当次攻击是否已被处置，核心看三点：清洗报表中攻击事件状态是否已置为“清洗完成”、攻击流量是否已回落到正常基线、报表时间线是否与防护策略调整或回源记录闭合。这三条同时满足，才能确认攻击处置闭环，下面按操作路径拆解。
清洗报表怎么看：先确认三个核心状态
打开高防IP或云WAF控制台的防护报表模块，定位到目标实例，时间范围选择攻击发生当日的完整时段，报表页通常默认展示“攻击事件列表”，每条记录包含攻击类型、峰值带宽、持续时间、最终状态。
判断处置完成的第一条依据就是状态字段,行业常见状态值有“清洗中”“清洗完成”“被黑洞”三类。“清洗完成”意味着流量牵引和回注已结束，防护系统判定攻击流量不再构成威胁，如果状态仍停留在“清洗中”，说明流量清洗还在持续，处置尚未结束。“被黑洞”则说明触发运营商级封禁，需要先解除黑洞再谈处置。
清洗完成不等于业务完全恢复，报表中攻击峰值时间与结束时间之间的间隔，对应清洗设备实际工作时段，清洗结束后，源站回源流量会有一个恢复过程，业内通常称为“回注”，部分防护厂商的报表会单独列出“回注时间”，这个时间点才是业务流量完全恢复正常的时刻。
攻击流量基线对比：报表里的带宽趋势图怎么读
攻击事件列表只能看到结论,带宽趋势图则展示处置过程，报表页面一般提供入方向带宽、出方向带宽、攻击带宽三条曲线。
清洗生效的特征是：攻击带宽曲线在某个时间点出现断崖式下跌，同时入方向总带宽同步回落，如果攻击带宽曲线下跌，但入方向总带宽仍然高企，说明清洗设备可能未完全覆盖所有攻击路径，或者存在多种类型攻击叠加，此时需要查看协议类型分布，确认是否遗漏了CC攻击等应用层威胁。
处置完成的流量基线没有统一数值标准,但行业共识是回落到攻击发生前24小时的平均峰值水平上下30%以内，且持续观察至少30分钟无反弹，如果攻击结束后带宽立刻回落，但几分钟内再次冲高，说明攻击方可能在进行试探性重放，此时不宜判定处置完成。
基线对比时的常见误判
- 只看峰值不看持续时间,短时突刺后回落，不算攻击持续。
- 忽略业务自身流量波动,大促或数据迁移期间，带宽原本就会上行，需先剔除业务因素。
- 将黑洞解除后的恢复流量误判为攻击反弹,黑洞解除瞬间，正常请求会集中涌入，产生短暂高峰，通常数分钟内回落。
清洗完成之后：报表里还要核对哪些关键字段
状态和趋势图之外,报表中的攻击类型分布、清洗流量总量、源IP数量三个字段对确认处置结果有直接作用。
攻击类型分布
攻击类型分布用于验证清洗策略是否匹配实际攻击特征,如果攻击以SYN Flood为主，而报表中清洗策略记录显示主要触发的是CC防护规则，说明清洗策略可能配置偏差，此时即使状态显示“清洗完成”，也需要重新审视防护策略，否则同类攻击再次发生时，处置效率会打折扣。
清洗流量总量
清洗流量总量反映清洗设备实际消耗的防护资源,若清洗流量数值明显低于攻击峰值带宽，说明部分攻击流量可能未经过清洗设备，存在绕过风险，这种情况下，需要排查DNS解析记录、回源IP是否暴露、转发端口配置等环节，确认是否有绕过路径。
源IP数量与地域分布
源IP数量可以辅助判断攻击是否为分布式,攻击结束后，源IP列表中的活跃攻击源应停止发包，如果报表中攻击源IP数量在清洗结束后仍持续增加，但攻击带宽未上升，可能是攻击方在扫描探测防护阈值，需保持观察。
清洗报表与攻击告警联动：确认处置闭环的实操路径
报表是事后记录,告警是实时通知，确认处置闭环，需要把两者按时间线对齐。
具体操作路径：
- 在告警记录中找到本次攻击的首次告警时间，记录攻击类型与峰值预告警值。
- 回到清洗报表,核对报表中记录的攻击开始时间，两者误差应在几分钟以内，如果告警时间早于报表记录时间超过10分钟，说明清洗设备接入可能存在延迟。
- 查看报表中攻击结束时间,联系告警记录中恢复通知时间，确认告警解除与清洗完成之间的时间差。
- 如果防护策略在攻击过程中有过调整,例如手动切换清洗模式或修改防护阈值，需确认策略变更时间点落在攻击结束时间之前，且变更后流量曲线未再出现异常。
这条链路走通后,才能下“当次攻击已被处置”的结论。
多产品联动时，清洗报表和WAF日志先看哪个
部分业务场景同时使用DDoS高防和Web应用防火墙,DDoS高防报表记录网络层清洗结果，WAF日志记录应用层拦截结果，两者覆盖层面不同，处置确认时需要区分优先级。
网络层攻击（如流量型DDoS）先看DDoS清洗报表，应用层攻击（如CC攻击、Web入侵）先看WAF日志，如果攻击同时触发两类产品告警，先确认网络层清洗完成，再检查WAF日志中攻击源IP的后续行为，如果WAF日志显示攻击源IP被拦截后重试次数递减，说明应用层攻击也在收敛。
需要留意的是,清洗报表“清洗完成”只代表网络层流量恢复，不代表应用层攻击已停止，部分CC攻击流量峰值不高，不会触发DDoS清洗阈值，但会持续消耗应用资源，这类攻击在DDoS报表中可能无记录，处置确认必须依赖WAF日志中的拦截计数和源IP访问频率变化。
处置确认后的复核动作：回源日志与黑洞状态
清洗报表本身之外,有两项复核动作可以强化处置结论。
回源IP访问日志核对
登录源站服务器,查看清洗结束时间之后的访问日志，正常情况下，源站会重新出现来自正常用户IP的请求，并且请求频率、UA特征、访问路径分布恢复日常规律，如果访问日志中仍集中出现高频请求，且来源IP与攻击告警中的IP段重合，说明清洗策略遗漏了部分应用层请求，需继续排查。
黑洞状态与防护阈值复查
攻击峰值超过防护阈值时,会触发运营商黑洞，黑洞解除后，防护厂商通常会提示调整防护阈值或购买更高防护规格，如果本次攻击已触发黑洞，即使清洗报表显示攻击结束，实际上业务中断是由黑洞导致的，此时处置动作并未完成，还需要完成解封流程并评估防护容量是否充足。
检查封禁策略是否误伤
攻击结束后,检查报表中关联的封禁IP列表，部分清洗策略会临时封禁攻击源IP，攻击结束后这些IP需要自动或在人工确认后解封，如果封禁列表中包含正常业务IP或合作方IP，需要手动移除并记录原因，避免影响后续业务访问。
关于清洗报表确认攻击处置的常见问题
清洗报表显示清洗完成，但网站还是打不开，为什么
清洗完成只代表攻击流量被过滤,源站服务器如果已因过载宕机或触发安全组拦截，需要单独处理。先确认服务器CPU、内存、带宽使用率，再检查安全组或防火墙规则是否有临时封禁未解除，部分情况下，清洗设备回注的恢复流量会瞬间冲击源站，导致服务重启，需查看源站系统日志。
高防IP清洗报表中没有攻击记录，但业务确实中断过，如何排查原因
可能是攻击流量未超过清洗阈值,没有触发防护。检查业务中断时段内防护实例的“总请求量”和“并发连接数”指标，如果这两项明显高于正常水平，可能是慢速攻击或低频CC攻击，此类攻击不触发DDoS清洗，需要依靠WAF的速率控制规则拦截，或手动在防护策略中调低CC防护阈值。
清洗报表里的攻击峰值和攻击告警里的峰值数据不一致，以哪个为准
告警峰值是触发告警瞬间的采样值,清洗报表峰值是全攻击周期内每五秒或每分钟细粒度统计的最大值，统计口径不同，数据存在差异属正常现象。以清洗报表中的细粒度峰值作为攻击规模评估依据，以告警峰值作为应急响应的触发参考，两者差值过大时（如超过50%），需联系防护厂商确认报表统计周期设置是否合理。
确认当次攻击已被处置,最终落到一个动作上：报表字段、带宽曲线、告警记录、回源日志四方数据能在同一时间线上互相印证，任何一方存在断档或矛盾，都应视为处置未完全闭环，需要继续排查。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/653730.html
