1. 定位与说明:新加坡节点面对亚太流量,攻击类型与流量峰值有地域特点。
小分段:- 标准包往往只给出固定带宽与默认规则;- 定制化可按业务(API、游戏、金融)调整策略;- 提高命中率并降低误杀。
2. 操作步骤:1) 列出所有公网IP、端口、服务与流量峰值(最近30天);2) 标注关键业务与容忍的最大中断时间;3) 使用流量分析(NetFlow、sFlow 或第三方监控)确定常见来源国与协议分布。
小分段:- 输出表格示例:IP|服务|峰值TPS|峰值带宽|重要性
3. 操作步骤:列出需要的保护维度(带宽清洗、CC防护、应用层WAF、黑白名单、速率限制)。明确SLA:清洗触发时间、99.9%可用性、数据恢复时间(RTO)。
小分段:- 写入合同条款样式:触发阈值、响应时限、赔付条款。
4. 操作步骤清单:1) 询问最大清洗带宽与清洗能力分布;2) 是否支持BGP Anycast/引流到清洗中心;3) WAF是否支持自定义规则并提供实时日志;4) 是否提供流量镜像和回溯日志。
小分段:- 示例问题:贵方在持续256Gbps攻击下能否保证立即清洗并回传清洁流?
5. 操作步骤:1) 根据风险评估设置分级策略(静态阈值、行为分析、挑战-响应);2) 确定拦截动作(丢弃、验证码、速率限制);3) 形成规则集并在预生产环境模拟。
小分段:- 输出策略样例:端口80流量>5000TPS启用行为分析并转入清洗。
6. 操作步骤:A. 内核优化:编辑 /etc/sysctl.conf 添加 net.ipv4.tcp_syncookies=1、net.ipv4.tcp_max_syn_backlog=4096、net.core.somaxconn=1024,然后 sysctl -p。
B. 防火墙限速示例(iptables):iptables -A INPUT -p tcp --dport 80 --syn -m connlimit --connlimit-above 200 -j REJECT。
小分段:- WAF:导入ModSecurity规则并启用日志;- CDN/Anycast在DNS或BGP层做引流。
7. 操作步骤:1) 在测试环境用hping3模拟SYN洪水(受控与限速)并观察响应;2) 使用ab/siege做应用层压力测试验证WAF规则;3) 演练BGP切换流程(与供应商协调短时切换);4) 检查日志是否完整、告警是否触发。
小分段:- 注意:真实攻击测试需供应商许可并在白名单内进行。
8. 操作步骤:1) 建立监控仪表盘(流量、并发、错误率);2) 配置阈值告警与多通道通知(短信、钉钉、邮件);3) 定期回顾清洗日志更新规则;4) 设定月度演练。
小分段:- 自动化:使用API下发WAF规则并记录变更历史。
9. 操作步骤:对比供应商时把定制化费用、超峰费用、日常运维费、SLA罚款项做表格比较;要求试用期与性能证明;把关键条款写入合同。
小分段:- 建议:按需购买清洗带宽并预留突发池。
10. 操作步骤与提醒:- 不要只看带宽数字,要看清洗能力与分布;- 线下演练比纸面SLA更重要;- 注意数据隐私合规(跨境日志)。
小分段:- 建议记录:每次攻击后的复盘报告并更新策略库。
11. 答:对中小型站点建议按风险分级,必要时采用轻量级定制(基础WAF规则+流量阈值+按需清洗);完全免费或默认包通常无法应对定向持续攻击。
12. 答:要求供应商提供历史攻击案例与流量图,进行可控的压测演练,并在合同中写明响应时长与赔偿机制;同时检查是否支持回溯日志与透明监控。
13. 答:建立每月/每次攻击后的复盘流程:分析日志、更新规则、调整阈值并做回归测试;结合业务变化(新接口、新流量峰)及时调整防护策略。