多数团队在遭受DDoS攻击时暴露的短板，不是没有防护产品，而是没有预案。告警响起后的第一小时，处置全靠临场发挥。攻击方深谙这一点——据信通院参与联合发布的攻击趋势报告，82%的攻击在10分钟内结束，攻击者打的正是响应链路的时间差。

本文按应急响应的真实时序，拆成判定、分级、处置、预案化四个环节，可直接作为团队应急预案的编写底稿。

一、攻击判定：四步确认"是不是被打"

误判的代价往往高于攻击本身：把大促流量当攻击紧急切换DNS，正常业务被自己掐断；把攻击当系统故障反复重启，既无效又销毁证据。下面四个问题按顺序自问，每个都给出"去哪看、看到什么算异常"。

第一步：流量是"涨上来"的还是"跳上来"的？

打开流量监控。正常业务的流量像爬坡——晚高峰从七点开始慢慢爬上去，有涨有落，跟运营节奏对得上。攻击流量是跳崖式的：几秒之内从正常水平直接蹿到几十倍，事先没有任何征兆。

看曲线陡不陡，不看数值高不高

——大促带宽跑到十倍但它是爬上去的，多半是好事；半夜三点带宽突然跳到五十倍，那是被打。

第二步：流量里"装的是什么"比例对不对？

网站正常干活时，流量主要是网页和接口的访问。如果监控里发现别的种类突然占了主导，基本可以定性：连接请求占比飙升到九成以上，是典型的SYN Flood洪水攻击；UDP、ICMP这类平时占比很低的流量突然放大，是UDP泛洪或者反射放大攻击——攻击者冒充你的地址去请求大量第三方服务器，让回包全涌向你。这一步在云监控的"协议分布"面板里能看到。看不懂面板，记住结论就行：正常流量成分复杂但比例稳定，攻击流量成分单一且比例畸形。

第三步：服务器的连接是什么状态？

让运维在服务器上执行 netstat 命令看连接列表。两种典型异常：一是大量连接停在"握手中"的状态，只敲门不进门——这是SYN Flood的直接证据，攻击者故意只完成一半握手，把你的连接名额耗光；二是连接都正常，但成千上万个一模一样的请求全在轰击登录或支付接口——这是CC攻击：流量不算大，但CPU最先被拖垮，服务器"没被打满，就是转不动"。

看来源IP的分布。真实用户的IP是分散的，地域符合你的用户画像——做国内生意的，来源主要是国内各省。攻击流量的IP要么扎堆在异常网段，要么均匀得反常（反射攻击的回包来自遍及各地的第三方服务器）。

如果异常从某个功能上线后开始、报错也集中在它身上，先别急着按攻击处理——大概率是发布Bug或缓存失效引发的雪崩。两种情况处置方向完全相反，宁可多花一分钟确认。

二、分级响应：不同攻击类型对应不同处置路径

要点在于：流量型攻击服务器自身无法对抗，必须触发上游能力；应用层攻击恰恰不需要大流量，本机的限速与验证策略反而最有效。两者处置依赖完全不同，混用动作只会浪费时间。

三、处置时序：证据固定先于一切止损动作

确认攻击后，按固定时序执行，不可颠倒：

 截图监控大屏、导出攻击日志、记录告警与处置的时间线——它们是报警立案的溯源依据、应对勒索邮件的筹码、核查清洗计费的凭证。只占两分钟，错过不可补。

 按上表执行对应类型的本机策略：协议型调内核参数，应用型上限速与人机验证。封禁注意粒度——按异常IP段封，不做地区级一刀切，大促期间误伤真实用户的损失可能超过攻击本身。

 两条通报线并行：主机运营商确认IP是否已被黑洞牵引——超出基础防护阈值时运营商会将目标IP直接牵引至黑洞，全网不可达，须问清解封条件与时长；防护服务商确认清洗已生效、攻击峰值是否超出清洗带宽上限。

 DNS切换备用高防IP、非核心服务摘除、首页静态化。DNS切换有TTL缓存延迟，预案中应预先调低TTL。

四、预案化：把临场反应变成肌肉记忆

要让告警、清洗和恢复跑进攻击窗口，关键是把应急流程预案化：明确值班、网络、业务和对外沟通职责，用检查表固化动作；每季度完整演练一次“告警—清洗生效”流程并计时；大促、开服等高危窗口前，验证自动响应是否满足预设的秒级目标。

人工判定往往难以匹配脉冲式攻击的速度，因此，选择具备自动检测、流量清洗和资源弹性调整能力的方案，有助于缩短攻击影响窗口。以 OgCloud 为例，其DDoS防护服务覆盖流量检测与清洗、恶意流量过滤及资源按需调整。具体效果仍需结合攻击类型、业务架构和防护配置评估。

DDoS应急响应的本质，是把不可控的攻击转化为可控的流程。判定有指标，处置按类型，动作按时序，预案用演练校验——四层做扎实，攻击窗口期就从"灾难现场"变成"按表执行"。

DDoS应急响应实战指南：网站被攻击后第一时间该做什么

安全

运维

新闻资讯

多数团队在DDoS攻击下暴露的短板并非防护产品缺失，而是缺乏预案。攻击常于10分钟内结束，应急响应需按判定、分级、处置、预案化四环节推进：四步确认攻击类型，分类处置流量型或应用层攻击，先固定证据再止损，并定期演练以固化流程。

DDoS攻击

云监控

服务器

CC攻击

ICMP

2026上云采购 | AI焕新·智启新局

ddos

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

DDoS应急响应实战指南：网站被攻击后第一时间该做什么

DDoS应急响应实战指南：网站被攻击后第一时间该做什么

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐