1. 当网站遭遇DDoS攻击时的应急响应当网站突然遭遇DDoS攻击时作为运维人员需要立即采取应急措施。以下是我在实际工作中总结的三步应急响应方案1.1 第一步快速识别攻击特征首先需要通过监控系统确认是否真的遭受DDoS攻击。关键指标包括带宽使用率突然激增服务器CPU/内存异常升高特定端口的连接数暴增大量来自同一IP段或地理位置的请求常用的诊断命令# 查看网络连接统计 netstat -ntu | awk {print $5} | cut -d: -f1 | sort | uniq -c | sort -n # 实时监控带宽使用 iftop -nNP # 检查服务器负载 top -c1.2 第二步临时缓解措施确认攻击后立即采取以下措施启用云服务商的DDoS防护服务如阿里云高防IP在防火墙层面限制单个IP的连接数和请求频率临时关闭非必要端口和服务启用CDN缓存静态内容减轻源站压力iptables示例规则# 限制单个IP的最大连接数 iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j DROP # 限制请求频率 iptables -A INPUT -p tcp --dport 80 -m limit --limit 50/minute --limit-burst 200 -j ACCEPT1.3 第三步溯源分析与记录攻击缓解后需要收集攻击日志进行分析攻击流量特征协议、端口、payload主要攻击源IP和地理位置攻击持续时间和强度业务受影响程度这些数据对后续防护策略调整和可能的取证都很重要。2. 构建DDoS防护体系应急响应只是权宜之计要真正实现免疫需要建立多层次的防护体系。2.1 网络层防护2.1.1 高防IP服务选择云服务商提供的高防IP服务如阿里云DDoS高防腾讯云大禹AWS Shield这些服务通常能提供Tbps级别的防护能力自动清洗异常流量。2.1.2 BGP线路优化通过BGP Anycast技术将流量分散到多个清洗中心避免单点过载。2.2 应用层防护2.2.1 Web应用防火墙(WAF)部署WAF可以有效防御应用层攻击SQL注入XSS跨站脚本CC攻击恶意爬虫配置建议# Nginx WAF规则示例 location / { # 启用WAF模块 modsecurity on; modsecurity_rules_file /etc/nginx/modsec/main.conf; # 限制请求体大小 client_max_body_size 10m; # 设置超时时间 proxy_read_timeout 30s; }2.2.2 速率限制策略针对API接口实施精细化的速率限制# 使用Nginx限制API访问频率 limit_req_zone $binary_remote_addr zoneapi:10m rate10r/s; location /api/ { limit_req zoneapi burst20 nodelay; proxy_pass http://backend; }2.3 基础设施优化2.3.1 负载均衡架构采用多级负载均衡DNS轮询四层负载均衡(LVS)七层负载均衡(Nginx)2.3.2 自动扩展能力配置自动伸缩组在攻击时自动扩容计算资源# AWS Auto Scaling策略示例 aws autoscaling put-scaling-policy \ --auto-scaling-group-name my-asg \ --policy-name ScaleOutPolicy \ --scaling-adjustment 2 \ --adjustment-type ChangeInCapacity \ --cooldown 3003. 长期防护策略3.1 安全监控体系建立完善的安全监控系统网络流量异常检测业务指标监控安全事件告警推荐工具组合Prometheus Grafana指标监控ELK Stack日志分析Suricata网络入侵检测3.2 应急响应预案制定详细的应急响应流程攻击检测与确认应急小组启动防护措施实施业务恢复事后分析3.3 定期攻防演练每季度进行一次红蓝对抗演练检验防护体系有效性。4. 常见问题与解决方案4.1 误封正常用户解决方案实施更精细化的防护策略建立IP白名单机制使用行为分析识别真实用户4.2 防护成本过高优化建议按业务重要性分级防护合理设置防护阈值利用云服务的弹性计费4.3 防护导致性能下降调优方法优化WAF规则集启用硬件加速调整TCP协议栈参数# TCP参数优化示例 sysctl -w net.ipv4.tcp_syncookies1 sysctl -w net.ipv4.tcp_max_syn_backlog8192 sysctl -w net.ipv4.tcp_synack_retries25. 防护方案选型建议5.1 中小型网站推荐方案云WAF基础版CDN加速基础DDoS防护5.2 大型电商/金融平台推荐方案专属高防IP定制WAF规则全链路加密多地容灾部署5.3 特殊行业需求如游戏、直播等实时性要求高的业务专用防护线路UDP协议优化边缘计算节点在实际部署防护系统时建议先进行小规模测试逐步调整防护策略避免因过于严格的规则影响正常业务。同时要定期评估防护效果根据业务发展和威胁态势及时调整防护方案。