流量突增时，先看来源集中度和请求行为是否正常热点流量集中在少数几个入口，攻击流量则大量来自分散IP且请求模式异常。
流量刚起来那几分钟,先别急着封IP或扩容，先判断一件事：这波流量像不像真人，真人访问有路径、有停留、有来源，攻击流量大多数没有，下面按模块拆开讲清楚。
网站流量突然增大如何排查：三个信号快速分流
排查方向不要一上来就查防火墙,先抓三个最直观的信号：来源、路径、时间，这三个信号基本能帮你排除掉一半以上的误判。
来源集中度
热点流量的来源通常很集中,比如某个商品链接被社交平台大V转发，大部分新访客都从那个链接进来，来源域名、推广参数、落地页都比较单一。
攻击流量相反,来源IP分散，地域跨度大，请求在站点内无规则跳转，一个正常用户不会在几秒内请求几十个毫不相干的URL。
请求路径
正常热点访问会走完页面加载链路：先请求HTML，再拉取CSS、JS、图片，这是浏览器的标准行为。
攻击流量多数只打某一个接口,比如登录接口、搜索接口、短信发送接口，路径单一，资源消耗集中，也可能随机扫描大量不存在的路径，制造大量404。
时间曲线
热点增长有爬坡过程,多数情况下几分钟到几十分钟内逐渐上升，中间会有波动，因为传播需要时间。
攻击流量常见瞬时拉满,曲线几乎垂直拉起，前一分钟还是正常水位，下一分钟直接顶到带宽上限，这种形态的嫌疑很大。
服务器被攻击和正常流量突增区别在哪
把两种流量放在一起对比,差异会很明显。
| 维度 | 正常热点流量 | 攻击流量 |
|---|---|---|
| 来源 | 集中在少数入口 | IP分散、地域杂 |
| 路径 | 完整页面链路 | 单一接口或随机URL |
| 时间 | 逐步上升 | 瞬时拉满 |
| 响应码 | 200占多数 | 404/502/429激增 |
| 资源消耗 | 带宽为主 | CPU/连接数为主 |
| 会话行为 | 有停留、有转化 | 无停留、无转化 |
这张表可以帮你快速判断,如果四项以上偏向右边，基本可以按攻击处理。
业内专家指出,攻击流量与热点流量在请求特征上的差异往往比总量变化更值得关注，只看总量，很容易把活动带来的正常流量误伤掉。
流量突增时按步骤查什么
这是一个可以直接照着做的排查顺序,每一步都有具体操作路径。
第一步：看监控大盘
先看服务器的连接数、带宽、CPU、内存四张图，攻击流量通常先打满连接数，带宽反而是后来的，热点流量先涨带宽，连接数不会异常高。
第二步：拉取访问日志
登录服务器,用命令行拉取最近五分钟的访问日志，以Nginx为例：
tail -n 5000 /var/log/nginx/access.log如果日志体积太大,可以先按时间过滤，重点看请求时间是否集中在极短窗口内。
第三步：统计来源IP
用awk统计访问最频繁的IP地址：
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -20如果前20个IP的请求量占了总量相当大比例,且这些IP来自不同网段，攻击嫌疑很高。
第四步：检查请求路径
看看请求的URL分布,正常热点下，高频URL应该集中在几个核心页面，攻击流量会频繁请求某个API接口或随机路径。
第五步：看响应码分布
统计响应码数量：
awk '{print $9}' /var/log/nginx/access.log | sort | uniq -c | sort -nr如果429、502、404这类状态码在短时间内激增，说明服务器已经在拒绝请求，攻击可能性很大。
促销活动流量突增防护成本怎么算
活动期间流量突增,很多站长第一反应是加防护，但防护有成本，怎么算才不花冤枉钱。
先算基础带宽成本
活动流量是真实用户带来的,这部分带宽成本无法避免，按峰值带宽计费，活动前预估峰值，按需购买即可，不要一上来就买超大带宽，可以先买基础量，配合CDN分流。
再算防护成本
防护分两层,基础DDoS防护通常由机房或云服务商提供，按带宽或按QPS计费，这部分费用在促销期间会小幅上涨，WAF防护按QPS计费，如果活动页面主要是静态内容，可以先把WAF策略调到观察模式，只记录不拦截，降低误杀风险。
最后算人工排查成本
如果没有自动化告警,每次流量突增都要人工上去查，这个成本往往被忽略，建一套简单的监控脚本，把来源集中度、请求路径、响应码做成自动报表，能省下大量时间。
行业共识认为,促销场景下的流量突增，优先用CDN和限流策略扛住真实用户，攻击流量交给基础防护过滤，比直接堆高防成本更低。
北京机房流量异常排查方法：从监控到封禁
以北京机房为例,地域性流量异常有自己的一套排查逻辑，北京机房接入的线路多，出口带宽大，攻击流量一旦进来，往往先表现在机房出口的监控告警上。
机房出口监控先看
登录机房提供的流量监控面板,看出口带宽是否突然打满，如果打满，再看入方向还是出方向，攻击流量多数是入方向暴涨，正常热点是出方向流量增大。
基础防护策略先开
北京很多机房自带基础DDoS防护,流量异常时，先在机房侧开启基础清洗，清洗策略按源IP信誉库过滤，能挡掉一部分明显伪造的流量。
业务侧做连接数限制
在服务器上对单个IP设置连接数上限,Nginx可以配置：
limit_conn_zone $binary_remote_addr zone=perip:10m;
limit_conn perip 20;这个配置限制每个IP同时最多20个连接,正常用户不会同时开这么多连接，攻击流量会被直接拒绝。
封禁要有节奏
不要看到异常IP就批量封禁,先封禁请求量排名前10的IP，观察五分钟，如果流量下降明显，继续按批次封禁，如果下降不明显，说明攻击源分散，需要上机房级清洗。
热点被误判为攻击的常见情况
误判的代价比攻击本身有时候还大,以下几种情况要特别小心。
搜索爬虫集中抓取
某些搜索引擎更新索引时,会短时间派出大量爬虫，这些爬虫来源IP分散，请求路径集中在全站页面，容易被当成扫描攻击，判断方法是看UA标识，正规爬虫的UA带有明确的搜索引擎名称。
活动页面带动的预加载
活动页面上线时,前端可能配置了多张高清图片预加载，真实用户打开页面，会同时发起几十个图片请求，这类流量路径集中，但请求数量瞬间放大，容易被误判为CC攻击。
第三方回调集中到达
支付回调、物流回调这类第三方接口，在促销高峰会集中到达，来源IP固定但请求频率高，路径单一，判断方法是看请求内容是否包含正常的业务参数，而不是随机字符串。
流量突增不可怕,怕的是判断错方向，热点流量要保护，攻击流量要压制，误判会让用户买单。
流量突增是攻击还是热点怎么判断？相关问题速答
流量突增是攻击还是热点怎么判断最快？
最快的判断方式是看请求来源和响应码分布,用一条命令统计访问日志里IP和状态码，如果IP分散且404或429状态码比例激增，按攻击处理，如果来源集中、200状态码为主，按热点流量处理，整个判断过程不超过五分钟。
服务器被攻击和正常流量突增区别能用日志直接看出来吗？
能,日志里最直观的区别是请求路径和IP密度，正常流量请求路径有规律，IP重复率低但来源集中，攻击流量请求路径单一或随机，IP分布广且单个IP请求频率异常高，用tail和awk组合拉取最近日志，对比字段就能发现差异。
网站流量突然增大如何排查成本最低？
成本最低的方式是先用现成监控看带宽和连接数曲线,再用命令行统计日志字段，不额外采购付费工具，不急着上高防，先判断是攻击还是热点，热点用CDN分流扛住，攻击开基础清洗加单IP限流，这个顺序能把排查成本压到最低，同时避免误杀真实用户带来的收入损失。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/654886.html
