先搞清楚你被的是哪种
成都做游戏周边的次元屋，去年双十一被打了。现象是网站打不开，但服务器CPU正常。这是典型的流量型DDoS，黑客用僵尸网络把带宽挤满。另一类是CC攻击，看起来像正常访问，实际是脚本刷接口。两种打法不同，应对也得分开。我们到现场先看流量图，峰值到了平时47倍，一眼就明白是带宽被堵。别慌。
找服务商清洗是首选
自己硬扛不现实。我们给次元屋切到带高防IP的线路，恶意流量在运营商层面就被清洗掉，正常顾客不受影响。从发现到恢复用了28分钟。成都本地几家云厂商都有高防套餐，基础版一个月600到1500元，能顶住50G以内的攻击。别自己买服务器对拼，那是拿鸡蛋砸石头。
CDN把压力摊开
说白了，攻击者找一个目标打，你就把目标变成一千个。上CDN后，访客就近到节点拿内容，源站IP藏起来，黑客连你在哪台机器都不知道。天府三街一家做SaaS的公司上了CDN，攻击流量被分散到两百多个边缘节点，单个节点压力直接掉九成。顺便加载速度还快了，一举两得。
业务层也要设限
踩过坑的人都知道，光靠网络层不够。我们在接口层加了单用户每分钟请求上限，验证码挑战异常流量，把搜索、下单这些贵操作单独限流。龙泉驿区一家汽配商城被CC时，这套规则拦了每秒1800多次假请求，真实订单一笔没漏。攻防是长期拉锯，规则得跟着对手变。
留好证据再报警
攻击持续超4小时、损失超5000元，就能走网安报案流程。我们帮次元屋导出了完整流量日志和时间线，后来查证是对手雇的打手。保留证据比急着恢复更重要，没证据连是谁干的都查不出。成都网安对这类案件现在处理挺快，材料齐全一周内就能立案。
平时花小钱买平安
等被打再临时上高防，切换要时间，那几十分钟损失照样计进账。我们建议成都客户平时就开着基础高防和CDN，一个月多花三四百，攻击来了一键拉满，顾客根本无感。次元屋后来改成常开，再遇两次小规模试探，业务曲线平稳得像没发生过。安全投入省在前面，往往赔在后面。
别忽视云厂商自带能力
成都不少企业用的主流云，后台本身就带基础防护和流量告警，好多老板从来没点开过。我们带次元屋把云监控的阈值调好，攻击一来手机就响。这功能不额外收费，等于白送的哨兵。先把平台给的免费能力用满，再谈买付费高防，顺序别反了。成都雨季机房易潮，顺手把温湿度告警也开了，硬件少出幺蛾子，防护才稳得住。