TG咨询企业制定高防DDoS攻击应急预案时，最容易出现的问题不是没有文档，而是预案范围与业务规模不匹配。小型网站照搬大型平台的多级审批流程，可能延误处置；大型企业只准备一套简单封禁规则，又可能在攻击扩大后失去切换依据。适用范围应由业务承载能力、可接受中断时间和外部依赖共同决定。
先用五个指标判断预案边界
判断预案是否适用，不宜只看购买了多少防护带宽。至少应记录以下五类信息：
- 正常与峰值流量：分别记录日常入口流量、促销或发布活动期间的峰值，以及异常增长的持续时间。带宽波动较大的业务，应按峰值而不是日均值设计响应。
- 连接与请求特征：长连接、API调用、文件下载和普通网页对资源的消耗不同。连接数突然增加但带宽不高时，单纯扩大带宽未必有效。
- 业务重要程度：登录、支付、客户管理、公共展示等功能的中断后果不同，应分别设定恢复顺序。
- 用户地域和访问路径：全国访问、海外访问和单一区域访问，对防护节点位置、回源线路和故障切换方式的要求不同。
- 恢复目标：明确允许中断多久、最多接受多少分钟的数据延迟，并写入负责人和升级条件。
不同规模企业，预案应覆盖到哪里
| 业务规模 | 主要风险 | 预案重点 |
|---|---|---|
| 小型或低频访问业务 | 防护配置缺失、无人值守、误封正常用户 | 明确联系人、基础流量清洗、告警确认和供应商报障流程 |
| 中型在线业务 | 接口被高频消耗、多个系统相互依赖 | 按域名和接口分级防护，准备访问限速、备用入口和回退规则 |
| 大型或关键业务 | 攻击持续时间长、区域性故障、多个团队同时操作 | 建立7×24值守、分级授权、跨团队协同、备用线路和定期演练 |
这里的规模不是简单按员工人数划分。例如，一个人员不多但承载在线交易的企业，预案范围可能应接近大型关键业务；一个访问量较大的信息展示站，如果没有账户、订单和实时交易功能，恢复优先级则可能不同。
小型业务：重点是能快速找到人
小型企业可以采用轻量化的高防DDoS攻击应急预案，但必须保留告警确认、联系人、供应商工单入口、配置备份和恢复检查表。至少安排两名能够互相替代的负责人，避免攻击发生在夜间或节假日时无人处理。防护规则调整应保留变更时间和操作者，便于误封后回退。
中型业务：按功能而不是按网站整体处置
中型业务常见问题是把所有访问看成同一种流量。更合理的做法是区分静态页面、登录接口、管理后台和开放API。对消耗资源较高的接口设置身份校验和频率限制，对必须保持可用的功能保留较宽松的策略。管理后台不应因应急而直接暴露到公网，必要时应使用专用办公网络或多因素认证。
大型业务：把协同和替代能力写进预案
大型企业需要明确安全、网络、应用、客服、法务和管理层各自的权限边界。预案应列出何时启动业务连续性流程、何时通知重要客户、何时暂停非核心功能，以及何时将流量切换到备用平台。若供应商承担清洗和线路调度，还应约定告警证据、响应窗口、升级联系人和服务结束后的复盘材料，而不是只保留销售联系人。
一套可执行的处置流程
- 确认异常：对照近一段时间的正常基线，查看入口流量、请求速率、连接数、错误率和服务器资源。先判断是攻击、活动流量还是自身发布造成的异常。
- 划定影响：标记受影响的域名、接口、地域和业务功能，区分全站不可用与单个接口拥塞。
- 启动分级响应：低影响事件由值班人员处理；持续增长、核心功能受影响或资源接近上限时，通知安全负责人、网络负责人和业务负责人。
- 执行预先批准的策略：启用供应商防护、收紧高风险接口的频率限制、临时下线非核心功能，并保留变更前后的配置。不要在没有回退方案时连续修改多条规则。
- 验证恢复：从不同网络和地区测试首页、登录、关键接口及管理入口，确认错误率下降且正常用户没有大范围被拦截。
- 结束与复盘：攻击稳定后逐步恢复临时策略，保存告警、配置变化、供应商沟通记录和业务影响，更新高防DDoS攻击应急预案。
选择防护范围时要避免两个误区
第一，防护能力不是越大越好。过度配置会增加成本和管理复杂度，且不能自动解决接口滥用、账号撞库等应用层问题。企业应把网络层防护、应用层访问控制和身份安全分别设计。
第二，备用方案不是写在纸面上的另一家供应商名称。应提前确认域名、证书、路由、回源地址、监控和权限是否真的可切换，并在业务低峰期进行应急演练。小型业务可以每半年演练一次关键联系人和配置恢复；重要业务应根据变更频率增加演练，并记录实际耗时。
常见问题
预案一定要写成很长的文档吗？
不一定。核心是联系人、启动条件、操作顺序、授权范围和回退方法。复杂企业可以拆成总则、技术手册和业务连续性附件。
如何确定启动阈值？
应结合历史基线和业务容量设置。通常可同时观察流量、连接数、错误率和核心接口成功率，避免只用单一带宽数值判断。
小企业没有专职安全人员怎么办？
可以由网络或运维人员承担首轮确认，并将清洗、线路和应用支持交给服务商，但企业内部仍需保留一名业务负责人负责恢复优先级。
攻击结束后是否立即关闭防护？
不建议立即关闭。应先确认流量和错误率恢复稳定，再分阶段撤销临时限制，并观察正常用户访问情况。
归根结底，高防DDoS攻击应急预案的适用范围，应随着业务规模、依赖关系和恢复要求调整。小企业要保证有人能执行，中型企业要保证功能可分级，大型企业则要保证多团队和备用能力能够协同运转。
