云联信息：带宽跑满和被攻击，怎么快速分清

2026-11-05 1次浏览

网站突然变慢，监控显示带宽打满。第一反应是加带宽，加完还是慢；也可能是被刷了流量，加了带宽等于给对方更多空间。分清这两种情况，是处理的第一步。

先看流量来源分布

正常业务流量的来源相对集中，地域、运营商、UA 都比较稳定。攻击流量往往来源分散、UA 异常、请求路径集中在一两个接口，特征很明显。

正常用户会加载页面、请求静态资源，攻击往往只打一个接口，且请求间隔极其规律。看每秒请求数和独立IP数的比例，能快速判断。

把日志按 IP 聚合，看前十个 IP 占了多少流量。正常业务很少出现单个 IP 占一成以上的情况，出现就值得警惕。

大促、投放、被大V转发，都会带来真实流量上涨。先排除这些正常原因，再怀疑攻击，避免误伤真实用户。

确认是异常流量，先在负载均衡或 WAF 上限流，把异常来源挡住。这一步通常几分钟见效，比扩容快得多。

流量超过清洗阈值，开启高防或流量清洗。注意清洗有回源带宽要求，源站扛不住，清洗也白搭。

攻击者往往是通过历史解析记录找到源站IP的。换IP之后，注意不要在邮件、测试环境、第三方服务里泄露新地址。

抓包、日志、访问记录留一份，涉及勒索或持续攻击时报警有用。处理完再看一遍流量曲线，确认没有残留。

流量型攻击靠清洗和带宽，应用层攻击靠 WAF 规则。用清洗去挡慢速请求，效果有限；用 WAF 挡大流量，设备先被打满。先判断类型，再选工具。

限流策略别一刀切，按IP、按接口分别设置。把正常用户也挡住，攻击是挡住了，生意也停了。留一条白名单通道给内部和重要客户。

攻击结束后，把流量曲线、拦截日志、受影响接口整理成一份记录。下次再遇到类似情况，处理时间能缩短一半，也能据此调整防护规格。

正常用户请求会带完整的浏览器标识和来源页面，脚本请求往往缺项或者高度重复。这类特征比流量大小更早暴露问题。

把平时的流量基线记录下来，超过三倍自动告警。等带宽跑满才发现，用户已经受影响一段时间了。

带宽打满先分清是业务还是攻击，方向错了越努力越糟。云联信息【资深云服务专家微信：cloud7591】的经验是：看来源分布、看请求特征、看 Top IP 三步，十分钟内基本能定性。