多数团队在遭受DDoS攻击时暴露的短板不是没有防护产品而是没有预案。告警响起后的第一小时处置全靠临场发挥。攻击方深谙这一点——据信通院参与联合发布的攻击趋势报告82%的攻击在10分钟内结束攻击者打的正是响应链路的时间差。本文按应急响应的真实时序拆成判定、分级、处置、预案化四个环节可直接作为团队应急预案的编写底稿。一、攻击判定四步确认是不是被打误判的代价往往高于攻击本身把大促流量当攻击紧急切换DNS正常业务被自己掐断把攻击当系统故障反复重启既无效又销毁证据。下面四个问题按顺序自问每个都给出去哪看、看到什么算异常。第一步流量是涨上来的还是跳上来的打开流量监控。正常业务的流量像爬坡——晚高峰从七点开始慢慢爬上去有涨有落跟运营节奏对得上。攻击流量是跳崖式的几秒之内从正常水平直接蹿到几十倍事先没有任何征兆。一句话口诀看曲线陡不陡不看数值高不高——大促带宽跑到十倍但它是爬上去的多半是好事半夜三点带宽突然跳到五十倍那是被打。第二步流量里装的是什么比例对不对网站正常干活时流量主要是网页和接口的访问。如果监控里发现别的种类突然占了主导基本可以定性连接请求占比飙升到九成以上是典型的SYN Flood洪水攻击UDP、ICMP这类平时占比很低的流量突然放大是UDP泛洪或者反射放大攻击——攻击者冒充你的地址去请求大量第三方服务器让回包全涌向你。这一步在云监控的协议分布面板里能看到。看不懂面板记住结论就行正常流量成分复杂但比例稳定攻击流量成分单一且比例畸形。第三步服务器的连接是什么状态让运维在服务器上执行 netstat 命令看连接列表。两种典型异常一是大量连接停在握手中的状态只敲门不进门——这是SYN Flood的直接证据攻击者故意只完成一半握手把你的连接名额耗光二是连接都正常但成千上万个一模一样的请求全在轰击登录或支付接口——这是CC攻击流量不算大但CPU最先被拖垮服务器没被打满就是转不动。第四步访问者是谁看来源IP的分布。真实用户的IP是分散的地域符合你的用户画像——做国内生意的来源主要是国内各省。攻击流量的IP要么扎堆在异常网段要么均匀得反常反射攻击的回包来自遍及各地的第三方服务器。特别提醒一个反面情况如果异常从某个功能上线后开始、报错也集中在它身上先别急着按攻击处理——大概率是发布Bug或缓存失效引发的雪崩。两种情况处置方向完全相反宁可多花一分钟确认。二、分级响应不同攻击类型对应不同处置路径判定完成后按类型分支处置攻击类型特征优先处置动作流量型UDP/ICMP泛洪、反射放大带宽被垃圾流量塞满依赖上游清洗与高防牵引服务器自身无解协议型SYN Flood大量只敲门不进门的半握手连接开启SYN Cookie防御、缩短连接超时时间应用层CC攻击雷同请求集中轰击单一接口接口限速、人机验证、按行为特征拦截混合型占比超七成以上多种手段叠加分层处置优先保核心链路要点在于流量型攻击服务器自身无法对抗必须触发上游能力应用层攻击恰恰不需要大流量本机的限速与验证策略反而最有效。两者处置依赖完全不同混用动作只会浪费时间。三、处置时序证据固定先于一切止损动作确认攻击后按固定时序执行不可颠倒第一动作是证据固定。截图监控大屏、导出攻击日志、记录告警与处置的时间线——它们是报警立案的溯源依据、应对勒索邮件的筹码、核查清洗计费的凭证。只占两分钟错过不可补。第二动作是本地缓解。按上表执行对应类型的本机策略协议型调内核参数应用型上限速与人机验证。封禁注意粒度——按异常IP段封不做地区级一刀切大促期间误伤真实用户的损失可能超过攻击本身。第三动作是触发上游清洗。两条通报线并行主机运营商确认IP是否已被黑洞牵引——超出基础防护阈值时运营商会将目标IP直接牵引至黑洞全网不可达须问清解封条件与时长防护服务商确认清洗已生效、攻击峰值是否超出清洗带宽上限。第四动作是业务降级。DNS切换备用高防IP、非核心服务摘除、首页静态化。DNS切换有TTL缓存延迟预案中应预先调低TTL。四、预案化把临场反应变成肌肉记忆要让告警、清洗和恢复跑进攻击窗口关键是把应急流程预案化明确值班、网络、业务和对外沟通职责用检查表固化动作每季度完整演练一次“告警—清洗生效”流程并计时大促、开服等高危窗口前验证自动响应是否满足预设的秒级目标。人工判定往往难以匹配脉冲式攻击的速度因此选择具备自动检测、流量清洗和资源弹性调整能力的方案有助于缩短攻击影响窗口。以 OgCloud 为例其DDoS防护服务覆盖流量检测与清洗、恶意流量过滤及资源按需调整。具体效果仍需结合攻击类型、业务架构和防护配置评估。结语DDoS应急响应的本质是把不可控的攻击转化为可控的流程。判定有指标处置按类型动作按时序预案用演练校验——四层做扎实攻击窗口期就从灾难现场变成按表执行。文中提到的分布式边缘清洗能力OgCloud天耘科技旗下云服务平台在多地部署有防护节点支持按干净流量计费具体以官方信息为准。数据来源中国信通院参与联合发布的《AI时代云上攻防产业观察——DDoS攻击趋势与防御演进》