高防应急预案的核心不是技术多强，而是角色分工是否清晰角色定死了，攻击来了才不会乱。很多企业买了几百G的高防IP，真被打了还是一团糟，因为没人知道自己该干什么，下面按职责权重拆解这套预案里的关键角色，每个角色要做什么、怎么落地，直接照着改。
高防应急预案里的角色分工，为什么不能一个人扛
见过不少公司,高防预案写了一整本，打开一看全是技术指令，操作人写着“运维”，这就是最大的坑，DDoS攻击发生的时候，运维要拉流量、要封IP、要联系机房，还要接老板电话，一个人根本撑不住。
行业共识认为,一套能落地的高防应急方案，至少要分出五类角色：决策层、技术执行、客户沟通、监控值守、后勤法务，角色之间要有明确的汇报线和操作边界，不能越级，也不能留白。
具体到人,每个角色都要有主备双人配置，主负责人休假了，备选人要能立刻顶上，预案里不光要写岗位名称，还要写清楚姓名、电话、微信、备用联系方式，这个细节看着琐碎，真出事的时候能救命。
高防应急预案里总指挥怎么定
总指挥这个角色,最容易犯的错是让CTO或者技术总监兼任，技术负责人确实懂业务，但总指挥的核心职责是拍板，不是修机器，攻击期间，总指挥要盯着业务损失、客户舆情、公关口径，决定是硬扛还是切备用线路，这些决策牵涉钱和声誉，技术背景反而不一定是加分项。
总指挥应该由公司运营负责人或分管副总担任，平时不需要参与具体技术操作，但必须在预案里明确两件事：
- 什么级别的攻击需要总指挥到场（比如流量超过业务峰值的50%，或持续超过30分钟）
- 总指挥不在场时的代理顺序（通常是运维主管→客服主管→行政负责人）
总指挥的决策清单也要提前写进预案,包括：是否切换高防线路、是否启动备用IP、是否需要联系云厂商的专家团队、是否对外发布故障公告，每项决策配一个触发条件和执行时限，不需要临场讨论。
高防IP被攻击时技术小组该做什么
技术小组是执行层,人数最多，分工最细，这里建议拆成三个子角色，各管一段，避免一窝蜂全去改配置。
流量调度员：管高防线路切换
这个角色要熟记高防IP的切换流程,包括DNS解析切换、BGP牵引、备用IP启用，预案里要写明切换的完整命令和操作路径，不能写“联系运营商处理”，要具体到登录哪个控制台、点哪个按钮、输入哪段指令。
流量调度员还要在平时做好一件事：记录各线路的常规延迟和吞吐基线，攻击发生时，对比基线才能判断调度是否生效，否则只能瞎猜。
安全分析员：盯攻击特征和溯源
安全分析员负责看流量报表,判断攻击类型是CC还是流量型，来自哪些IP段，攻击端口是什么，这些信息每15分钟汇总一次，报给总指挥和技术组长，同时要检查高防IP的防护策略是否需要临时调整，比如放大CC防护阈值、封禁特定地域的IP段。
这个角色对经验要求高,建议由懂网络协议的老手担任，如果团队里没有专职安全人员，可以考虑由云厂商的售后安全专家兼任远程指导角色，平时加好微信，攻击时拉群对接。
业务恢复专员：盯着源站和业务进程
攻击期间,源站可能被打挂，或者高防回源异常导致业务中断，业务恢复专员负责重启服务、切换备用源站、检查数据一致性，这个角色需要提前准备好业务系统的启动脚本和检查清单，不能到现场再翻文档。
技术小组三个角色的配合节奏要写在预案里：攻击发生前10分钟，流量调度员先动；第10-30分钟，安全分析员出报告；第30分钟开始，业务恢复专员介入检查。节奏卡死了，才不会出现两个人同时改配置的情况。
对外沟通专员：高防应急预案里不能缺的“传声筒”
很多企业忽略了对外沟通角色,攻击一来，客服电话被打爆，销售群里全是客户质问，老板还在接受媒体采访，没有统一的对外口径，一个客服说“被打了，没办法”，另一个销售说“我们没事，正常”，舆情直接失控。
对外沟通专员建议由客服主管或市场部负责人担任，核心职责是：
- 统一口径：根据总指挥的决策，拟好话术模板，分发给客服、销售、渠道伙伴
- 定时通报：每30分钟向重要客户同步一次处理进展，用固定格式，不写模糊措辞
- 对接舆情：盯住微博、知乎、朋友圈、行业群，发现负面信息第一时间截图上报，而不是私自回复
对外沟通的话术模板要提前写好三个版本：轻微抖动版（网站稍慢，技术正在优化）、中度影响版（遭受大流量攻击，已启用防护措施）、严重中断版（业务暂停，恢复时间待定，请关注公告），攻击发生时，总指挥选定版本，对外沟通专员负责分发。
预案里还要给对外沟通专员配一个信息记录本，所有对外发布的说法都留痕，方便事后复盘和责任界定。
监控值守和后勤法务，两个容易被忽视的辅助角色
高防应急预案不能只管攻击进行时,还要管攻击前和攻击后，这两个辅助角色就是干这个的。
监控值守员：预警比响应更重要
监控值守员不是攻击发生时才有用,平时就要盯告警群，行业共识认为，多数重大攻击在爆发前都有征兆，比如小规模试探性流量、特定路径的异常请求，监控值守员的责任是发现这些苗头，按照预案里的告警分级标准上报。
告警分级可以这样定：
- 一级（关注）：流量超过平时2倍，持续5分钟通知技术组长
- 二级（预警）：流量超过平时5倍，或触发CC规则通知总指挥和技术小组
- 三级（告警）：业务访问明显卡顿或部分不可用全员启动应急预案
监控值守员还要负责保存攻击期间的流量抓包和分析日志，这些数据是事后复盘、追责、甚至法律诉讼的证据。
后勤与法务：攻击过后的收尾角色
攻击结束后,总指挥宣布解除应急状态，后勤和法务角色才正式登场，后勤负责整理工时记录、设备损耗、额外产生的带宽费用和防护费用，高防应急预案多少钱、攻击造成了多少损失，这些数据都要归集，方便财务核算和保险理赔，法务则要评估是否有恶意竞争的可能，是否需要保留证据、发律师函或报案。
这个角色可以由行政和法务同事兼任,预案里不需要太多技术内容，但需要明确证据保全的流程和保存期限（至少6个月）。
角色定了，高防应急预案怎么落实到日常
角色分工写在纸上没用,要变成肌肉记忆，建议按以下节奏做日常演练：
- 每季度一次桌面推演
：总指挥出场景，凌晨3点电商大促期间被打了80G流量”，各角色口头说自己的操作，找漏洞
- 每半年一次实战模拟：挑一个低峰期，真实切换一次高防线路，验证流量调度员的操作路径是否顺畅
- 每次攻击结束后,24小时内开复盘会：对照预案里的角色清单，逐项打钩，看谁动作慢了、谁决策犹豫了，修订预案
还要注意一个细节：角色人员变动后，预案必须同步更新，新来的运维、转岗的客服主管，都要在入职第一周就完成应急预案培训，不能等人走了才发现预案上的电话是空号。
高防应急预案常见问题解答
高防应急预案和普通容灾预案有什么区别？
高防应急预案专门针对DDoS、CC等流量攻击场景，核心是流量调度和防护策略调整；容灾预案则覆盖服务器宕机、数据丢失、机房断电等更广泛的故障类型，两者需要互相补充，但不能互相替代，攻击发生时先走高防应急预案，如果攻击导致源站物理故障，再切换容灾流程。
预算有限的小公司，角色可以合并吗？
可以,但建议按“决策执行沟通”三条线做最小化合并，最少需要三个人：负责人兼总指挥、运维兼技术执行和监控、客服兼对外沟通。不要合并成一个人，否则决策没人监督，对外没人发声，预算确实紧张的，至少保证总指挥和对外沟通分离，因为技术执行出了错可以修复，对外说错话很难挽回。
高防应急预案要包含云厂商的哪些信息？
预案里至少要有云厂商的24小时售后电话、专属安全专家联系方式、工单系统的加急提交流程，还要写明云厂商高防IP的防护上限、是否支持弹性防护、超过保底防护后怎么计费，这些信息建议每半年和厂商销售核对一次，因为产品政策会变，据工信部数据，近年来DDoS攻击的峰值流量和频率都在上升，预案里的防护阈值也要跟着定期调整。
把角色定清楚，是高防应急预案能跑起来的前提。 总指挥管决策、技术小组管执行、对外沟通管口径、监控后勤管收尾，各就各位，攻击来了才不会互相踩脚，建议你现在就把预案翻出来，对着这份清单看看，哪些角色还空着，哪些人已经离职了但名字还挂在上面改完这些，预案才算真正能用。