从监控图反推攻击：流量毛刺的解读

监控图上突然鼓起一个陡峭的包，带宽从平时的 10Mbps 瞬间冲到几百 Mbps，几分钟后又落回去。这种毛刺未必是攻击，也可能是业务被推广、爬虫过境，看懂形态再下结论。 一、毛刺的常见来源 攻击只是毛刺的来源之一。定时任务也会造成毛刺：凌晨的数据库备份、日志压缩会让磁盘 IO 和内网流量出现尖峰，形态是"窄而高、位置固定、每天同一时间"，对照 crontab -l 的计划就能排除。业务被外部渠道提及带来的真实流量，增长快但结构正常，日志里的访问路径是连贯的。攻击毛刺的特点是位置随机、与业务无关、往往伴随防御告警。 二、正常高峰和攻击长得不一样 正常流量会"爬坡"：随活动开始慢慢抬升，请求量、带宽、连接数同步增长，来源 IP 分散，访问路径符合业务逻辑，大量请求带着正常的 Referer 和 Cookie。攻击流量是"断崖"：几秒内从低位直接顶满，带宽涨得远比请求量快，因为攻击常用大包；来源集中或伪造，请求的 URI 高度集中在首页、某个接口，甚至是根本不存在的路径上。 三、用日志确认 监控图只能提出怀疑，日志才能定性。抓峰值时段的访问日志做两个统计： awk '{print $1}' access.log | sort | uniq -c | sort -rn | head -20 awk '{print $7}' access.log | sort | uniq -c | sort -rn | head -20 前者看来源 IP 是否集中，后者看被请求的 URI 是否异常。峰值时段总请求数暴涨、但有效业务请求几乎没有增长，基本可以判定是无效流量。 四、确认之后怎么办 小规模 CC 攻击（模拟大量看似正常的请求消耗资源），先在 Web 层对异常 URI 和高频 IP 做限速；流量型攻击超出机器和带宽的承受范围，本机已经无解，需要平台侧防御顶上去。顺云的高防云服务器 S2 标配 60G DDoS 防御，就是给这类场景准备的兜底。 平时把监控颗粒度调到分钟级，攻击来过没有、什么时候来、什么形态，回看就有数。怀疑是攻击时别急着定性，先用日志验证，再决定防御动作。