流量突然升高，不等于已经遭到攻击。发布活动、配置变更和真实访问增长也会带来峰值；若同时出现服务超时、连接失败或出口带宽逼近上限，就应启动分布式拒绝服务攻击识别与处置流程。处置的先后很关键：先留存现场，再验证原因，避免改动配置后失去判断依据。
六步处置：先保留现场，再动防护
- 保存证据。记录发现时间、受影响地址与服务、告警内容及当时配置；导出防火墙、负载均衡器和服务器日志，保存 NetFlow 或 IPFIX 流量记录。必要时用 tcpdump 抓取经过授权且范围受控的短时样本。统一记录时区，并保留原始文件及访问权限；抓包可能包含敏感数据，应按组织的数据管理要求存放。
- 确认是否影响服务。查看入口带宽、请求或报文速率、连接数、丢包率、响应时间和错误率，并与同一时段的历史流量基线比较。确认监控本身正常，排查发布、定时任务、上游故障和配置变更。只有流量升高、没有服务退化，并不足以单独判定为攻击。
- 识别流量特征与范围。按目标地址、端口、协议、来源分布和时间变化拆分记录，区分单一目标受压还是多个服务同时受影响。若出现大量无业务对应的 UDP 报文，可进一步核对是否涉及反射放大；仅凭一种特征不能定性。梳理可用带宽、受影响区域和关键业务，为后续处置划定边界。
- 通知责任方并升级。联系网络、平台和业务值守人员，提供已留存的时间范围、指标变化与样本摘要；若压力已接近接入链路容量，尽早联系网络运营商或托管服务商。明确谁有权限调整策略、谁负责业务验证，并记录每项操作和时间。
- 按层缓解，控制副作用。先选择范围较小、容易撤回的措施，例如对异常来源或特定端口实施速率限制，或在边界路由与防火墙上过滤已确认无效的流量。若攻击流量已堵塞接入链路，本地设备可能看不到足够余量，应评估由上游进行流量清洗。避免不加区分地封禁整个地区或大段地址，以免误伤正常用户；每次调整后观察服务指标，必要时回滚。
- 验证恢复并复盘。确认带宽、丢包、错误率和用户侧可用性是否回到可接受范围，同时检查正常业务请求没有被误拦。保留告警、证据、策略变更和回滚记录，复盘触发条件、响应耗时及协同缺口，并更新联系人和操作清单。
策略选择要看瓶颈在哪里
速率限制适合处理可明确区分的高频请求，实施快，但阈值过低会影响共享出口后的正常用户。边界过滤适合丢弃已识别的无效协议或目的端口流量；规则过宽可能造成连带中断。流量清洗适用于上游链路承压、本地无法充分处理的情况，但需确认接入方式、覆盖范围和业务流量如何回传。分布式拒绝服务攻击识别与处置流程不是固定的封禁清单：应依据瓶颈位置和证据，逐步扩大措施，而不是一开始就全面拦截。
常见问题
流量高峰一定是攻击吗？
不是。应结合服务错误、连接情况、流量构成和变更记录判断，不能只看总流量。
为什么必须先留证？
日志与流量记录能帮助区分攻击、业务增长和配置问题，也便于交接、回滚和复盘。留存范围应符合组织的数据安全要求。
何时应联系上游？
当接入链路接近饱和、服务持续受影响，或本地过滤无法降低入口压力时，应尽早联系运营商或托管服务商。
遇到异常时，按分布式拒绝服务攻击识别与处置流程先留证、再核实、后调整，并以业务恢复和误伤风险作为检验标准，比单纯追求快速封禁更稳妥。
