攻击峰值带宽评估的5个方法，怎样兼顾成本与防护？

做攻击峰值带宽评估时，最容易出现的误区是只拿一个“最高 Mbps”作为采购依据。实际上，流量的方向、数据包大小、持续时间和业务入口都会改变设备压力。一次大包洪泛可能首先占满链路，而大量小包请求则可能先耗尽防火墙会话表。

因此，合理的攻击峰值带宽评估应同时回答三个问题：攻击流量最高达到多少，关键设备能处理多少，业务在多长时间内必须恢复。下面介绍五种可落地的方法，并给出成本与防护之间的取舍。

一、用历史监控峰值建立基础上限

如果已经部署了路由器、负载均衡器或云平台监控，优先从历史数据开始。查看入口和出口接口的流量曲线，至少区分工作日、周末、发布日和促销活动日，避免把正常业务高峰误判为攻击。

1. 导出最近数周或数月的五分钟、一分钟甚至更短粒度数据。
2. 分别记录入站流量、出站流量、连接数和丢包情况。
3. 找出正常业务峰值，再保留约30%至50%的增长余量。
4. 将异常突增单独标记，不直接与正常峰值相加。

这种方法适合估算日常防护容量，成本最低，但对从未发生过攻击的站点不够充分。历史监控也可能漏掉持续时间很短的尖峰，所以不能作为唯一依据。

二、按数据包速率而不是只看带宽

同样的链路带宽，数据包大小不同，设备承担的中断、查表和会话处理压力也不同。小数据包攻击可能在带宽尚未饱和前，就让边界防火墙或路由器达到处理上限。

攻击峰值带宽评估应同时记录每秒数据包数、平均包长和协议分布。可以在镜像端口或上游流量分析平台观察一段时间，再按以下思路换算：

• 大包流量：重点检查出口链路、交换设备和清洗中心的带宽上限。
• 小包流量：重点检查每秒包数、CPU利用率、会话表和策略匹配能力。
• 混合流量：分别统计TCP、UDP及其他协议，不能只看总量。

如果供应商只提供“可防护多少Gbps”，应继续询问对应的包速率、包大小和防护层级。否则，纸面带宽可能高于设备实际处理能力。

三、按并发连接和新建连接速度估算

对网站、网关和长连接业务来说，并发连接往往比总带宽更早成为瓶颈。攻击者反复建立连接，会消耗端口、内存、连接跟踪表以及应用线程。

可执行的估算步骤

1. 从监控中分别取当前连接数、每秒新建连接数和连接平均持续时间。
2. 记录正常峰值期间的应用响应时间、错误率与连接失败率。
3. 在不影响生产的前提下，用压测环境验证边界设备的连接上限。
4. 将实测稳定值打七折至八折，作为日常运行目标，而不是把厂商极限当作容量。

这种方法尤其适合登录、搜索、支付回调等连接建立频繁的场景。它的优点是能发现带宽尚未占满时的风险，缺点是需要更完整的设备指标，且不同规则和超时时间会导致结果变化。

四、依据持续时间计算清洗与链路需求

短时尖峰和持续数小时的攻击，成本模型完全不同。前者可能通过临时扩容或限速缓解，后者则需要稳定的上游牵引、清洗和回源能力。

建议把事件按持续时间分成三档：几分钟以内，重点看自动切换和告警速度；数十分钟至数小时，重点看清洗中心的持续承载与回源链路；超过数小时，则要核算流量计费、备用线路和运维值守成本。攻击峰值带宽评估不能只记录最高点，还应记录峰值持续了多久、每次重复的间隔，以及攻击结束后是否仍有残余流量。

采购容量时，可将“峰值大小”和“峰值持续时间”放在同一张表中比较，而不是只购买一个最大的带宽数字。

五、按业务可接受中断时间反推防护方案

防护投入应由业务恢复目标约束。资料下载站通常可以接受短暂降级，而实时票务、在线会议或生产调度系统可能只允许很短的中断窗口。不同目标会直接影响是否需要清洗中心、备用入口和自动切换。

完成攻击峰值带宽评估后，不要直接按最高历史值采购。可以采用“正常峰值加余量、攻击峰值分层防护、关键业务优先保障”的组合：小流量由本地策略处理，中等流量交给上游防护，超过本地链路承载能力的流量尽早在运营商或清洗中心侧拦截。

常见问题

1. 只购买比当前专线更大的带宽就够了吗？

不够。若攻击以大量小包或并发连接为主，防火墙和路由器可能先达到处理上限。

2. 厂商标注的防护带宽能直接采用吗？

不能直接采用。应确认测试环境、数据包大小、协议类型、规则数量以及是否包含应用层防护。

3. 没有历史攻击数据怎么办？

先使用正常峰值建立基线，再结合设备规格、压测结果和同类业务风险设置分级阈值，并预留调整空间。

4. 如何降低长期防护成本？

将日常小规模异常与大规模攻击分层处理，优先使用限速、访问控制和上游拦截，避免所有流量都依赖高价的最高等级防护。

最终，攻击峰值带宽评估的价值不在于得到一个绝对数字，而在于把带宽、包速率、连接数、持续时间和恢复目标放到同一套决策中。这样既能避免容量不足，也能减少为极端情形长期支付过高成本。