была задержка и понёс ли клиент ущерб. Для таких выводов нужны отдельные измерения. Отсутствие этих данных — граница отчёта, а не повод автоматически считать последствия нулевыми.
Что можно установить по двум открытым отчётам
В качестве примеров возьмём отчёты Cloudflare за первый и второй кварталы 2025 года. Это два конкретных исторических документа, а не обзор текущей угрозы на октябрь 2026 года и не сравнение качества поставщиков.
В отчёте за первый квартал 2025 года единица учёта связана с уникальными автоматически создаваемыми отпечатками — fingerprints. Важная оговорка источника: одна кампания или атака может породить несколько таких отпечатков. Поэтому итог по fingerprints нельзя автоматически читать как число независимых кампаний или атакующих. При пересказе лучше сохранить и термин источника, и его определение.
В материале за второй квартал отдельно рассматриваются атаки сетевого уровня и HTTP-атаки. В том же документе используются результаты опроса клиентов. Это несколько оснований наблюдения, которые нельзя превратить в один общий счётчик. Для каждого процента нужно проверить, к какой именно категории и выборке он относится.
В текущей справке Radar, обновлённой в апреле 2026 года, описаны собственные условия учёта и исключения. Они полезны для понимания актуального определения ряда, но сами по себе не доказывают, что все эти условия в том же виде применялись к историческим кварталам. Отдельный документ о размерах DDoS-атак помогает различить биты, пакеты и HTTP-запросы в секунду. Ни один из них не устраняет необходимость прочитать методику нужного выпуска.
| Документ | Что установлено из текста | Граница сравнения |
|---|---|---|
| Cloudflare, первый квартал 2025 года | Учёт связан с уникальными fingerprints; одной кампании или атаке могут соответствовать несколько | Итог не равен числу независимых кампаний |
| Cloudflare, второй квартал 2025 года | Различаются HTTP-атаки, сетевые атаки и результаты опроса | Нельзя смешивать категории и основания наблюдения |
| Текущая справка Radar, версия с обновлением в апреле 2026 года | Описывает действующие условия учёта и исключения | Не является доказательством неизменной методики во всех прошлых выпусках |
Из этой проверки не следует, что между первым и вторым кварталами точно изменилась единица учёта. Такой вывод здесь не делается. Пара документов показывает, зачем сохранять определение рядом с числом и отдельно проверять историческую методику. Если существенное правило нельзя подтвердить, расчёт динамики нужно ограничить, а не достраивать предположением.
Учебный пример: рост на 125 % превратился в два разных сравнения
Все данные ниже вымышлены. Это демонстрация арифметики, а не статистика какого-либо поставщика. Допустим, доступны исходные записи двух одинаковых по длительности периодов. Выборка ресурсов постоянна, правила выделения векторов и группировки инцидентов не менялись. Каждый инцидент может содержать несколько векторов; вектор учитывается один раз в одном инциденте.
| Показатель | Период А | Период Б | Изменение на одинаковой основе |
|---|---|---|---|
| Сгруппированные инциденты | 40 | 50 | +25 % |
| Отдельные записи о векторах | 60 | 90 | +50 % |
В старом кратком отчёте в заголовок попало 40 инцидентов. В новом — 90 записей о векторах. Если назвать обе величины «атаками», формула даст (90 − 40) / 40 × 100 = 125 %. Арифметически вычисление выполнено правильно, но содержательно сравниваются разные единицы.
Сопоставимый расчёт по инцидентам: (50 − 40) / 40 × 100 = 25 %. По записям о векторах: (90 − 60) / 60 × 100 = 50 %. Это два корректных описания данного учебного набора. Ни одно не доказывает рост интенсивности или ущерба: таких данных в примере нет.
Пересчёт возможен здесь потому, что исходные записи и неизменная группировка заданы явно. Если опубликованы только 40 и 90 без возможности восстановить общую основу, правильный результат — «динамику по этим двум итогам определить нельзя». Подбирать коэффициент пересчёта по другому поставщику или соседнему кварталу нельзя.
Дополнительный вопрос: если растёт среднее число векторов на инцидент, доказывает ли это усложнение действий атакующего? Само по себе — нет. Среднее описывает состав зарегистрированных событий; вывод о причине требует исследования. Не превращайте полезный показатель в готовое объяснение поведения противника.
Паспорт сопоставимости двух отчётов
Заполните по одной колонке на каждый документ. «Не раскрыто» — допустимое значение, которое ограничивает вывод. Для собственного рабочего файла добавьте ссылку на раздел и короткую цитату либо точный пересказ условия.
| Что проверить | Отчёт А | Отчёт Б | Когда сравнение допустимо |
|---|---|---|---|
| Период и часовой пояс | Заполнить | Заполнить | Одинаковая длительность или объяснённая поправка; границы периода известны |
| Область наблюдения | Заполнить | Заполнить | Известно, какую инфраструктуру и категории трафика охватывают данные |
| Единица учёта | Заполнить | Заполнить | Сравниваются одни и те же сущности |
| Выделение и группировка | Заполнить | Заполнить | Правила одинаковы либо есть воспроизводимый пересчёт |
| Пороги и исключения | Заполнить | Заполнить | Условия включения сопоставимы; различия явно указаны |
| Выборка и её изменение | Заполнить | Заполнить | Состав постоянен либо вывод ограничен описанием каждой выборки |
| Метрика и её агрегация | Заполнить | Заполнить | Совпадают единицы, знаменатель и способ получения значения |
| Происхождение сведений | Заполнить | Заполнить | Телеметрия, опрос и экспертная оценка различены |
| Полнота, версия, дата проверки | Заполнить | Заполнить | Пропуски и исправления известны; ссылка ведёт на первоисточник |
После заполнения поставьте один из трёх результатов. Сопоставимо — ключевые определения совпадают, а ограничения не мешают выбранному вопросу. Частично сопоставимо — можно сравнить только явно названный срез; например, одну неизменную категорию. Недостаточно данных — для ответа не хватает существенного условия. Последний результат не означает, что один из отчётов плох: он может решать другую задачу.
Не усредняйте эти статусы в балл качества. Несовпадающая единица учёта не компенсируется красивым графиком, подробной географией или большим числом наблюдений. Одна критическая неизвестная может сделать конкретный расчёт невозможным.
Как сформулировать вывод без лишних обещаний
Хороший вывод сохраняет источник и границы. Например: «В сопоставимой части наблюдений провайдера изменился показатель X; учёт, период и выборка описаны так-то». Если методика изменилась, это нужно сказать перед процентом. Если пересчёт невозможен, лучше изложить два наблюдения раздельно и объяснить, почему динамика не рассчитана.
Для публичного текста удобно оставить рядом четыре вещи: показатель с единицей, период, область наблюдения и прямую ссылку на методику. Для внутреннего решения добавьте, что эти сведения меняют в вашей задаче, а что остаётся неизвестным. Данные о чужой инфраструктуре помогают поставить вопросы к своей защите, но не дают готовой вероятности атаки на ваш сайт.
Возьмите два последних отчёта, которые цитирует ваша команда, и заполните паспорт. Результатом будет не самый громкий процент, а проверяемое решение: какой ряд можно сравнивать, какой требуется пересчитать и где данных пока недостаточно.
Сначала паспорт.
Затем процент.
Скачайте текстовый шаблон, откройте два исходных отчёта и заполните девять пунктов. Сохраните ссылки на методики и явно назовите неизвестные условия.
Паспорт сравнения · TXT Таблица прямо в статьеПервоисточники
- Cloudflare: DDoS-отчёт за I квартал 2025 года
Исторический отчёт и его определение единицы учёта; несколько отпечатков одной кампании.
Опубликовано . Проверено .
- Cloudflare: DDoS-отчёт за II квартал 2025 года
Исторический отчёт: HTTP-атаки, сетевые атаки и отдельные результаты опроса.
Опубликовано . Проверено .
- Cloudflare Radar: методика квартальных DDoS-отчётов
Текущая справка с обновлением от 20 апреля 2026 года. Её условия не переносятся автоматически на прошлые выпуски.
Проверено .
- Cloudflare: как измеряют размеры и длительность DDoS-атак
Определения запросов, пакетов и битов в секунду; границы отдельной атаки.
Опубликовано . Проверено .
