应用场景

阅读时间： 约 4分钟

业务面临的威胁不同，需要启用的防护能力也不同。本文列出 DDoS 云清洗 2.0 的典型应用场景，帮助您判断自己的业务属于哪一类、该启用哪些能力，以及每类场景下防护是如何生效的。

场景概览

大规模 L3/L4 DDoS 攻击防护

场景特征： 业务遭受针对网络层与传输层的大流量攻击，例如 SYN Flood、UDP Flood 以及各类反射放大攻击。这类攻击以消耗带宽和连接资源为目的，带宽被占满后，正常用户将无法建立连接。

启用的能力：

• 常态化引流：业务流量默认流经清洗中心，攻击发生时无需临时切换线路。
• 协议校验与异常过滤：依据协议特征校验流量合法性，过滤伪造源与异常报文。
• 自适应限速与连接控制：根据实时流量行为调整限速策略，避免正常业务被一并限制。

效果： 攻击在到达源站前即被清洗，源站的带宽与连接资源不受影响。

L7 攻击与自动化 Bot 流量防护

场景特征： 攻击者通过 HTTP/HTTPS 请求直接作用于应用层，例如 HTTP Flood、API 滥用、撞库攻击以及自动化 Bot 抓取。这类请求的报文特征与正常访问接近，仅依赖网络层防护无法识别。

启用的能力：

• WAF 防护：检测并拦截 SQL 注入、XSS 等应用层攻击请求。
• Bot 管理：识别自动化 Bot 流量，对爬虫、撞库等行为执行拦截或校验。
• API 安全：分析 API 请求行为，对异常调用实施访问控制。
• 应用层 DDoS 防护：缓解高频并发请求导致的响应缓慢或服务不可用。

效果： 正常用户的访问体验不受影响，应用层攻击请求被精确识别并拦截。

多向量攻击防护（L3–L7 组合攻击）

场景特征： 攻击者常将大流量攻击与应用层攻击组合使用，以放大攻击效果并绕过单一层级的防护。仅配置单层防护时，可能出现“网络层流量正常、应用层已被打满”的情况。

启用的能力：

• 统一分析：对 L3、L4 与 L7 的攻击行为进行关联分析，识别同一攻击事件的多个向量。
• 策略联动：各层级策略在同一控制台配置，防护动作协同执行，无需分别维护。
• 行为关联识别：基于跨层级流量关联特征，识别多向量攻击行为。

适用场景： 攻击手段多变，或已出现组合攻击的业务系统。

TCP/UDP 应用防护

场景特征： 在线游戏、实时通信、自定义协议服务等业务基于 TCP/UDP 协议运行，不经过 HTTP/HTTPS，Web 安全方案无法覆盖。

启用的能力：

• L3/L4 DDoS 防护：为 TCP/UDP 业务提供与 HTTP 业务同等的网络层防护能力。
• 连接稳定性保障：攻击过程中维持已建立的业务连接，避免游戏掉线或通话中断。
• 协议特征识别：按业务协议特征过滤异常流量，仅将合法流量转发至源站。

效果： Web 与非 Web 业务在同一平台完成接入与防护，无需分别维护两套方案。

突发流量与业务高峰保障

场景特征： 促销活动、直播、业务上线等运营动作会带来远超日常的流量增长。突发流量的曲线特征与攻击请求存在相似性，若防护策略按固定阈值判断，正常业务高峰可能被误拦截。

启用的能力：

• 流量基线建模：基于历史访问行为建立基线，区分“规律性增长”与“从未出现过的异常”。
• 动态阈值调整：根据实时流量调整防护阈值，业务增长时自动放宽，攻击发生时快速收紧。
• 弹性资源扩展：按需扩展带宽与清洗资源，承载突发流量而不影响访问质量。

效果： 业务高峰期间访问稳定，正常用户不会因防护策略而受影响。

为什么突发流量不会与攻击请求混淆？
判断依据是“是否符合已有基线”：符合历史规律的流量按正常业务放行，明显偏离基线的流量按攻击处理。新接入的业务缺少历史数据，建议先以观察模式运行 3–7 天完成基线积累，确认无误拦截后再切换为防护模式。

下一步

• → 接入网站防护 — 为 HTTP/HTTPS 业务接入 L7 防护与 DDoS 防护
• → 接入非网站防护 — 为游戏、实时通信等 TCP/UDP 业务接入 L3/L4 防护
• → 关于 DDoS 云清洗 2.0 — 了解产品架构与整体防护能力