“早上到店，前台电脑全部转圈圈，客房WiFi集体掉线，客人在大厅排队骂人——后来一查，是有人对我们IP发起攻击。“这是被DDoS攻击的酒店常遇到的场景。攻击发生的那一两个小时，每一分钟都是房费损失和口碑损失。
这篇文章给一份能直接照着做的应急处置流程，帮你在攻击发生时稳住阵脚、尽快恢复。
一、先确认：到底是不是DDoS攻击
DDoS（分布式拒绝服务攻击）的本质是：攻击者控制大量”肉鸡”或利用流量放大手段，向你的IP、服务器或网络出口发起海量请求，把带宽、CPU或连接数打满，让正常业务无法访问。
先对照症状，判断是不是攻击：
| 症状 | DDoS攻击常见表现 | 普通故障常见表现 |
|---|---|---|
| 网速 | 全范围骤降，内网外网都慢 | 单点或单区域慢 |
| 设备 | 网关、服务器集体掉线重启 | 个别设备故障 |
| 网站/系统 | 打不开或极慢，后台卡死 | 个别系统报错 |
| 流量 | 出口带宽被占满（可看路由器/防火墙流量监控） | 无明显异常 |
| 连接数 | 不明来源连接数暴涨（会话表爆表） | 正常波动 |
如果同时出现”全范围异常+连接数暴涨”，基本可以判断是攻击，按下面流程处理。
二、30分钟应急流程：先止血，再查因
第1步：临时止血（0-10分钟）
- 重启出口网关/防火墙：清掉已堆积的异常会话，争取短暂恢复窗口；
- 切换备用线路：有专线+宽带双链路的，把业务切到备用线路，先确保对外服务在线；
- 临时封禁异常IP段：在防火墙上按攻击来源IP段临时阻断（只做应急，不要盲目封大段，避免误伤正常访客）；
- 给运营商电话：专线用户可联系运营商说明情况，部分攻击可从骨干侧协助牵引。
第2步：确认攻击类型（10-20分钟）
从防火墙/网关日志看攻击特征：
- SYN/UDP/ICMP洪水：大量半连接或大流量报文，特征是”连接数暴涨、带宽打满”；
- CC攻击：大量低频请求刷应用接口，特征是”带宽不高但业务卡死”；
- 端口扫描/恶意IP遍历：大量探测报文，特征是”日志里同一来源反复探测”。
第3步：定位加固（20-30分钟）
- 隐藏源站IP：核心业务主机的真实IP不暴露公网，让攻击者”找不到靶标”；
- 启用流量牵引清洗：把异常流量牵引到防护节点清洗，只放行正常流量进内网；
- 配置策略防火墙：端口扫描防护、洪水防护、恶意IP拦截逐项开启。
这三步就是东创云边界DDoS安全服务里的”IP匿名隐藏+智能流量牵引清洗+策略防火墙”能力。自己没把握的，直接联系服务商远程处置，比现场摸索快得多。
三、事后加固：防止”被打第二次”
攻击停止不等于安全。复盘这一步别省：
- 查漏洞：攻击往往伴随端口扫描和漏洞探测，排查公网暴露的服务，非必要端口全部关闭；
- 改口令：所有设备默认口令、弱口令全部更换，防止攻击者预留后门；
- 做备份：关键配置、重要数据定期备份，万一被入侵可快速恢复；
- 留日志：攻击与访问日志留存，满足溯源取证与监管核查要求；
- 上托管：自己应急只能”事后救火”，部署一套全年值守的边界防护，才能”事前预防”。
四、救火 vs 托管：算笔时间账
自己应急的典型代价：事发当天全员扑上去查，业务中断几小时，还未必找到根因；下次再来一遍。
东创云边界DDoS安全服务（5800元/年）包含：边界防护策略部署、全网攻击防护、IP匿名隐藏与流量牵引清洗、网络域隔离、IPS特征库全年升级、安全日志审计、季度安全巡检、7×12远程故障响应。攻击来了有人处置，平时有人巡检——全年折算下来，比一次业务中断的损失小得多。
五、常见追问
Q：攻击停止后还会再来吗？
会。攻击者尝到甜头后常反复试探，所以”止血”之后”加固”和”托管”才是一劳永逸（长期有效）的做法。
Q：被攻击能不能报警？
可以。DDoS攻击是违法行为，可保留日志证据向公安机关报案；前提是日志留存完整，这也正是合规审计要求的一部分。
Q：没有专线也能做边界防护吗？
可以。边界防护部署在出口网关与核心设备之间，与专线/宽带接入方式无关，普通宽带出口同样适用。
东创云边界DDoS安全服务，为酒店、企业、商用场所提供标准化DDoS纵深防护与全年安全托管。致电 400-666-8372 或在右侧表单留言，免费评估现有网络的安全差距与防护成本。