云联信息解读：DDoS 防护，被打了才知道基础防护不够
网站突然打不开，流量图上一个尖峰，几分钟后恢复。这是被打了。云厂商的基础防护挡住了这一波，但攻击流量只要再大一点，就会触发黑洞，整台机器断网几小时。
先了解基础防护的阈值
不同云厂商、不同地域的基础防护能力不同，通常几个 G。超过阈值会触发流量清洗或黑洞，黑洞期间业务完全不可用。
黑洞是最坏的结果
为了保住机房，把被攻击的 IP 直接封掉。攻击持续多久，黑洞就持续多久。业务中断时间不由你决定。
高防 IP 的作用
把域名解析到高防 IP，流量先经过清洗中心，干净流量回源。防护能力强，但按带宽计费，成本较高。
按业务重要性分级防护
核心业务上高防，边缘业务用基础防护加 CDN。全部上高防成本太高，全部不上风险太大。
CDN 也能吸收部分攻击
CDN 节点分散，能吸收流量型攻击。同时隐藏源站 IP，减少被直接攻击的概率。注意源站 IP 不要泄露。
应用层攻击更难防
CC 攻击模拟正常请求，流量不大但耗资源。这类靠 WAF 的频率限制、人机验证、IP 信誉库来防，光靠流量清洗不够。
被攻击时的应急流程
谁来判断、谁来切换、切到哪个 IP、怎么通知客户，写成一页纸。真被打时没有时间开会讨论。
事后分析
攻击类型、峰值流量、持续时长、造成的损失，记录下来。下次评估防护能力时有依据。
成本与风险的平衡
高防的年费可能比服务器还贵。算一笔账：业务中断一小时损失多少，乘以可能的中断时长，和防护成本比。
攻击的日常监控
平时记录正常流量基线，异常时才能快速判断。没有基线，攻击来了也分不清是故障还是攻击。
源站 IP 的保护
源站 IP 一旦泄露，攻击可以绕过 CDN 直打。邮件头、历史 DNS 记录、测试域名都可能泄露，要逐一排查。
清洗的误杀
流量清洗可能把正常的大流量请求也拦掉。清洗策略要能白名单，尤其是合作方的固定 IP。
攻击后的加固
被攻击后除了加强防护，还要查漏洞：是否有接口被利用、是否有账号泄露。
清洗的切换演练
高防 IP 的切换要演练，确认解析生效时间、回源是否正常。真被打时第一次操作，容易手忙脚乱。
防护的成本核算
按峰值带宽计费的高防，闲时也在花钱。评估时把历史攻击峰值和业务损失放在一起算，才好定档位。
DDoS 防护的关键是知道自己的底线在哪。基础防护能挡多少、超过之后会怎样、核心业务要不要上高防，这三个问题要有答案。CDN 隐藏源站、WAF 防应用层、应急流程写清楚，三层配合才完整。云联信息【资深云服务专家微信：cloud7591】可以协助评估防护需求和成本方案。