TG咨询很多团队已经购买了防护服务，却仍会在攻击发生后临时讨论“谁来切流、哪些端口能关、业务能否降级”。真正有效的高防DDoS攻击应急预案，应当把判断条件、操作权限、回滚路径和证据留存写成值班人员可以直接执行的步骤。
一、先把触发条件从“感觉异常”改成分级标准
预案不宜只写“流量过大时启动”。应同时观察带宽、包速率、连接数、源地址分布、应用错误率和关键接口延迟。不同攻击类型的危险信号并不相同：TCP SYN洪泛更容易表现为半连接堆积，HTTP请求洪泛则可能带宽不高，却让应用线程或数据库连接池耗尽。
- 观察级：单项指标短时偏离基线，先记录时间、受影响域名、端口和监控截图。
- 处置级：连续数分钟出现明显丢包、连接失败或错误率上升，由安全负责人批准启用预设策略。
- 升级级：清洗后仍影响核心交易、登录或管理功能，立即通知业务负责人、云厂商和网络运营商，并启动降级方案。
阈值应以自身业务基线为准。对日常波动较大的直播、促销或发布平台，可按工作日、周末和活动时段分别设置基线，而不是套用统一数值。
二、建立可核对的资产与依赖清单
高防DDoS攻击应急预案的第二个薄弱点，通常不是没有防护，而是不清楚哪些入口和依赖必须同步处理。清单至少包括公网IP、域名、监听端口、证书、源站地址、云负载均衡、对象存储回调、第三方支付和远程运维入口。
把关键依赖分成三层
- 业务入口：网站、开放API、移动端接口和长连接服务，分别标注协议及可接受的降级方式。
- 基础设施：高防接入、反向代理、负载均衡、权威DNS和源站网络，记录控制台、工单和电话渠道。
- 管理面：云账号、堡垒机、监控平台和密钥系统，禁止与公网业务共用无额外保护的管理路径。
每项资产应有负责人、备用联系人、变更权限和恢复验证方法。若源站地址曾直接暴露在历史DNS、代码仓库或日志中，应在预案中加入隐藏源站、限制回源来源和轮换地址等动作。
三、按攻击层级设计不同的处置路径
不要用一套规则处理所有流量。网络层或传输层攻击通常需要流量清洗、BGP高防或运营商侧牵引；应用层攻击则更依赖WAF、验证码、请求频率控制和接口级限流。两者的判断依据、误伤风险和恢复步骤都不同。
| 场景 | 优先措施 | 主要风险 |
|---|---|---|
| 带宽或包速率快速升高 | 接入流量清洗或上游黑洞路由保护 | 切换期间短暂丢包，非攻击流量也可能受影响 |
| 请求量正常但接口耗时上升 | WAF规则、接口限流、缓存和业务降级 | 规则过严会误伤真实用户 |
| 长连接或特定端口被集中消耗 | 限制连接数、缩短空闲超时并隔离非必要端口 | 在线会话可能中断，需要提前告知业务方 |
高防DDoS攻击应急预案应为每类场景指定唯一的第一操作人。值班人员不应同时修改防火墙、WAF和路由配置，而应按记录好的顺序执行，并在每一步标记时间和结果。
四、把策略变更做成“可批准、可回滚”
攻击期间最危险的操作，往往是没有记录的临时放行。建议采用双人复核：一人提出规则、目标和有效期，另一人确认影响范围后执行。临时规则必须带有自动失效时间，常见可设为30分钟至数小时，具体取决于攻击持续性和业务窗口。
- 保存当前配置、监控曲线和变更编号。
- 写明要拦截的特征，例如目标端口、请求路径、连接速率或异常协议组合。
- 先在单个域名、节点或小范围策略上验证，观察误伤、延迟和错误率。
- 达到预定效果后扩大范围；无改善或业务指标恶化时，按原配置回滚。
对于Cloudflare、AWS等平台上的托管策略，应提前确认账号权限、双因素认证和紧急联系人是否可用；不要等攻击开始后才发现操作员没有修改权限。
五、演练要覆盖“切换失败”而不只是成功切换
一次合格的演练不应只证明防护按钮能点击，还要验证权威DNS缓存、源站回源、证书、日志和客服通知是否衔接。可以每季度进行一次桌面推演，每半年安排一次受控技术演练，避免在生产环境直接制造攻击流量。
- 设置一个虚拟告警，要求值班人员在约10分钟内完成确认、升级和记录。
- 模拟高防平台不可登录、主联系人失联或清洗效果不足，检查备用渠道。
- 验证核心接口、支付回调、登录和后台管理是否分别可用。
- 演练结束后删除临时规则，核对监控、工单和审计日志。
演练结果应记录发现时间、决策耗时、执行耗时、恢复耗时和误伤情况。若只记录“演练完成”，就无法知道下一次是否真的更快、更稳。
六、恢复阶段要防止攻击反复和源站暴露
流量下降并不等于事件结束。恢复时应先确认清洗侧和源站侧的指标均稳定，再逐步撤销限流、封禁和降级措施。高防DDoS攻击应急预案还应规定观察窗口，例如连续观察30分钟至数小时，时间长短根据攻击波动、业务重要性和历史持续时间调整。
- 保留攻击样本、流量摘要、策略版本和供应商事件报告。
- 确认源站只接受可信防护节点或明确的回源网络。
- 分批恢复接口，先验证读请求，再恢复写入、支付和管理功能。
- 在复盘会议中明确一项责任人和完成期限，避免问题停留在结论层面。
最终要检查预案是否仍能回答四个问题：谁判断、谁批准、谁操作、失败后如何恢复。只有把这些答案落实到联系人、权限、命令路径和回滚条件中，高防DDoS攻击应急预案才不是一份静态文档，而是可重复执行的业务连续性工具。
常见问题
1. 高防服务接入后，还需要保留本地防火墙策略吗？
需要。高防主要承担上游流量承压和清洗，本地防火墙仍应负责源站端口、管理入口和回源来源控制，两者职责不同。
2. 什么时候适合优先使用WAF？
当异常主要集中在HTTP请求、特定URL、参数或会话行为时，WAF更有针对性；若链路带宽已被打满，仅靠WAF通常无法解决入口拥塞。
3. 临时封禁规则应保留多久？
没有统一答案。可先设置30分钟至数小时的有效期，并根据攻击是否持续、误伤率和业务高峰动态延长或撤销。
4. 预案多久更新一次比较合适？
至少每季度检查一次；域名、云厂商、网络架构、负责人或核心接口发生变化时，应在变更完成后立即更新。
