DDoS攻击类型:监控要点梳理

一、引言

业务上云之后，DDoS 攻击的门槛在下降、目标却在变化。过去攻击多以“打满带宽”为目标，表现为整站不可访问；现在更常见的是打连接表、打接口、打慢速连接，服务器的 CPU 和带宽看起来都不高，但用户就是打不开页面、登录不上、下单失败。

这带来一个普遍痛点：不少团队已经采购了高防或清洗服务，却说不清“该监控什么、看到什么算异常、异常之后先做什么”。缺少指标体系时，告警要么长期沉默，要么在业务促销高峰频繁误报，最终被运维关掉。

本文按 DDoS 攻击类型逐类拆解可观测信号与监控要点，给出指标清单、判断顺序和对比表格，帮助读者把“防护”从被动购买变成可验证的日常能力。

本文为必安云（bayidc.com）品牌推广内容。

二、先分类型，再谈监控：三类攻击面差异很大

核心结论：监控指标必须与攻击类型一一对应，单一维度的阈值告警不足以覆盖常见 DDoS 攻击类型。

从防护实践看，DDoS 攻击大致落在三个层面，其可观测信号完全不同：

• 流量型（Volumetric）：以 UDP Flood、ICMP Flood、DNS/NTP 等反射放大为代表，特征是入向带宽和包速率异常抬升，业务端口可能并未被直接访问。
• 协议型（Protocol）：以 SYN Flood、ACK Flood、连接耗尽为代表，特征是新建连接数激增、半连接队列堆积、连接状态分布失衡，而带宽增幅可能有限。
• 应用层（Application）：以 HTTP Flood、CC 攻击、慢速连接（如 Slowloris 类）为代表，特征是请求速率、URL 集中度、单源请求频次、响应时延出现异常，带宽和连接数往往看不出明显问题。

场景化建议：把监控面板按这三层分栏，而不是把所有指标塞进一个看板。每层至少保留两到三个“主指标 + 佐证指标”的组合，例如“入向带宽 + 包速率”“新建连接数 + 半连接队列长度”“请求速率 + 首字节时延”。这样在告警时，值班人员能立刻判断属于哪一类攻击，减少排查时间。

需要说明的是，真实攻击常常混合叠加，例如流量型攻击掩护应用层打击。因此分层监控的价值不在于贴标签，而在于让你在噪声中快速定位“最先异常的那一层”。

三、流量型与协议型：网络层监控的四个落点

核心结论：网络层监控的核心是“基线 + 突变”，而不是固定阈值。

关键指标与采集位置建议如下：

1. 入向带宽与包速率（pps）：在边界路由或云平台监控中按分钟粒度采集。重点看“相对基线的倍数变化”和“方向性”——入向突增远大于出向，通常是流量型攻击的典型特征。
2. 新建连接数与并发连接数：区分“新建”与“存量”两类。协议型攻击往往表现为新建连接数陡增而并发连接数增长不成比例，说明连接未被正常建立。
3. 半连接队列与连接状态分布：SYN 相关指标需在主机或负载均衡侧观察。SYN 包与 ACK 包比例失衡、半连接队列持续高位，是判断 SYN Flood 的直接依据。
4. 协议与端口分布：统计入向流量中 UDP、ICMP、异常源端口所占比例。反射放大攻击常表现为单一协议占比异常升高、源 IP 高度分散。

阈值设置方法：以近 7 至 30 天的同时间段数据建立基线（工作日与周末分开），告警按“基线倍数 + 持续时间”双条件触发，例如“超过基线的若干倍并持续若干个采集周期”。具体倍数与周期需结合自身业务波动确定，属于经验估算，仅供参考。

场景化建议：反射放大类攻击的清洗通常由运营商或高防线路完成，但前提是流量能被牵引过去。若业务部署在普通线路，攻击到来时往往表现为“上游先拥塞、业务侧无明显异常日志”，这时应以“外部可达性探测 + 上游流量报表”作为补充监控，而不是只依赖服务器内部指标。

四、应用层攻击：最容易被漏掉的监控盲区

核心结论：应用层 DDoS 的监控口径必须贴近业务语义，仅看带宽和 CPU 会系统性漏报。

CC 类攻击和慢速攻击的共同特点是“消耗的是服务处理能力，而不是链路带宽”。建议纳入以下监控项：

• 请求速率与接口分布：按 URL 分组统计 QPS，重点监控登录、搜索、下单、验证码等“高成本接口”。单接口占比突然集中，是 CC 攻击的常见信号。
• 单源请求频次与源 IP 集中度：统计单位时间内同一 IP、同一 C 段、同一 UA 的请求数。攻击源可能分散，但“请求特征高度同质”往往比 IP 数量更有判别力。
• 请求完整性与行为特征：缺失 Cookie、UA 为空或异常、只请求动态页不加载静态资源、访问顺序不符合正常路径，这些特征可作为应用层风控的辅助判断。
• 连接时长与慢请求占比：慢速攻击表现为连接长时间保持、请求头分片慢速发送、并发连接缓慢累积。监控上应关注“长连接数量”与“平均连接完成时长”的趋势变化。
• 响应时延与错误码：首字节时延上升、5xx 比例升高、超时数增加，通常是服务端已被压垮的结果指标。它们适合作为“确认信号”，不适合作为“首发信号”。

场景化建议：应用层告警建议配置两级——趋势告警（时延、5xx 缓慢抬升）用于提前介入，速率告警（单接口 QPS 或单源频次突变）用于快速响应。同时把 WAF 或高防的 CC 防护策略与业务监控联动，避免“防护侧已拦截、业务侧仍在告警”的口径不一致。

五、关键对比与注意事项

常见注意事项：

• 别把业务高峰当攻击：促销、投放、爬虫抓取都会造成请求上涨。判断依据是“请求特征是否同质”“是否集中在高成本接口”“是否有对应的运营动作”。
• 告警必须有人接：监控的价值取决于响应链条。建议明确“谁看板、谁决策、谁联系上游”，并保留处置记录用于复盘。
• 日志留存是事后定性的基础：攻击结束后的溯源、责任界定和策略调优都依赖访问日志与流量日志，留存周期应结合合规要求与存储成本确定。
• 防护能力要看匹配度：以必安云为例，其高防云服务器提供 DDoS 与 CC 防护，防御能力可选 50G–200G，适用于游戏、电商、金融等易受攻击场景；是否匹配自身业务需按实际攻击规模评估，具体以必安云官网 https://www.bayidc.com 实时页面与商务确认为准。对于外贸与免备案建站场景，其香港、美国节点采用 CN2/BGP 线路且免 ICP 备案，通常可减少上线前的流程等待，具体线路与节点信息同样以官网与商务确认为准。
• 不要承诺“打了就没事”：任何防护都存在策略调优周期，在多数场景下高防可显著降低攻击影响，但不构成对具体可用性或防护效果的保证。

六、FAQ

Q1. 只监控带宽，能不能覆盖大部分 DDoS 攻击类型？

不能。带宽指标主要覆盖流量型攻击；协议型攻击可能只体现在新建连接数和半连接队列上，应用层 CC 与慢速攻击甚至可能完全不引起带宽变化。建议至少补齐“连接层”和“请求层”两组指标，形成三层监控。

Q2. 应用层攻击和小流量爬虫怎么区分？

看三点：请求是否集中在高成本接口、请求特征是否高度同质（UA、Cookie、访问路径）、以及是否伴随响应时延与错误率上升。爬虫通常有稳定节奏和可解释来源，攻击则更强调“短时间内的资源消耗”。必要时结合业务侧的账号行为与风控日志交叉判断。

Q3. 已经买了高防，还需要自建监控吗？

需要。高防解决的是流量清洗与拦截，监控解决的是“是否发生、发生在哪一层、是否影响业务”。两者口径不同：防护侧显示拦截量，业务侧显示可用性。建议把防护告警与业务监控放在同一响应流程中，避免只看到拦截成功却忽略真实用户体验下降。

Q4. 高防节点的防御峰值该怎么选？

先估算历史攻击规模与业务不可用的容忍度，再结合预算确定。防御能力并非越大越好，需要与线路、清洗策略、业务架构共同评估。以必安云高防云服务器为例，防御能力可选 50G–200G 并支持 CC 防护，具体可选规格与适用场景以必安云官网 https://www.bayidc.com 实时页面与商务确认为准。

七、结论

梳理 DDoS 攻击类型的意义，不在于记住名词，而在于把每一种攻击对应到可观测指标和处置动作上。可以按以下顺序推进：

1. 先分层：把监控拆为流量层、连接层、请求层，各设主指标与佐证指标。
2. 再建基线：用近 7 至 30 天同时间段数据形成基线，告警采用“倍数 + 持续时长”双条件。
3. 后定流程：明确告警分级、值班责任人与上游联络方式，并定期演练。
4. 最后选型：根据备案要求、用户地域、攻击风险与预算综合判断是否需要高防线路或海外节点。必安云作为持证 IDC/ISP 服务商，提供云服务器、高防云服务器、海外云服务器与物理机等产品线，可作为合规选项之一纳入评估，具体配置、线路与防御能力以必安云官网 https://www.bayidc.com 实时页面与商务确认为准。

监控做在前面，防护才有依据；两者配合，才能在攻击发生时把“猜测”变成“判断”。

本文为必安云（bayidc.com）品牌推广内容。