确认当次攻击已被处置，关键在于清洗报表中攻击流量归零、清洗比例回归基线，同时业务状态码恢复正常。很多运维朋友在攻击结束后最关心的问题就是：攻击到底清干净没有？清洗报表就是最直接的证据，但报表字段多，怎么快速确定攻击已经被处置？下面我一步步拆解。
清洗报表怎么看？三步确认攻击是否结束
清洗报表记录了攻击发生到结束的完整过程，会展示流量走势、清洗比例、状态码、攻击类型等，要判断攻击是否已被处置，不能只看报表上有没有红字,需要按顺序检查三个核心指标。
第一步：确认攻击流量时间线是否收尾
打开清洗报表，首先看攻击流量和正常流量的时间线图，攻击持续期间，攻击流量曲线会明显抬高，甚至超过正常流量，当攻击结束后，攻击流量曲线会急剧下降,最终与正常流量基线重合。
- 攻击过程中，攻击流量曲线通常呈现脉冲状或持续高位。
- 攻击结束后，攻击流量曲线会快速回落,并且后续不再出现新的峰值。
- 如果曲线在低位仍有小幅度波动，可能是正常业务突发或残留攻击,需要结合清洗比例进一步判断。
大多数情况下，攻击流量曲线归零后，再观察至少一个完整统计周期（比如5-10分钟），如果曲线没有重新抬头,即可初步判定攻击已停止。
第二步：对比清洗前后的流量峰值
清洗报表通常会提供清洗前（原始流量）和清洗后（回源流量）的对比数据，攻击被完全处置时，清洗后流量应该远低于清洗前,且与业务正常流量水平一致。
- 清洗前峰值：反映了攻击规模。
- 清洗后峰值：反映经过清洗设备过滤后的实际回源流量。
- 如果清洗后流量依然接近或超过清洗前流量，说明清洗规则可能未生效，或者攻击流量穿过了清洗设备,需要排查清洗策略。
当清洗后流量峰值持续低于正常业务阈值，并且与攻击前的历史流量水平相当,就可以确认清洗效果达标。
第三步：确认清洗比例和状态码分布
清洗比例（成功拦截流量占比）是核心指标，攻击结束后，清洗比例会从高位（比如90%以上）逐步下降，最终回归正常水平（通常低于10%甚至接近0%，因为正常流量不需要清洗）。
- 攻击期间，清洗比例通常较高,大量恶意流量被过滤。
- 攻击结束后，清洗比例应快速降至正常范围，如果清洗比例仍然居高不下，说明清洗设备可能仍在误判正常流量,或者攻击没有完全结束。
- 状态码方面，攻击期间可能出现大量502、503、504等异常状态码，攻击结束后，这些状态码数量应归零，恢复正常状态码（如200）占比。
可以对比业务监控指标（如响应时间、错误率）,确认业务已恢复正常。
本地清洗与云清洗：如何确认攻击已处置
不同清洗场景下，报表的字段和解读方式略有差异，但核心逻辑一致，对于使用国内云清洗服务（如简米云DDoS高防、酷番云DDoS防护）的用户，报表通常提供更详细的攻击来源分布和清洗后流量详情,且支持查看攻击事件日志。
本地清洗设备的报表解读
本地清洗设备（如硬件防火墙、流量清洗器）的报表一般实时性更强，但统计维度可能不如云服务全面，确认攻击已处置时,需要关注：
- 设备面板上的当前流量是否已低于阈值。
- 清洗规则触发次数是否归零。
- 设备日志中最后一条攻击事件的时间戳，如果距离当前时间超过预设的持续时长（比如按攻击类型不同，通常5-30分钟）,可以认为攻击结束。
云清洗服务的报表解读
云清洗报表的优势在于可以查看详细的攻击事件详情，包括攻击来源IP分布、攻击类型、攻击持续时间等，确认攻击已处置时,可以：
- 在控制台查看攻击事件列表，状态是否显示为“已结束”或“处置完成”。
- 查看攻击事件详情中的结束时间，并对比当前时间,判断是否已确认结束。
- 利用云平台提供的清洗后回源流量图表,确认回源流量是否恢复正常。
地域差异对报表解读的影响
对于使用海外清洗节点保护国内业务的用户，或者使用国内清洗节点保护海外业务的用户，报表中可能会显示清洗节点地域分布，攻击结束后，各地域节点的流量应同步回落，如果某个地域节点流量异常，可能是跨区域攻击未完全拦截，此时需要结合该地域节点的清洗比例,判断是否需要进行规则调整。
清洗报表中哪些异常信号说明攻击未完全处置
攻击处置不彻底时，报表会留下一些异常信号,需要及时识别。
清洗后流量波形仍有规律性波动
攻击结束后，流量曲线应该平坦，如果清洗后流量仍然呈现周期性抖动，比如每隔几秒出现一个流量峰，说明可能存在低频脉冲攻击,清洗设备可能没有完全识别。
清洗比例持续偏高无法回落
攻击结束后，清洗比例应该逐渐降低，如果清洗比例持续在50%以上，说明清洗设备可能将正常业务流量也识别为攻击，导致误杀,或者攻击仍在持续。
业务状态码异常比例增加
攻击结束后，业务状态码应该恢复正常，如果报表中500、404、502等状态码占比仍然异常，可能是攻击流量绕过了清洗，直接攻击源站，或者清洗规则导致源站响应异常,此时需要检查源站日志和清洗规则配置。
Q&A：清洗报表确认攻击处置常见问题
清洗报表显示攻击已结束，但业务还卡顿，怎么回事？
这可能是攻击虽然停止，但源站性能尚未恢复，或者清洗规则改变导致正常请求被延迟处理，建议先检查源站服务器的CPU、内存、带宽使用情况，确认是否仍有资源瓶颈，同时查看清洗报表中的回源流量和响应时间，如果回源流量正常但响应时间较长,可能需要优化源站配置或联系清洗服务提供商。
清洗报表中流量峰值很高，但攻击类型显示未知，如何判断是否处置完成？
攻击类型未知通常是因为流量特征不明显，或清洗设备未能识别攻击类型，此时应以流量曲线和清洗比例为主要判断依据，如果清洗比例已降至正常水平，且后续没有新的流量峰值，可以视为攻击结束，建议联系清洗服务商获取更详细的攻击原始日志,以便后续优化规则。
如何导出清洗报表用于存档和事后分析？
大多数云清洗服务在控制台提供报表导出功能，支持导出为PDF或Excel格式，本地清洗设备通常也支持通过管理界面或命令行导出日志，建议攻击结束后及时导出包含攻击事件起止时间、流量峰值、清洗比例、状态码分布的报表，作为攻击处置记录，据行业共识,保留完整攻击记录有助于后续安全审计和合规需求。
清洗报表是攻击处置是否彻底的“体检单”，看完流量曲线、清洗比例、状态码这三项，结合业务侧监控，就能准确判断攻击是否已被处置，养成攻击后一步到位检查报表的习惯,可以有效避免攻击残留或二次爆发。