防御阈值和业务的匹配

先画两条线：一条是业务的正常流量峰值，一条是攻击流量的疑似线。防御阈值就设在这两条线之间——设低了误杀真实用户，设高了攻击漏进来。匹配是高防配置里最需要数据支撑的一步。 一、业务峰值怎么测 用云监控拉最近 90 天的入站流量曲线，取 95 分位作为日常水位，再单独标注大促、开奖、整点签到这类尖峰时刻的最大值。日常 200Mbps、活动冲到 400Mbps 的业务，阈值要按 400 以上设计，不能按日常值拍板。取 95 分位而不是最大值，是为了排除一次性的意外尖峰，比如有人临时上传大文件。 二、两条线怎么区分 流量型攻击直接看带宽突增，好认。难的是 CC 攻击：它模拟正常 HTTP 请求混在真实用户里。可用的区分信号有三个：QPS 与在线用户数明显背离、请求 URI 分布异常集中、同一来源 IP 高频请求。实在分不出时，验证码和 JS 挑战是最后的分辨手段。日志里按 URI 聚合请求量，请求最多的二十个接口单独立基线，CC 攻击往往集中在少数接口上。 三、阈值设置的操作思路 清洗触发阈值设在业务峰值的 1.2 到 1.5 倍起步观察，日常峰值 200Mbps 就从 300Mbps 附近试起。设完不是结束：观察一周的触发记录，出现误清洗就把阈值上浮，出现漏防就下调，几次迭代后收敛到合适值，这个值每年至少复核一次。每次调整记录在案：谁改的、为什么改、改了多少，回溯时有据可查。 四、定期复核 业务涨了阈值不涨，等于变相调低防护。每次大版本上线、营销活动扩容后，重新拉一遍流量曲线复核阈值。防御参数是活配置，不是一次性设置，要跟着业务一起长大。 阈值匹配没有万能公式，只有测量、设置、观察、调整的循环。把这个循环跑起来，防御能力和业务规模才真正咬合。