分层式DDoS防护方案框架，兼顾实战效果与落地效率，无需自建复杂基础设施，可快速部署：
一、核心策略：混合防御架构（云清洗+本地防护）
| 层级 | 防护目标 | 实施方案 | 落地周期 |
|---|---|---|---|
| 1. 边界防御层 | 过滤畸形包/协议攻击 | 出口路由器启用ACL限速（例：限制ICMP/UDP碎片包速率） | <24小时 |
| 2. 本地防护层 | 应对≤5Gbps流量型攻击 | 防火墙开启SYN Cookie + 连接数限制（单IP≤500连接） | 即时生效 |
| 3. 云端清洗层 | 抵御大规模流量/反射攻击 | 接入云防DDoS服务（阿里云DDoS高防/AWS Shield/Cloudflare Magic Transit） | 3-7天 |
二、关键动作清单（按优先级排序）
紧急响应通道（Day 1必做）
- 要求云服务商开通DDoS防护默认开关（如AWS Shield Advanced自动防护）
- 在防火墙预设应急黑洞路由（攻击超阈值时自动丢弃流量）
- 保存业务流量基线：记录正常业务时TCP连接数、带宽、PPS数据
低成本高收益加固（Week 1完成）
- DNS防御
将所有业务DNS解析切换至Cloudflare或阿里云DNS（免费抗D基础能力）
关键业务设置TTL≤300秒（快速切换故障节点） - 服务隐身
Web业务通过CDN加速（阿里云CDN/Akamai）隐藏源站IP
非Web业务使用Anycast IP（云厂商提供）
- DNS防御
自动化响应机制（Month 1部署）
三、供应商选择指南（甲方友好型）
| 需求 | 推荐方案 | 管理复杂度 |
|---|---|---|
| 预算有限/快速启动 | Cloudflare Pro ($20/月) + 免费CDN | ★☆☆☆☆ |
| 国内业务合规要求 | 阿里云DDoS高防（按次付费最低¥300/次） | ★★☆☆☆ |
| 企业级全托管 | Akamai Prolexic（带SLA保证） | ★★★☆☆ |
避坑提示：避免选择需改造网络架构的方案（如BGP引流），优先使用DNS/CNAME接入方式
四、验证性测试清单（1日内完成）
- 压力测试
- 使用GitHub开源工具**
MHDDoS**模拟≤1Gbps UDP洪水攻击（测试本地防护）
- 使用GitHub开源工具**
- 切换演练
- 手动修改DNS指向清洗中心，验证业务恢复时间（目标：≤5分钟）
- 误杀检查
- 开启防护后扫描业务关键API（监控HTTP 200状态码）
五、持续维护清单
| 频率 | 动作项目 | 交付物 |
|---|---|---|
| 季度 | 更新云清洗IP白名单 | 安全组配置文档 |
| 半年 | 开展桌面推演（Tabletop Exercise） | 应急响应报告 |
| 攻击后 | 抓取攻击样本上传云厂商分析 | IoC威胁情报 |
六、成本优化技巧
- 弹性计费：选择按攻击次数付费的云清洗（阿里云DDoS高防标准版每日首攻免费）
- 共享带宽包：企业多个业务共用云防护带宽池
- 开源替代：用Nginx+Lua实现基础速率限制（OpenResty方案）