RockCloud-基石云安全-官方博客 - 黑洞路由
type: channel
link: https://www.rockcloud.cc/blog/tag/%E9%BB%91%E6%B4%9E%E8%B7%AF%E7%94%B1/
items: DDoS应急响应怎么做？黑洞前后的处置顺序

DDoS应急响应怎么做？黑洞前后的处置顺序
type: item
date: 2026-08-12T10:32:04+08:00
description: DDoS应急响应怎么做？答案不是先找应急电话，而是按时间轴执行一套预置好的处置顺序：T+0 确认攻击类型、T+1 分流与切换、黑洞期取舍、恢复后复盘。这四步缺一不可，且每一步的先后顺序直接影响业务恢复速度。据 Radware 2026 Q1 攻击趋势数据，网络层DDoS攻击同比增168.2%，超90%的峰值攻击在5分钟内结束，部分甚至低于60秒。这意味着，传统“告警→登录→看图→决策→切换”的人工链路在时间上根本不成立，DDoS应急响应的重点必须从“更快的人”转向“更早预置的自动触发条件与回退路径”。T+0：先确认是DDoS攻击还是自身故障（1分钟内看完的三个判据）被攻击时，第一反应不是登录后台，而是对照以下三个判据快速判断是否真的遭遇DDoS：判据观察点指向DDoS的典型特征流量与业务背离入向带宽/包速率 vs 业务QPS带宽飙升但QPS平稳或下降连接状态分布半连接数、超时比例、5xx比例半连接激增、大量SYN_RECV、5xx占比升高受影响范围是否单一源站IP或单一域名仅个别IP/域名异常，其它正常这三个判据必须提前做成监控看板与告警项，而不是攻击时临时去查。同时注意区分：网络层DDoS（如SYN Flood、UDP放大）表现为带宽与包速率异常，而应用层CC（HTTP Flood、慢速攻击）常表现为QPS异常但带宽正常——这正是“怎么判断是DDoS攻击还是CC攻击”的直观分野。此外，若攻击源呈现大量分散肉鸡特征，可参考僵尸网络攻击防护调整识别与拦截策略。为什么“人工看图再决策”必须从流程里删掉：攻击时长压缩带来的流程变化前述攻击时长压缩的数据意味着——等运维登录后台再看图，攻击往往已经结束或正在换向量。所以，DDoS应急响应流程中“人工看图再决策”这一步必须删除，取而代之的是：预置自动触发条件（如带宽/包速率/连接数阈值），让清洗或切换动作自动启动；预置回退路径（如自动切换至备用线路或高防IP），无需人工干预即可恢复；把人工角色从“决策者”变为“事后审核者”，只在攻击结束后检查日志与报告。这里的逻辑是：攻击时长被压缩后，人工响应在时间预算上不成立，真正要预置的是“自动触发条件”与“回退路径”，而不是应急电话。T+1：分流与切换的执行顺序（限流降级、接入清洗、DNS切换谁先谁后）确认攻击后，不是立刻改DNS，而是按下面顺序执行，每一步都有前置依赖：步骤动作前置条件说明1限流降级已确认攻击向量先保住核心接口可用性，限流非核心请求，关闭高开销查询2接入清洗/高防已确认攻击方向将流量导向高防CDN或边缘清洗节点，由边缘吸收大流量3DNS切换TTL已调低、健康检查已配置最后才做DNS切换，避免缓存与直连IP导致切换无效为什么“先改DNS”常常无效？因为DNS解析有TTL缓存，客户端和递归服务器可能仍指向原IP，且攻击者若能直连源站IP（通过历史DNS、邮件记录等），改DNS也无济于事。另外，对于DNS Flood、CLDAP放大这类大流量向量，必须在边缘吸收，而不能让源站硬扛。Cloudflare 在其 2026 上半年 DDoS 威胁报告中统计，DNS 基础攻击占网络层攻击流量的 34.3%，CLDAP 放大攻击环比增长 580%（该数据为 Cloudflare 网络侧观测口径，非本站实测）。因此这类向量必须在边缘吸收。在此环节，高防IP和高防CDN区别值得提前了解，以便在切换时选择正确的承接方式。被运营商黑洞期间：能做的事、不能做的事与换IP的取舍黑洞路由的本质是上游为保护共享链路，将攻击目标IP的所有流量全部丢弃。这意味着，在黑洞期间，你的源站对公网不可见，任何访问都会超时，排障手段也基本失效。注意：黑洞解除时长与判定阈值由各运营商/云厂商策略决定，没有统一数字，需向服务方确认，不要轻信网上流传的“24小时自动恢复”等说法。黑洞期间，建议做这几件事：保留证据：立即保存日志、抓包、流量统计，这是事后追溯攻击源与法律取证的依据；准备备用接入：检查备用IP、备用线路或高防资源是否就绪；检查暴露面：排查源站IP是否被泄露（历史DNS记录、邮件头、证书透明日志等）；通知业务方：说明当前状态与预计恢复时间，避免误报。同时，有两件事不建议做：盲目换IP：若攻击针对业务而非特定IP（例如基于域名或业务指纹），换IP后新IP很快会被再次打，且换IP可能导致CDN配置、证书、内外网引用全部失效，回退成本极高；临时加带宽：对超大流量（如T级攻击）加带宽无意义，且成本高昂，不如等待清洗或切换。恢复之后必须做的四件事：暴露面收敛、日志留存、阈值复核、自动触发条件演练攻击结束后，不是万事大吉，必须完成以下四件事，否则下次攻击可能更严重：事项具体动作目的暴露面收敛排查源站IP是否可被直连，检查历史DNS、邮件、证书透明日志、旧子域防止攻击者绕过防护直打源站…