DDoS、CC与WAF防护排障专题

网站遭遇异常请求时，先确认症状、影响范围和瓶颈，再决定使用哪一层防护。DDoS流量、应用层高频请求、WAF规则命中和业务权限问题不能只凭一个告警相互替代。本专题聚焦可观察的证据和可回退的处置步骤，让防护调整同时兼顾业务可用性。

阅读顺序：先判断问题发生在哪一层 → 调整规则时减少业务误伤 → 保留可核对的上下文。

先判断问题发生在哪一层

• 疑似 DDoS 时先看哪里：带宽、连接与应用瓶颈的分层排查

  分开检查带宽、连接和应用资源。

• 高防CDN防护报表怎么看：清洗流量、拦截请求与业务成功率

  把防护报表与业务成功率放在一起分析。

调整规则时减少业务误伤

• 登录限速怎样少误伤：把账号、来源和恢复流程一起设计

  登录限速同时考虑账号、来源和恢复流程。

• WAF 误拦业务请求时，怎样建立可回收的最小例外

  对误拦请求建立最小例外，保留验证和回收条件。

• WAF 拦住搜索引擎怎么办？从抓取失败日志定位误拦规则

  搜索抓取异常时先确认爬虫身份和规则证据。

保留可核对的上下文

• 真实访客 IP 为什么会失真：可信代理链的配置与验收

  确保防护和日志使用可信的访客IP。

• 安全日志怎样既能排障又少泄密：请求标识、字段清单与脱敏

  用请求标识串联链路，同时处理敏感字段。

• 安全事件刚发生时记录什么：建立可交接的时间线与证据清单

  建立包含发现、操作和恢复验证的事件时间线。

完成这条阅读路径后

• 记录异常开始时间、受影响路径、状态码和请求标识。
• 每次调整限定范围、期限和观察指标。
• 恢复后复查业务路径，并回收临时例外。