蓝易云CDN：网站被 DDoS 攻击了怎么办？1 小时内的应急操作清单

网站突然打不开、访问速度明显下降、服务器带宽瞬间跑满，甚至出现大量502、503、504错误，这些现象都可能与DDoS攻击有关。

遭遇攻击时，最重要的不是立即重启服务器，而是快速判断攻击类型、启动上游流量清洗、保护源站并恢复正常业务。

以下按照60分钟应急处置流程，帮助网站管理员有序处理突发攻击。

⏱️ 第一阶段：0—5分钟，确认攻击类型

首先检查服务器监控、网络流量及访问日志，排除程序故障、正常流量突增等情况。

重点检查三个指标：

• 带宽（Mbps/Gbps）： 流量突然达到线路上限，可能存在流量型攻击。
• 数据包速率（PPS）： 每秒数据包数量异常增长，可能存在SYN Flood、UDP Flood等攻击。
• HTTP请求速率（RPS）： 请求数量激增，集中访问首页、登录接口或动态API，可能存在HTTP Flood或CC攻击。

同时检查CPU、内存、连接数及HTTP错误率，确定真正的性能瓶颈。

需要注意：DDoS攻击不一定表现为大带宽。某些应用层攻击仅通过大量高成本请求，就可能耗尽网站资源。

🛡️ 第二阶段：5—15分钟，启动高防CDN

如果网站尚未接入高防服务，应优先联系具备DDoS清洗能力的服务商，安排流量接入。

已经使用蓝易云高防CDN的网站，可以重点检查：

1. 网站域名是否正确通过CNAME接入防护节点。
2. 高防节点是否正常工作，源站是否可以正常回源。
3. DDoS、CC防护策略是否开启。
4. 是否有异常流量绕过CDN直接攻击源站IP。

对于大流量UDP Flood、SYN Flood等网络层攻击，需要依靠上游网络清洗能力处理。

对于HTTP Flood、CC攻击，可以结合访问频率限制、行为分析、智能挑战及WAF策略进行防护。

特别提醒： 如果源站公网IP已被攻击者掌握，仅修改CNAME并不能解决源站直连问题。

🔒 第三阶段：15—30分钟，保护源站服务器

高防CDN接入完成后，立即检查源站暴露情况。

建议采取以下措施：

• 通过防火墙限制网站业务端口，仅允许可信CDN回源节点访问。
• 检查是否存在绕过CDN的备用域名、历史DNS记录或直接访问入口。
• 对登录、搜索、查询等高消耗接口设置合理的访问频率限制。
• 对静态资源启用缓存，减少不必要的回源请求。
• 排查数据库连接数、应用线程及PHP-FPM等服务是否耗尽资源。

配置源站白名单前，必须确认全部合法回源地址及健康检查来源，避免错误拦截导致业务中断。

如果源站线路已经被攻击流量打满，应联系机房或网络服务商进行上游清洗。单纯依靠服务器iptables规则，无法解决入口带宽被占满的问题。

⚙️ 第四阶段：30—45分钟，精准调整CC防护策略

当网络层攻击得到控制后，继续检查应用层异常请求。

重点关注高频访问IP、异常User-Agent、集中请求路径及不合理的请求行为。

蓝易云CDN可结合CC防护、语义WAF及TLS/JA4指纹等能力，辅助识别异常请求，降低恶意流量对源站的影响。

实际调整时，应遵循三个原则：

1. 优先限制明显异常的请求特征，而不是简单封禁所有访问者。
2. 对正常API、支付回调及必要的业务接口进行单独评估。
3. 新增拦截策略后，持续观察误拦截情况和业务成功率。

不要盲目封禁整个IP段或国家地区。 过于激进的规则可能让正常客户也无法访问。

✅ 第五阶段：45—60分钟，验证恢复与保存证据

最后15分钟，重点确认防护措施是否真正生效。

检查项目包括：

• 网站首页、登录、支付、API等核心功能是否正常。
• 源站带宽、CPU及连接数是否恢复到可接受范围。
• CDN回源错误率及网站响应延迟是否下降。
• 攻击流量是否被有效过滤，正常访客是否仍可访问。
• 是否存在攻击者切换目标端口或直接攻击源站的情况。

同时保存攻击时间、峰值带宽、PPS、RPS、异常请求样本及防护日志，便于后续分析和策略优化。

需要明确的是，60分钟是应急操作的时间规划，并不代表所有DDoS攻击都能在一小时内完全恢复。 实际恢复时间取决于攻击规模、线路状态和防护资源。

🚀 如何降低下一次DDoS攻击的影响？

对于长期运营的网站，应在攻击发生前建立持续防护机制，而不是每次遭遇攻击后再临时处理。

蓝易云一体化高防CDN将缓存加速、DDoS防护、CC防护、语义WAF及源站IP隐藏等能力相结合，为网站构建多层防护体系。

其中，CDN缓存可以降低源站压力，DDoS清洗侧重网络层异常流量，CC防护与WAF则重点保护HTTP应用层。不同能力相互配合，才能提高网站整体可用性。

总结： 网站遭受DDoS攻击后，正确的应急顺序是：识别攻击 → 启动清洗 → 保护源站 → 精准拦截 → 验证恢复。

真正有效的安全防护，不只是挡住攻击流量，更是在攻击发生时尽可能保障正常用户访问，让网站业务持续稳定运行。