先搞懂攻击规模到底看哪些维度
攻击规模不是一个简单数字,业内专家指出，DDoS攻击规模至少从三个维度衡量，每个维度对应扩容方向不同，搞混了容易买错资源。
带宽型攻击：看Gbps，决定是否触发黑洞
带宽型攻击以SYN Flood、UDP Flood为代表，目的是塞满链路，评估带宽型攻击规模，不能只看峰值Gbps，还要看攻击持续时长和攻击包的速率分布。
- 峰值带宽：单点攻击的极限流量，判断是否超过当前机房出口冗余。
- 平均带宽：攻击持续期的均值，决定清洗设备压力时长。
- 包率：即使流量不大，小包高包率同样能打瘫设备CPU。
评估时建议直接看云端防护平台上的攻击流量图表,把峰值、均值、包率三个数据记录下来，再对照当前套餐阈值。
连接型攻击：看CPS和并发数，决定会话表规格
连接型攻击瞄准的是设备会话表,CPS（每秒新建连接数）过高会让防火墙CPU飙高，并发连接数过高则直接耗尽会话表项，导致正常用户无法建立新连接。
扩容连接数规格时,既要看设备标称的CPS上限，也要看会话表容量，多数情况下，并发连接数比CPS更早触顶。
应用层攻击：看QPS和请求特征，决定调度策略
CC攻击属于应用层,用真实HTTP请求挤占后端资源，评估应用层攻击规模，看QPS只是第一步，还要看请求类型分布和IP数量分布。
- QPS总量：判断是否超出源站处理能力。
- IP分散度：攻击IP越分散，越依赖大数据分析而非简单封禁。
- 请求资源路径：集中打某个动态接口的，要扩容或摘除该接口，而非盲目加带宽。
DDoS攻击带宽怎么评估？分场景讲透
把攻击规模量化到具体数字,是扩容决策的前提，这里给出实操评估方法。
游戏业务遭遇突发大流量
运营在后台看到某地区玩家反馈卡顿,登录监控平台发现入向流量从平时2Gbps突增到60Gbps，持续5分钟未回落，这种规模对应的是机房级别攻击，当前10Gbps保底带宽必然触发黑洞。
此时扩容幅度应取峰值带宽的1.5到2倍作为新保底值，预留冗余，同时观察QPS变化，如果QPS也同步飙高到两倍以上，需同步升级CC防护套餐。
电商平台活动期间的正常流量叠加攻击
双十一大促期间业务自身流量就高,攻击流量容易掩盖在正常流量里，评估方法是对比历史同期流量曲线，算出偏离基线的差值，这个差值才是实际攻击带宽。
扩容幅度上,建议先按差值扩容，再额外增加20%到30%的弹性空间，避免误判导致扩容不足。
政企网站长期低频慢速攻击
很多政企网站面临的是低频CC攻击,带宽不大，但持续不断，这类攻击看Gbps没意义，重点看请求频率的长期趋势和源IP的离散程度，扩容方向以WAF能力升级为主，带宽扩容为辅。
高防扩容多少合适？从攻击规模推匹配阶梯
评估出攻击规模后,扩容幅度不是简单翻倍，需要一个匹配阶梯。
| 攻击规模（峰值Gbps） | 建议扩容幅度 | 配套调整 |
|---|---|---|
| 10-20 | 保底带宽提升至50Gbps | 检查封禁策略是否自动触发 |
| 20-50 | 保底带宽提升至100Gbps | 启用流量调度，分散清洗压力 |
| 50-100 | 保底带宽提升至200Gbps | 多节点负载均衡参与防护 |
| 100以上 | 按峰值1.5倍映射对应清洗能力 | 启动跨地域流量牵引 |
QPS维度同样需要阶梯化
带宽达标但QPS超限,设备同样会宕机，评估QPS扩容时，以业务日常峰值的3倍作为基准线，若业务峰值QPS为2万，攻击时冲到6万，扩容目标至少按6万到8万区间匹配。
同时关注单IP新建连接速率限制,连接型攻击的扩容幅度，建议按当前规格的2倍起步，若无明显缓解，再加一倍。
按攻击规模评估扩容幅度的实操步骤
梳理一套可落地的操作路径,直接对照执行。
第一步：建立攻击规模基线档案
- 导出近三个月被攻击时的防护日志,覆盖带宽、QPS、CPS、并发连接数四个字段。
- 按攻击事件归档,标注攻击类型、峰值时间、持续时长。
- 对比当前套餐规格,计算差额比例。
第二步：划分扩容优先级
- 先补带宽缺口：缺口超过当前规格30%时，优先升级总带宽。
- 再补QPS和会话表：若攻击峰值QPS超过当前套餐60%，同步升级应用层防护规格。
- 最后优化清洗策略：扩容后仍攻击不断的，调整IP黑白名单、地域封禁、指纹识别策略。
第三步：按攻击规模动态调整而非一步到位
扩容是动态过程,一次攻击事件的峰值不代表常态威胁，建议在攻击结束后回归弹性模式，按需付费，而不是永久持有高规格资源，据行业共识，相当一部分高防资源在攻击结束后50%以上处于闲置状态。
盲目堆叠高防资源，代价超出预期
不评估攻击规模直接拉满配置,带来的问题比攻击本身更棘手。
成本浪费只是表象
高防带宽和QPS规格每升一档,费用明显上涨，按攻击规模评估扩容幅度后，往往发现实际只需要中间档位，直接定最高档，多出来的成本完全可以用在业务服务器扩容上。
黑洞风险反而更高
很多人以为带宽越高越安全,但部分云厂商的DDoS高防套餐有
保底带宽和弹性带宽之分，如果实际攻击规模超过套餐触发阈值，仍会进入黑洞路由，与规格大小无关。
业务性能被拖累
防护规格越高,清洗节点串联的检测逻辑越复杂，转发链路可能增加额外的时延，对延迟敏感的业务（如实时音视频），过度堆叠会使首包响应时间显著上升，正常用户体验反而变差。
常见问题
Q：DDoS攻击规模和扩容幅度如何量化对应关系？
量化对应关系需要结合近三次攻击事件的数据：取每次攻击的峰值带宽和峰值QPS，取中间值作为基准，按1.5倍冗余计算扩容目标，若某次攻击峰值带宽为40Gbps、QPS为5万，则扩容目标参考值为60Gbps带宽和7.5万QPS规格，再结合预算和业务容忍度修正。
Q：攻击规模增长很快，怎样避免反复多次扩容？
反复扩容的根源在于把容量配平当成一次性动作,建议在固定频率内复核攻击趋势，若相邻两次攻击峰值涨幅超过一倍，直接升级一整个规格档位，同时开启弹性防护作为兜底，仅在实际攻击超量时触发额外计费，避免长期占用。
Q：评估扩容幅度时，如何测算无攻击时的最低规格需求？
最低规格需求从三个数据推得：业务日常峰值带宽、日常峰值QPS、最大并发连接数，分别乘以1.2的安全系数，得出基线规格，若攻击期间的峰值指标超过基线规格对应阈值，再按先带宽后QPS的顺序叠加弹性容量即可，这种策略在控制成本的同时，也保留了应对突发攻击的冗余空间。
按攻击规模评估扩容幅度，核心逻辑是让防护资源匹配真实威胁，而不是为想象中的极端场景超额买单，每一次扩容决策，都应建立在攻击峰值、持续时长、请求特征三个数据基础上，这样买来的带宽和QPS才能在最需要的时候发挥作用。