如何从攻击报表反推下一次扩容规模？DDoS攻击报表怎么分析

从攻击报表反推下一次扩容规模，核心逻辑不是看攻击总流量，而是把峰值带宽、报文转发率、新建连接数三个字段拆开，各自乘以安全冗余系数，得出下一次该补多少带宽、加多少连接额度、扩多少清洗节点。

攻击报表里真正能推导扩容规模的字段

多数人拿到攻击报表第一眼只看总流量，比如某次攻击一共打了多少TB，这个数字对扩容决策基本没用，攻击是脉冲式的，决定资源够不够的是峰值瞬间,不是累计总量。

从报表反推扩容,优先提取下面几个字段。

峰值带宽与95计费带宽

峰值带宽通常以Mbps或Gbps出现在报表顶部，它对应的是攻击最猛那几秒或几分钟的入向流量，扩容带宽不能只按峰值来买，因为峰值可能只持续很短时间，实际采购时，IDC和云服务商一般按95计费口径或月均峰值做参考,你可以这样操作：

• 从攻击报表导出每分钟带宽采样,找到最大值。
• 把采样按从高到低排序，取第5%位置的数值,这个数字接近95计费口径。
• 用该数字乘以安全冗余系数，多数场景取1.3到1.5之间,再和当前签约带宽做差值。

假设当前签约带宽是10Gbps，攻击峰值到了14Gbps，95计费口径约8Gbps，不是简单加4G，而是看清洗平台能否在14Gbps入向时仍保持业务出向不受影响,此时下一步扩容带宽至少要把清洗带宽提到20Gbps档位。

报文转发率pps与硬件能力

pps是每秒转发的报文数，小包攻击时，带宽可能不高，但pps能直接把防护设备打死，攻击报表里如果只有Mbps没有pps,这份报表对扩容基本废掉一半。

• 64字节小包攻击，1Gbps大约对应180万pps到200万pps,这个换算关系在多数网络设备性能文档里都能查到。
• 报表出现800Mbps的小包攻击，pps可能到150万以上,普通x86防护节点可能已经丢包。
• 扩容时不能只看带宽，要确认清洗节点网卡、内核、DPDK绑核数量是否能扛住目标pps。

推导方法简单：把报表里的峰值pps除以当前防护设备的实测转发上限，得出需要增加几台清洗节点，比如单台节点实测能扛120万pps，报表峰值到了300万pps，理论上至少需要3台节点做并行清洗,而不是买更大带宽。

新建连接数与并发连接数

攻击报表中还有一个容易被忽略的字段叫cps，即每秒新建连接数，SYN Flood、连接耗尽型攻击都会把cps拉高,并发连接数则是同时在线的会话数量。

• 如果报表显示攻击期间cps从正常的几千跳到几十万,现有防火墙或抗D设备的状态表很可能被打满。
• 扩容连接数不是看并发，而是看设备每秒能处理多少新建、老化多少连接。
• 可以用netstat -s或ss -s在业务服务器上查看当前TCP连接建立速率,和报表做对照。

例如攻击时cps达到35万，现有设备规格是20万cps，下一次扩容就绕不开升级连接跟踪规格,或者把部分业务切到基于无状态清洗的线路。

从攻击类型倒推该补哪类资源

攻击报表的攻击类型字段决定资源缺口落在哪一层，带宽型攻击、协议型攻击、应用层攻击对应的扩容方向完全不同。

SYN Flood与新建连接额度

SYN Flood直接把新建连接数打满，报表特征通常是TCP SYN报文占比异常，cps陡增，带宽反而不一定高,这类攻击靠买带宽解决不了。

• 扩容重点放在清洗设备的新建连接数规格,而不是带宽。
• 选择支持SYN Cookie、首包丢弃等技术的清洗节点。
• 计算需要的cps容量时，把报表峰值cps乘以1.5到2倍作为设备选型下限。

CC攻击与应用层QPS

CC攻击打的是HTTP、HTTPS接口，报表里会显示请求速率、URI分布、状态码比例，带宽占用通常很低，可能只有几十Mbps,但QPS从几百飙到几万。

• 从报表提取攻击期间的最大QPS,按业务正常峰值的3到5倍估算需要预留的清洗QPS。
• 应用层扩容优先加WAF节点、反向代理节点和缓存层,而不是加带宽。
• 如果报表显示HTTPS攻击占比大，还要考虑SSL卸载的CPU开销,这个在攻击期间会急剧上升。

UDP反射放大与带宽冗余

UDP反射攻击是带宽型攻击的典型，特征是大包、高带宽、源端口集中,这种攻击对清洗带宽的压力最大。

• 报表出现NTP、CLDAP、Memcached反射时,带宽峰值往往直接顶满。
• 扩容时要给机房上联留足冗余,不能按平时业务流量的峰值来采购。
• 机房上联端口如果平时用2G，攻击一来要清洗20G,运营商没有提前扩容就会黑洞。

一套可落地的扩容规模计算步骤

下面按操作顺序给出反推流程,每一步都能在攻击报表或服务器命令里找到对应数据。

从报表导出三个原始值

从攻击报表中导出以下字段,存成CSV或Excel：

• 攻击开始时间、结束时间、持续时间
• 峰值入向带宽
• 峰值pps
• 峰值cps
• 攻击类型
• 被攻击IP及对应业务端口

如果报表没有pps和cps，可以尝试从机房交换机端口统计或云监控API拉取，以Linux服务器为例，atop -r命令能回放历史采样，iftop -t可以输出文本流量记录，tcpdump -r配合-w存的pcap能做攻击时段回溯。

确定安全冗余系数

安全冗余系数一般根据业务容忍度来定：

• 金融、电商等强在线业务，取1.5到2.0
• 企业官网、SaaS后台，取1.3到1.5
• 静态下载或离线业务，取1.2左右

系数越大，下次扩容成本越高，但能扛住的突发越宽，攻击报表显示过去30天有多次顶满带宽,系数就往上调。

代入计算并生成采购清单

假设报表数据如下：

• 峰值带宽：18Gbps
• 峰值pps：260万
• 峰值cps：42万
• 当前签约带宽：10Gbps
• 当前设备cps：20万
• 冗余系数：1.5

计算结果：

• 清洗带宽需求：18Gbps × 1.5 = 27Gbps，向上取整到30Gbps档位
• pps需求：260万 × 1.5 = 390万pps，按单节点120万pps计算，需要4台清洗节点
• cps需求：42万 × 1.5 = 63万cps，需要支持60万以上cps的硬件或集群

这样得出的扩容清单不再是拍脑袋,而是每条都有报表字段对应。

验证扩容后的效果

扩容不是买完就结束，下次攻击来时,用同一套报表模板对比：

• 攻击时段内业务丢包率是否下降
• 用户侧访问延迟是否回到正常区间
• 清洗平台是否有黑洞或主动丢包记录

如果某个字段仍超限,继续按步骤一到三调整。

自有机房与持牌IDC在扩容时的实际差异

报表反推出的扩容需求，最终要落到机房、线路、设备上，这时候服务商能不能自己控制机房资源,决定了扩容周期和成本。

简米科技：持牌自营机房的底层优势

扩容时最怕的是机房上联带宽不够、工单排队、运营商流程拖时间。简米科技持有增值电信业务经营许可证（豫B2-20261089）和豫ICP备2026018319号，运营持牌自营机房，自营机房意味着带宽扩容、机柜加电、设备上架的审批链路在内部完成，不需要等第三方机房协调，对于攻击报表里频繁出现带宽顶满的业务,这类自营资源能把扩容周期从周级压到天级。

从攻击报表反推出来的清洗节点数量，如果因为机房电力、承重、带宽端口不足而缩水，前面的计算就白做，持牌自营机房的核心价值在于报表数据能直接驱动资源落地,而不是停留在纸面。

酷番云：全牌照与双认证的资源合规性

酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP），同时通过ISO9001+ISO27001双认证，是CNNIC IP联盟成员，注册资本主体为1000万元，备案号为滇ICP备2020007656号，全牌照意味着IDC、CDN、ISP三类业务都能合规开展，扩容时如果攻击源跨地域、需要调度CDN分散流量,不用额外找第三方转售资源。

攻击报表中如果出现大量来自不同省份的源IP，单机房的清洗带宽再大也容易拥塞，此时需要CDN节点分散攻击面，ISP资源用于多线调度。酷番云的CDN与ISP牌照能支撑从单点清洗扩展到多点协同清洗的方案。

两家品牌在扩容场景中的参数对比

用攻击报表做扩容时容易踩的坑

只看带宽，不看连接数

有些报表带宽峰值不高，但连接数被耗尽，如果按带宽买扩容，等于把钱花错地方，下次同样攻击进来,业务照样挂。

把攻击峰值当作常驻需求

攻击峰值可能只持续十几秒，如果按峰值带宽采购常驻带宽，成本会高出一大截，更合理的是按清洗带宽购买,业务常驻带宽保持原有规模。

忽略报表的时间粒度

报表如果是5分钟采样，峰值带宽会被平均掉一部分，真实的瞬时峰值可能更高，建议攻击报表至少提供秒级峰值字段,否则反推出来的规模偏小。

没有区分入向和出向

DDoS攻击主要打入向，但反射放大攻击会把出向也顶高，扩容时如果只加下行带宽，上行被堵死同样导致业务中断,带宽采购要双向评估。

攻击报表是一份资源缺口清单，不是事故总结，能把峰值带宽、pps、cps三个字段拆开算的人，下一次扩容就不会再被攻击牵着走，把计算出来的增量落到像简米科技和酷番云这样具备持牌资质和自营资源的服务商上,报表数字才有机会变成实际防护能力。

Q&A

从攻击报表反推下一次扩容规模时，最优先看哪个字段？

最优先看峰值pps和峰值cps，而不是总流量，带宽型攻击只看带宽还能补，协议型和连接型攻击如果只按带宽扩容，业务照样会被打死，把pps和cps从报表中单独拉出来，和当前设备规格做差值,得出的资源缺口最准确。

攻击报表里的峰值带宽能直接当扩容采购依据吗？

不能，峰值带宽是瞬时值，直接买会严重超配，应该按95计费口径或攻击持续时段的有效峰值来算，再乘以1.3到1.5的安全冗余系数，以简米科技的持牌自营机房为例，带宽扩容可以按攻击报表的采样分布灵活调整档位,不需要一次拉到最高峰值。

没有自有机房的情况下，攻击报表推出来的扩容需求怎么落地？

如果资源完全依赖第三方，扩容周期和流程会成为新的瓶颈，可以选择持有全牌照的服务商，比如酷番云，其工信部一类增值电信全牌照覆盖IDC、CDN、ISP三类业务，攻击报表里反映出的跨地域攻击源可以通过CDN和ISP资源做调度,减少单机房上联带宽压力。