1. 目的与范围说明

目标：判断香港高防服务器在遭受攻击时的表现与受影响位置（网络边界、机房链路、主机或应用层）。
范围：适用于有管理员权限、能配置流导出、抓包与查看服务器指标的环境。

2. 准备工作与权限清单

工具：Flow采集器（NetFlow/sFlow/IPFIX）、tcpdump、ss/netstat、iftop/ntopng、Prometheus+Grafana或Zabbix。
权限：路由器/交换机开启flow导出、服务器root权限、访问防护厂商控制台与ISP联络信息。

3. 开启网络流量采集（Flow）并查看“十张表”

步骤：在边界交换机/防火墙开启sFlow或NetFlow并指向采集器；等待5-15分钟采样后在采集器上查看Top Talkers。
判断点：若出口链路出现异常高的源AS或源IP集中，问题在链路/边界；若流量集中到单台内网IP，问题在主机或机架。

4. 主机层面快速指标核查

步骤：登录受保护主机，查看网络和连接状态：ss -s / ss -tnp | head，检查SYN半连接、TIME_WAIT数量；查看ifconfig/ethtool及ifstat/iftop的实时带宽。
判断点：大量半连接(SYN)和高SYN比率提示SYN-Flood；端口大量连接但请求字段正常提示HTTP层攻击。

5. 应用层日志与响应码分析

步骤：收集Nginx/Apache access/error log，使用tail + awk统计每秒请求数、5xx/4xx比例，或把日志送入ELK/Graylog做聚合。
判断点：请求QPS短时间内猛增且多数请求URI相同，说明可能是HTTP flood；大量404/410则为扫描或爬虫。

6. 抓包与流量样本保存（便于供应商分析）

步骤：在边界或受影响主机使用tcpdump抓样本：tcpdump -i eth0 -s 0 -w /tmp/attack.pcap 'tcp or udp'（限制时长或包数）。
注意：抓包会消耗IO，应控制时长并只抓关键接口；将PCAP与Flow样本、时间戳一并提供给高防厂商和ISP。

7. 使用监控平台配置实用告警规则

步骤：在Prometheus或Zabbix中建立阈值告警示例：网络出口流量超过带宽80%、SYN速率短时升高超阈值、请求延时/错误率上升。
触发后：自动发出短信/邮件并调用应急脚本（比如临时黑洞或启用上游清洗），同时保留历史数据以便追溯。

8. 判定攻击类型与定位方法

步骤：结合Flow、PCAP与日志判断类型：UDP大包+高带宽→UDP-Flood；TCP大量SYN→SYN-Flood；HTTP短连接大量GET→HTTP-Flood。
定位：通过源IP/源AS统计、WHOIS与BGP归属分析，判断是否为分布式源或单一AS发起，帮助决定是否联系ISP或发起清洗。

9. 与高防厂商、ISP协同的标准流程

步骤：准备时间线、流量峰值截图、Flow样本、PCAP与受影响IP清单；向厂商提交ticket并开启紧急通道。
沟通要点：明确受影响IP、开始/结束时间、流量类型与是否影响业务，以便厂商配置转发清洗或上游策略。

10. 恢复与边缘缓解建议（事后优化）

步骤：完成清洗后复盘，评估是否需要：提高清洗带宽、启用更细粒度WAF规则、优化连接超时和SYN cookie、配置ACL与速率限制。
长期策略：建立定期演练、保留历史flow日志、与ISP签署SLA及应急联络表。

11. Q1：如何快速判断是网络链路被打还是某台主机被打？

答案：通过Flow采集看Top Talkers与目的IP分布，若多个目的IP受影响集中在同一出口带宽饱和为链路层问题；若流量仅指向单台内网IP且主机CPU/conn异常则为主机被打。

12. Q2：抓包会不会对服务器产生影响，该如何安全抓包？

答案：抓包会消耗IO和CPU，建议在边界设备或流采集点抓取样本、控制抓包时长与包数，必要时只抓头部并使用采样过滤，避免在高峰时长在主机做大规模抓包。

13. Q3：告警阈值如何设置才既灵敏又不泛报？

答案：先统计正常基线（7天/30天流量分布），按百分位设阈值（如95/99分位），结合短时突增比率（短时间内增长超过X倍）与错误率联合触发，减少单一指标误报。

来源：如何通过监测工具判断香港的高防服务器在哪里受到攻击时的表现