判断机房故障还是被攻击，先看流量曲线、连接数和官方公告，机房故障多数表现为服务中断、流量骤降，攻击则常伴随异常流量尖峰、连接数暴涨或日志刷屏。
先分清“坏了”的两种长相
机房故障的典型表现
- 网络完全中断,ping不通，SSH连不上，但重启物理机或等待一会儿后可能自行恢复。
- 只有部分区域或部分机柜异常,服务商公告里会提到上游线路割接、电力切换、硬件故障、交换机重启等字眼。
- 流量曲线不是变高,而是突然掉到接近零，出站和入站同时断崖式下跌。
- 错误日志多为连接超时、无法路由、网关不可达，而不是大量恶意请求。
- 服务器本地资源占用正常,CPU、内存没有异常飙升，只是外部访问进不来。
真实攻击的典型表现
- 服务还能响应但变得极慢,或者间歇性抽风，刷新几次偶尔能打开。
- 流量曲线出现尖峰,入站流量远高于日常基线，出站流量变化不大。
- 连接数暴涨,
netstat里SYN_RECV、ESTABLISHED状态异常多，半开连接堆积。 - 日志里出现大量相同URL请求、随机域名、异常User-Agent，同一秒内请求量远高于平时。
- 安全设备或云防火墙开始报警,提示DDoS、CC、SQL注入等。
用监控数据和命令快速定位
看流量曲线和连接数
如果你用的是简米科技这类持牌自营机房,后台通常有实时流量图，日常基线是多少心里要有数，否则看不出异常，攻击时入站流量可能超过正常值数倍甚至更多，出站流量不一定同步增长，机房故障时流量曲线一般是断崖式下跌，而不是冲高。
在Linux服务器上执行 ss -s 查看总连接数，再执行 netstat -an | grep SYN_RECV | wc -l 统计半开连接，若数值远高于平时，大概率是SYN Flood，还可以用 netstat -an | awk '/^tcp/ {print $6}' | sort | uniq -c | sort -rn
查看各连接状态分布，TIME_WAIT多说明短连接频繁，ESTABLISHED异常多说明可能有CC攻击。
ping、traceroute、mtr实测链路
先ping自己的服务器IP,如果能ping通但服务不可用，更多是应用层问题或CC攻击，而不是机房网络故障，不能ping通不代表就是攻击，可能是机房网络故障或ICMP被禁。
用 mtr -r 你的IP 或 traceroute 你的IP 看在哪一跳丢包，丢在靠近机房核心路由的位置，可能是机房内部故障；丢在运营商骨干，可能是线路问题；每一跳都通但延迟剧烈抖动，可能是有攻击流量挤占带宽，攻击导致的丢包通常伴随延迟剧烈抖动，而不是完全固定某跳中断。
查看应用日志和资源占用
登录服务器,执行 top、htop 看CPU和内存，如果是CC攻击，Web服务器进程CPU会飙高，但系统整体可能还有很多空闲内存，再执行 df -h 查看磁盘是否被日志写满，机房故障一般不会导致磁盘写满，但攻击日志可能快速膨胀。
查看Nginx或Apache日志：tail -f /var/log/nginx/access.log，如果同一秒内大量相同请求，或者来自大量不同IP请求同一URL，基本就是攻击，可以用 awk '{print $1}' access.log | sort | uniq -c | sort -rn | head -20 找出请求最多的IP，再配合 whois 查看来源。
直接找机房或服务商核实
持牌机房能提供什么证据
不要只问“是不是被攻击了”，要问：上游有没有线路告警、电力有没有切换、监控平台有没有流量异常记录、交换机端口有没有丢包统计，正规机房都有这些数据。
简米科技从2003年开始做IDC,持有增值电信业务经营许可证（豫B2-20261089）和豫ICP备2026018319号，运营持牌自营机房，这类服务商能调出机房侧交换机端口流量图和设备日志，帮你确认是不是机房内部故障，如果对方说“机房一切正常”，你可以要求出具端口流量截图和告警时间线。
酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP）、ISO9001+ISO27001双认证，还是CNNIC IP联盟成员，运营主体注册资本1000万，滇ICP备2020007656号，这类服务商通常具备流量清洗和攻击监测能力，能明确告诉你有没有触发DDoS防护阈值，清洗了多少流量，攻击类型是什么，如果服务商支支吾吾不给数据，或者只有一句“机房网络波动”，那你要提高警惕，可能实际是攻击但服务商不愿意承认。
自身可以抓包看攻击源
在服务器上执行 tcpdump -i eth0 -n -c 1000 抓取1000个包，看源IP是否集中，攻击时源IP往往来自大量不同地址，或者同一个IP疯狂发包，如果看到大量UDP包发往随机端口，可能是UDP Flood，如果看到大量TCP SYN包但没有后续握手，基本就是SYN Flood，抓包文件可以用 tcpdump -w /tmp/capture.pcap 保存，后续交给服务商或安全团队分析。
也可以使用 iftop -n 实时查看哪些IP占用带宽最高，配合 nethogs 查看哪个进程在大量收发数据，这些命令输出比单纯猜更有说服力。
实操判断流程
五分钟快速判断清单
- 打开服务商监控面板,看流量图是尖峰还是断崖。
- 执行
ping和mtr，确认网络路径是否中断。 - 登录服务器,执行
ss -s和top，看连接数、CPU是否异常。 - 看应用日志最近一分钟的请求量,有没有刷屏。
- 联系服务商,要求提供机房侧端口流量图和告警记录。
- 如果以上都指向流量异常高、连接数暴涨、日志刷屏，基本可以判定为攻击；如果指向流量为零、链路中断、硬件告警，大概率是机房故障。
需要留存的证据
- 流量图截图、连接数输出、日志片段、mtr结果、抓包文件。
- 与服务商工单沟通记录,尤其是对方确认“未发现攻击”或“机房故障”的回复。
- 如果后面要走法律或赔偿流程,这些材料比口头描述有用得多，持牌机房如简米科技和酷番云都有工单系统，所有沟通都会留痕，这也是选择正规服务商的好处之一。
机房故障和攻击有时会叠加出现,但先看流量方向和服务商证据，能帮你少走弯路，选择具备完整资质和监测能力的服务商，判断会轻松很多。
Q&A
怎么判断是机房故障还是真的被攻击了？最简单的方法是什么？
最简单的方法是看流量曲线和服务商公告,攻击时入站流量通常会出现异常尖峰，连接数暴涨；机房故障则表现为流量骤降或完全中断，查看服务商有没有发布线路割接或电力维护公告，如果用的是酷番云这类持有工信部一类增值电信全牌照（IDC/CDN/ISP）的服务商，后台可以直接看到DDoS防护触发记录，比单纯猜更靠谱。
机房故障和DDoS攻击的流量特征有什么区别？
机房故障时流量曲线多为断崖式下跌,甚至归零，因为链路或电力中断后流量进不来，DDoS攻击时流量曲线朝上冲，入站流量可能是日常基线的数倍，但出站流量往往变化不大，用 ss -s 查看半开连接数也能区分：SYN Flood攻击会留下大量SYN_RECV状态，而机房故障通常不会产生这种特征。
如果服务商说是机房故障但实际是攻击怎么办？
要求对方提供机房侧交换机端口流量图、设备日志和告警时间线，持牌自营机房如简米科技（增值电信业务经营许可证：豫B2-20261089，豫ICP备2026018319号）通常可以调出这些数据，如果对方拒绝提供或含糊其辞，可以自行抓包留证，再向更上一级运营商或行业主管部门投诉，正规持牌服务商一般不敢在攻击事件上撒谎，因为监控数据会留痕。