DDoS 攻击应急响应流程
告警触发与确认
通过流量监控系统（如NetFlow、sFlow）或安全设备（如防火墙、WAF）检测异常流量。
核对流量特征：突发高带宽、协议异常（如UDP Flood）、目标IP/端口集中请求。
联系网络运营商或云服务商验证是否为其清洗设备触发的告警。
攻击类型分类
流量型攻击 ：如SYN Flood、UDP Flood，表现为带宽耗尽。
应用层攻击 ：如HTTP Flood、CC攻击，表现为服务器资源（CPU/连接数）饱和。
反射放大攻击：如NTP/DNS反射，利用协议漏洞放大流量。
应急缓解措施
网络层缓解
启用运营商或云平台的DDoS清洗服务（如AWS Shield、阿里云高防IP）。
在边界设备（路由器/防火墙）部署ACL，丢弃攻击源IP或协议（如UDP 53）。
应用层缓解
配置WAF规则拦截恶意User-Agent或高频请求。
临时启用验证码或速率限制（如Nginx的limit_req模块）。
业务恢复与监控
逐步回切流量至源站，观察清洗后流量是否纯净。
启用CDN分散攻击压力，隐藏源站IP。
持续监控业务指标（延迟、错误率）至少24小时。
事后分析与加固
根因分析
提取攻击流量样本，分析Payload和攻击路径。
检查是否存在暴露的非必要服务（如Redis未授权访问）。
防御优化
部署Anycast网络分散攻击流量。
定期演练应急流程，确保团队熟悉工具链（如清洗API调用）。
关键时间节点参考
| 阶段 | 目标时间 |
|---|---|
| 告警确认 | ≤2分钟 |
| 攻击分类与缓解启动 | ≤5分钟 |
| 业务完全恢复 | ≤15分钟 |
注：实际时间因攻击规模、团队协作效率而异。