攻擊不到十分鐘，為什麼還是把網站打掛了

很多攻擊峰值不高、持續時間只有幾分鐘，卻照樣讓網站打不開。本文從連線表、程序池、佇列這些容易被忽略的資源講起，說明短時高頻攻擊為什麼難防，並給出五個可以馬上落地的防護動作。

很多站長判斷一次攻擊嚴不嚴重，看的是峰值頻寬：幾百G才緊張，幾十G覺得無所謂。但真正把網站打掛的攻擊，峰值往往不高，持續時間也只有幾分鐘。 短時攻擊打的不是頻寬，而是狀態。伺服器的連線表、Web 服務的併發連線數、應用程序池、資料庫連線池，都是有上限的資源。攻擊者在幾十秒內建立大量半開連線，或者用高頻請求佔滿工作程序，這些資源被吃乾淨，正常使用者就排隊、超時、最後看到 502。等監控告警響起來、人登入上去處理，攻擊可能已經結束，但服務已經雪崩，恢復還要靠重啟和清理。 據公開的季度 DDoS 報告，這類持續十分鐘以內的短時攻擊在明顯增多，絕大多數攻擊的流量並不大，卻足以壓垮一臺沒有防護的伺服器。原因是傳統防護方式有三個時間差：監控取樣有周期，告警天然滯後；人工判斷再切換清洗，通常要幾分鐘；清洗閾值如果按大流量攻擊來設，小流量攻擊直接放過去了。 要補上這三個時間差，可以從五件事做起。第一，把防護做成自動模式，檢測到異常就自動牽引清洗，不要依賴人工點按鈕。第二，清洗閾值按業務基線設定，參考平時的連線數、新建速率和請求頻率，而不是隻看頻寬。第三，把連線數和新建連線速率納入監控，這兩個指標比頻寬更早暴露問題。第四，在應用層加限速和人機校驗，讓攻擊成本變高。第五，保留攻擊期間的日誌和抓包，事後能看清攻擊型別，才知道該補哪一層。 還要提醒一點：短時攻擊常常是試探。攻擊者用幾分鐘的小規模衝擊看你的反應速度和防護上限，摸清之後再來一次更狠的。所以第一次被打時就要把策略調好，而不是等撐不住了才想起加防護。 加速IDC 的高防伺服器提供最高 1T 的 DDoS 清洗能力，支援攻擊自動檢測與牽引，適合遊戲、電商、外貿這類容易被盯上的業務。有需要可以聯絡我們做一次免費的防護評估。