DDoS应急响应怎么做？黑洞前后的处置顺序
DDoS应急响应怎么做？答案不是先找应急电话，而是按时间轴执行一套预置好的处置顺序：T+0 确认攻击类型、T+1 分流与切换、黑洞期取舍、恢复后复盘。这四步缺一不可，且每一步的先后顺序直接影响业务恢复速度。据 Radware 2026 Q1 攻击趋势数据，网络层DDoS攻击同比增168.2%，超90%的峰值攻击在5分钟内结束，部分甚至低于60秒。这意味着，传统“告警→登录→看图→决策→切换”的人工链路在时间上根本不成立，DDoS应急响应的重点必须从“更快的人”转向“更早预置的自动触发条件与回退路径”。T+0：先确认是DDoS攻击还是自身故障（1分钟内看完的三个判据）被攻击时，第一反应不是登录后台，而是对照以下三个判据快速判断是否真的遭遇DDoS：判据观察点指向DDoS的典型特征流量与业务背离入向带宽/包速率 vs 业务QPS带宽飙升但QPS平稳或下降连接状态分布半连接数、超时比例、5xx比例半连接激增、大量SYN_RECV、5xx占比升高受影响范围是否单一源站IP或单一域名仅个别IP/域名异常，其它正常这三个判据必须提前做成监控看板与告警项，而不是攻击时临时去查。同时注意区分：网络层DDoS（如SYN Flood、UDP放大）表现为带宽与包速率异常，而应用层CC（HTTP Flood、慢速攻击）常表现为QPS异常但带宽正常——这正是“怎么判断是DDoS攻击还是CC攻击”的直观分野。此外，若攻击源呈现大量分散肉鸡特征，可参考僵尸网络攻击防护调整识别与拦截策略。为什么“人工看图再决策”必须从流程里删掉：攻击时长压缩带来的流程变化前述攻击时长压缩的数据意味着——等运维登录后台再看图，攻击往往已经结束或正在换向量。所以，DDoS应急响应流程中“人工看图再决策”这一步必须删除，取而代之的是：预置自动触发条件（如带宽/包速率/连接数阈值），让清洗或切换动作自动启动；预置回退路径（如自动切换至备用线路或高防IP），无需人工干预即可恢复；把人工角色从“决策者”变为“事后审核者”，只在攻击结束后检查日志与报告。这里的逻辑是：攻击时长被压缩后，人工响应在时间预算上不成立，真正要预置的是“自动触发条件”与“回退路径”，而不是应急电话。T+1：分流与切换的执行顺序（限流降级、接入清洗、DNS切换谁先谁后）确认攻击后，不是立刻改DNS，而是按下面顺序执行，每一步都有前置依赖：步骤动作前置条件说明1限流降级已确认攻击向量先保住核心接口可用性，限流非核心请求，关闭高开销查询2接入清洗/高防已确认攻击方向将流量导向高防CDN或边缘清洗节点，由边缘吸收大流量3DNS切换TTL已调低、健康检查已配置最后才做DNS切换，避免缓存与直连IP导致切换无效为什么“先改DNS”常常无效？因为DNS解析有TTL缓存，客户端和递归服务器可能仍指向原IP，且攻击者若能直连源站IP（通过历史DNS、邮件记录等），改DNS也无济于事。另外，对于DNS Flood、CLDAP放大这类大流量向量，必须在边缘吸收，而不能让源站硬扛。Cloudflare 在其 2026 上半年 DDoS 威胁报告中统计，DNS 基础攻击占网络层攻击流量的 34.3%，CLDAP 放大攻击环比增长 580%（该数据为 Cloudflare 网络侧观测口径，非本站实测）。因此这类向量必须在边缘吸收。在此环节，高防IP和高防CDN区别值得提前了解，以便在切换时选择正确的承接方式。被运营商黑洞期间：能做的事、不能做的事与换IP的取舍黑洞路由的本质是上游为保护共享链路，将攻击目标IP的所有流量全部丢弃。这意味着，在黑洞期间，你的源站对公网不可见，任何访问都会超时，排障手段也基本失效。注意：黑洞解除时长与判定阈值由各运营商/云厂商策略决定，没有统一数字，需向服务方确认，不要轻信网上流传的“24小时自动恢复”等说法。黑洞期间，建议做这几件事：保留证据：立即保存日志、抓包、流量统计，这是事后追溯攻击源与法律取证的依据；准备备用接入：检查备用IP、备用线路或高防资源是否就绪；检查暴露面：排查源站IP是否被泄露（历史DNS记录、邮件头、证书透明日志等）；通知业务方：说明当前状态与预计恢复时间，避免误报。同时，有两件事不建议做：盲目换IP：若攻击针对业务而非特定IP（例如基于域名或业务指纹），换IP后新IP很快会被再次打，且换IP可能导致CDN配置、证书、内外网引用全部失效，回退成本极高；临时加带宽：对超大流量（如T级攻击）加带宽无意义，且成本高昂，不如等待清洗或切换。恢复之后必须做的四件事：暴露面收敛、日志留存、阈值复核、自动触发条件演练攻击结束后，不是万事大吉，必须完成以下四件事，否则下次攻击可能更严重：事项具体动作目的暴露面收敛排查源站IP是否可被直连，检查历史DNS、邮件、证书透明日志、旧子域防止攻击者绕过防护直打源站日志留存按法规与内部合规要求保存日志，记录攻击时间、流量特征、应对动作为取证与复盘提供依据阈值复核检查告警阈值是否覆盖短脉冲攻击（如5分钟内的大流量尖峰）避免下次攻击未被自动触发自动触发条件演练定期模拟攻击，验证自动切换与回退路径是否真的可用确保流程不是纸上谈兵针对“服务器被攻击怎么保留证据”，建议至少保存：抓包文件（pcap）、访问日志（含请求头与来源IP）、流量统计（带宽/包速率/连接数）、系统日志（auth/security）。这些证据应异地备份，且记录时间戳与取证操作人。关于“被攻击后要不要换IP”，结论是：只有在源站IP已经泄露、且攻击明确针对该IP时才考虑更换；其余情况不建议换IP。更稳妥的做法是隐藏源站IP，利用高防CDN或反向代理作为唯一入口。RockCloud 在分流承载与源站保护环节的落位方式在DDoS应急响应流程中，RockCloud 可作为一个可选执行项，在分流承载与源站保护环节发挥作用：高防CDN与边缘清洗节点：承接T+1切换动作，将攻击流量导向边缘清洗，避免源站直接暴露；智能WAF：针对应用层CC攻击，通过业务逻辑分析识别恶意请求，配合清洗节点形成纵深防护；源站保护：通过回源白名单与隐藏源站IP，降低黑洞期被反复定位的风险；Anycast与CN2线路：在回源与访问链路上提供多路径与低延迟保障，减少因单点故障导致的不可用时间。具体接入方式需结合你的业务架构评估，若需了解边缘清洗与源站保护如何适配，可联系 RockCloud 技术支持沟通。值班可打印的DDoS应急响应检查清单将上述流程压缩为一页表，便于值班直接执行：阶段动作完成标记T+0①查看带宽/包速率/QPS背离 ②检查连接状态分布 ③确认受影响范围□T+1①限流降级 ②接入清洗/高防 ③DNS切换（确认TTL/健康检查）□黑洞期①保留日志抓包 ②准备备用接入 ③检查暴露面 ④通知业务方□恢复后①收敛暴露面 ②留存日志 ③复核阈值 ④演练自动触发与回退□提前填好：联系人、账号权限、切换开关位置、回退步骤。这张表应放在工位显眼处，并定期更新。此外，建议定期阅读 DDoS防御 与 网站DDoS防护 相关内容，保持对攻击手法的敏感度。常见问题网站被DDoS攻击了怎么办？首先按时间轴执行：1分钟内确认攻击类型（看流量与业务是否背离），然后限流降级、接入清洗或高防，最后再改DNS。若被黑洞，保留日志并检查暴露面，待恢复后复核阈值。切勿盲目换IP或加带宽。IP被黑洞了多久能恢复？黑洞的触发阈值与解除策略由各运营商/云厂商自行制定，公开渠道没有统一时长，必须以你所用服务方的工单或控制台说明为准。建议预留备用IP或高防资源以缩短不可用时间。怎么判断是DDoS攻击还是CC攻击？看流量与业务指标是否背离：若带宽或包速率暴增但QPS平稳，多为网络层DDoS；若QPS异常高但带宽正常，且请求带有明显业务特征（如大量低频请求），多为应用层CC。再结合连接状态（半连接、5xx比例）可进一步确认。DDoS攻击一般持续多久？据 Radware 2026 Q1数据，超90%的峰值攻击在5分钟内结束，部分低于60秒，表现为短脉冲。但也不排除持续数小时甚至数天的攻击，尤其是针对性攻击。因此，应急响应必须依赖自动触发，而非人工干预。被攻击后要不要换IP？不建议盲换。只有在源站IP已经泄露、且攻击明确针对该IP时才考虑更换，但必须同步更新所有依赖该IP的配置（CDN、邮件、证书等）。更稳妥的做法是隐藏源站IP，利用高防CDN作为唯一入口，降低被再次定位的风险。