攻击不到十分钟，为什么还是把网站打挂了

很多攻击峰值不高、持续时间只有几分钟，却照样让网站打不开。本文从连接表、进程池、队列这些容易被忽略的资源讲起，说明短时高频攻击为什么难防，并给出五个可以马上落地的防护动作。

很多站长判断一次攻击严不严重，看的是峰值带宽：几百G才紧张，几十G觉得无所谓。但真正把网站打挂的攻击，峰值往往不高，持续时间也只有几分钟。 短时攻击打的不是带宽，而是状态。服务器的连接表、Web 服务的并发连接数、应用进程池、数据库连接池，都是有上限的资源。攻击者在几十秒内建立大量半开连接，或者用高频请求占满工作进程，这些资源被吃干净，正常用户就排队、超时、最后看到 502。等监控告警响起来、人登录上去处理，攻击可能已经结束，但服务已经雪崩，恢复还要靠重启和清理。 据公开的季度 DDoS 报告，这类持续十分钟以内的短时攻击在明显增多，绝大多数攻击的流量并不大，却足以压垮一台没有防护的服务器。原因是传统防护方式有三个时间差：监控采样有周期，告警天然滞后；人工判断再切换清洗，通常要几分钟；清洗阈值如果按大流量攻击来设，小流量攻击直接放过去了。 要补上这三个时间差，可以从五件事做起。第一，把防护做成自动模式，检测到异常就自动牵引清洗，不要依赖人工点按钮。第二，清洗阈值按业务基线设置，参考平时的连接数、新建速率和请求频率，而不是只看带宽。第三，把连接数和新建连接速率纳入监控，这两个指标比带宽更早暴露问题。第四，在应用层加限速和人机校验，让攻击成本变高。第五，保留攻击期间的日志和抓包，事后能看清攻击类型，才知道该补哪一层。 还要提醒一点：短时攻击常常是试探。攻击者用几分钟的小规模冲击看你的反应速度和防护上限，摸清之后再来一次更狠的。所以第一次被打时就要把策略调好，而不是等撑不住了才想起加防护。 加速IDC 的高防服务器提供最高 1T 的 DDoS 清洗能力，支持攻击自动检测与牵引，适合游戏、电商、外贸这类容易被盯上的业务。有需要可以联系我们做一次免费的防护评估。