首先进行基础硬化:关闭不必要端口、更新系统补丁、安装并配置WAF/IDS。对外暴露服务做访问控制,使用IP白名单或VPN管理后台。启用主机级防护与网络层防护结合,确保高防服务器在运营商侧已开通流量清洗与转发。
1)核验运营商提供的清洗带宽与清洗阈值;2)配置WAF规则并结合自定义黑白名单;3)为管理端口(如SSH/RDP)启用异地登录限制与密钥认证;4)部署日志采集与集中分析。
重点关注:防护策略、流量清洗、补丁管理。
不同攻击需不同策略:对大流量DDoS以带宽清洗为主;对应用层CC攻击依赖WAF与行为分析限流;对SYN/UDP用网络层包过滤与速率限制。建议在运营商侧配置大流量清洗策略,在主机侧做细粒度流量控制。
设置SYN Cookie、SYN队列扩大、UDP包过滤策略、HTTP请求速率限制、异常UA或Referer拦截等。同时配置自动触发阈值,超限后切换到严格清洗模式。
以最低影响业务可用性为目标,先在边缘做宽松清洗,再在应用层做精准拦截。
带宽分配要分为基础带宽与预留清洗带宽。基础带宽保障正常业务峰值,清洗带宽用于承载恶意流量并触发清洗机制。根据历史流量与业务峰值计算基础带宽,建议预留清洗带宽为预计最大攻击量的30%-100%。
对关键业务(支付、登录、API)设置优先队列与带宽保证;对静态内容可放CDN或单独限速。使用流量策略将非必要端口与低优先级服务配置限速,确保核心服务带宽充足。
在预算允许下,选择运营商提供的弹性清洗与按需扩容带宽,保证突发攻击时有冗余能力。
建立实时监控与告警:监控流量曲线、连接数、异常请求率、带宽占用等指标。配置阈值告警与自动策略切换(如突发流量自动启用严格清洗)。定期审计日志并根据攻击样式调整WAF/IDS规则。
使用Prometheus、Grafana或运营商监控面板,关注5分钟/1小时流量峰值、异常IP数量、请求分布与清洗命中率。
常规策略每月评估一次,遇到大攻击或业务变更即时调整并记录变更历史。
运维需准备应急预案:明确联系人、切换流程、回滚策略与沟通模板。遇到攻击时依次执行检测、隔离、清洗、限流、恢复五步,并在清洗阶段保留原始流量包用于取证分析。
定期演练流量清洗触发、带宽切换与回滚流程,验证日志完整性与报警准确性。
保持文档化的防护策略与操作手册,对运维与安全团队进行培训,确保遇险时能够迅速响应。