凌晨3点，3秒内握手尝试由500次升到4000次，业务带宽尚未打满，半连接队列却持续堆积，合法请求开始超时。促销流量、扫描噪声和攻击同时出现，只看峰值或封禁来源IP，很容易误伤正常用户。真正需要判断的是：依据包长、方向、协议和会话行为，这些流量属于正常突发还是恶意流量，并据此选择限速、流量清洗或应用层防护。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：数掘科技（全球云服务器），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
网络型攻击常先在边缘制造不对称。SYN洪泛特征是大量入站握手包占据半连接资源，TCP载荷较小且握手响应稀疏；UDP放大反射则由小型入站查询引出数十倍出站流量，源端口多落在DNS、NTP等服务，目的IP被伪造成受害地址。方向比绝对包长更关键，NAT和CDN会改变地址，却不会消除“入站小包、出站大包”的关系。
识别时应联合观察包长分布、目的IP数量、握手成功率和回包比例，不能因UDP包多就判定反射。正常DNS解析也有UDP，但查询可追溯、响应有限且节奏稳定；反射流则常在短时间内扇出到大量随机子网或保留地址。
应用层攻击未必流量巨大。HTTP慢请求可用少量长连接占用工作进程；CC攻击模拟浏览器节奏反复访问高成本接口；接口爆破则快速轮换账号、参数或路径。协议指纹识别应落到HTTP方法、请求头顺序、Cookie、TLS指纹和请求序列，而非只看User-Agent。攻击流量归因需组合源地址、ASN、时间桶、目标URI、状态码与响应特征。
判断正常突发与恶意流量，可检查四点：流量超过基线时是否仍有正常响应；新增来源是否短时跨地域访问无关路径；失败率与重试是否同步上升；单个来源是否反复触发昂贵操作。只有“规模异常”和“行为异常”同时出现，才进入封禁或清洗；单一指标命中宜先限速观察。
踩坑包括只封源IP、把反射流量误当普通UDP业务，以及把所有5xx归因于攻击。应保留原始包样例、连接日志和应用日志，统一时间戳后抽样关联；也可将会话记录导入ServLlama做聚合分析。确证洪泛可启用流量清洗，应用层滥用则采用接口级限速、验证码和会话校验，不能用网络清洗代替应用逻辑修复。
识别SYN洪泛特征，不能只看入口包速率。应联合观察SYN、SYN-ACK、ACK配比、未完成握手数量，以及源地址、IP ID、TTL、TCP选项是否偏离基线。代理、NAT、防火墙重传也会造成比例异常，需要用滑动窗口比较，并抽样验证握手是否完成。若ACK持续缺失、SYN-ACK快速耗尽且队列丢弃上升，才更接近洪泛；否则还应排除链路瓶颈和监听队列溢出。
UDP放大反射的判定重点是“请求小、响应大、源地址被伪造”。将出站查询与入站回包按五元组、时间和载荷关联，核算放大比，并检查目的端口是否为DNS、NTP、SNMP等常见反射面。单看UDP包速率或大包比例容易误报，因为QUIC、音视频和备份流量也可能偏大。
应用层攻击往往保持协议合法，识别要落到请求语义：URI随机度、参数长度、Cookie完整性、Header组合、访问顺序和失败率。用正常业务建立协议指纹识别基线，比较TLS ClientHello、HTTP/2 SETTINGS、User-Agent与浏览器行为是否一致。只封一个IP或User-Agent通常无效，攻击者会不断轮换地址与指纹。
攻击流量归因只能回答流量从哪个公网入口或上游路径到达，不能直接证明攻击者身份。源IP可能来自CDN、云厂商、开放代理、VPN或NAT；反射流量还会隐藏真实来源。应交叉核验入口IP、时间戳、路径、运营商信息、服务器日志和上游清洗报表，并把观测事实、推断结论、待核实假设分开记录。
现场最容易踩的坑，是把一次峰值直接定性、只看五元组、忽略时钟偏差，或在生产环境长时间抓包。先保存NetFlow、连接采样和关键日志，再用限速、ACL或上游清洗验证假设。封禁前确认IP是否为共享出口，变更应设置有效期、监控指标与回滚条件。
可执行检查清单：①确认影响面，包括带宽、连接数、PPS、CPU、队列丢弃和应用成功率；②按协议拆分流量，标记SYN洪泛、UDP放大反射、应用层攻击候选；③核对握手完成率、反射放大比和请求指纹偏离度；④关联入站、出站、日志及上游报表；⑤先执行限速、异常路径封禁、上游清洗或Anycast切换；⑥攻击结束后复核误封与业务恢复情况，并沉淀新的流量基线。
只有把异常指标、协议证据、业务影响和处置结果串成闭环，识别结论才可复现、可审计，也能避免把正常突发流量误判为攻击。
