判断服务器访问是正常还是恶意攻击，核心不在于看单一指标，而在于分析访问行为的统计特征与请求规律：正常流量服从长尾分布，恶意流量呈现高度集中化和自动化特征。
服务器每天收到海量请求，其中既有真实用户的点击，也有扫描器的探测和攻击脚本的试探，如果等服务器卡死或数据泄露才反应，往往为时已晚，真正有效的做法，是建立一套基于行为模式的判断框架,让异常请求在造成实质伤害前就被识别并拦截。
从访问频率和并发数看异常特征
单IP请求频率的合理阈值
正常用户访问一个页面，通常会在几秒到几分钟内完成数次到数十次请求，即便是重度使用者，单IP在小时内产生几百次请求已属罕见，而恶意攻击脚本每秒可以发起数十到数百次请求,且持续不断。
观察维度不是绝对的请求总数，而是单位时间内的请求密度，同一IP每秒请求超过10次，且持续超过数分钟，大概率不是真人操作，更精确的判断方式，是看IP的请求间隔分布人的操作间隔是随机的、有停顿的,而程序的请求间隔像节拍器一样均匀。
并发连接数的异常波动
正常浏览器的并发连接数通常在6到15个之间，这是浏览器对同一域名的连接限制，如果某个IP的瞬时并发连接数超过50甚至上百，基本可以断定是攻击工具所为，比如CC攻击（Challenge Collapsar）中最典型的分布式请求轰炸。
这里有一个实用的判断技巧：用netstat -an | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n这条命令，直接查看本机当前每个源IP建立的连接数，正常环境下，排名靠前的IP连接数很少超过个位数；若出现几百甚至上千连接的IP,必须立刻定位处理。
从请求路径和参数模式识别攻击类型
正常用户的访问路径遵循网站结构逻辑，比如先打开首页，再点击导航进入分类页，最后打开详情页，而恶意攻击者往往直接请求敏感路径,或对同一URL反复发起访问。
高频访问不存在的URL
如果服务器日志中频繁出现404状态码，且集中在某个IP或IP段，说明对方在暴力枚举网站目录结构，攻击者通过猜测后台地址（如wp-admin、
/admin、/manage）寻找可突破的入口。
此时可以启动一个临时规则：单个IP在短时间内触发超过20次404，直接封禁24小时，这种做法对扫描器的效果立竿见影,因为它们的行为模式就是地毯式试探。
请求参数中的注入特征
恶意请求的URL参数中常携带SQL注入语句（如union select、sleep()）或XSS攻击载荷（如<script>标签编码变体），这些特征并非随机出现,而是攻击工具预设的payload库。
行业共识认为，检测这类攻击最有效的方式是部署Web应用防火墙（WAF），通过正则匹配和语义分析拦截恶意载荷，但WAF并非万能它依赖规则更新频率,攻击者会不断变换编码方式来绕过检测。
从User-Agent和Cookie行为看真实身份
异常UA字符串的辨识要点
正常浏览器的User-Agent（UA）包含浏览器名称、版本号、操作系统信息，结构复杂且彼此不同，而绝大多数攻击工具的UA是固定的，要么为空，要么是简单的python-requests、Go-http-client,要么大量请求共享完全相同的UA字符串。
查看日志时，如果发现几十个不同IP使用完全一致的UA，且请求路径高度雷同，基本可以判定为僵尸网络或扫描器在协同工作。
但你也要知道，高级攻击者会伪装UA来模仿真实浏览器，所以UA检测只能作为辅助信号,不能作为唯一判断依据。
Cookie与Session的会话特征
正常用户首次访问时没有Cookie，服务器下发Session后，后续请求会携带该Cookie，而攻击脚本通常不维护Cookie状态，每次请求都是独立的、无状态的。
在Nginx日志中，如果某个IP的请求始终没有Cookie字段，或者Cookie值不断变化，说明对方明显不是在使用浏览器访问,这类请求应该受到更严格的频率限制。
从流量时间和地理分布做综合研判
业务时段与请求时间的错位
如果你的网站面向国内用户，正常访问高峰集中在9点到23点之间，凌晨时段流量会断崖式下降，攻击者却常常选择深夜发起攻击,目的就是趁运维人员疏于防备时下手。
凌晨两三点突然涌入的集中请求，哪怕绝对值不高，也值得高度警惕，反向思维同样适用攻击者也会反其道而行之，在业务高峰混杂在正常流量中,这时候就要依赖其他维度的判断依据。
地理位置的异常聚集
通过IP库查询访客归属地，可以快速识别风险，一个面向本地服务的网站，突然出现大量来自海外IP的访问，显然不合逻辑，国内云厂商控制台的DDoS防护报表中，也会展示攻击流量的来源分布,多数恶意流量集中在少量海外IP段。
考虑到CDN和代理节点的存在，地理位置判断会失真，这个维度需要结合其他指标交叉验证,不能单独作为封禁依据。
用日志分析和安全工具提升判断效率
网站日志分析的基本路径
无论是Apache还是Nginx，默认都会把每一条请求记录写入访问日志，你可以在宝塔面板的日志管理页面直接查看,或通过命令行工具分析。
以Linux服务器为例，使用tail -f /var/log/nginx/access.log可以实时观察正在发生的请求，配合awk命令统计IP访问次数，如awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20,几分钟内就能锁定最活跃的访问来源。
WAF产品与云防护方案
针对缺乏专业运维团队的场景，建议直接接入云WAF服务，国内主流云厂商（简米云、酷番云、华为云）均提供云WAF产品，防护效果与价格区间透明，公开资料显示的普遍防护能力在QPS数万到数十万级别，其中简米云WAF的基础版即可覆盖SQL注入、XSS跨站脚本等常见Web攻击的拦截。
具体接入路径为：云控制台搜索WAF → 添加域名 → 将CNAME解析切到WAF集群 → 开启防护模式，整个过程大约30分钟完成，防护模式建议先设为观察模式收集三天基线数据,再切换为拦截模式。
基于防火墙的临时封禁操作
当确认某个IP正在发起攻击时，可以立即用iptables封禁：iptables -A INPUT -s 攻击IP -j DROP，如果需要封禁整个IP段，则改为iptables -A INPUT -s IP段/掩码 -j DROP。
用iptables -L -n --line-numbers查看当前规则，iptables -D INPUT 行号可以删除某条封禁规则，这套操作流程在CentOS和Ubuntu系统上通用,是运维人员必须掌握的技能。
处理误封：白名单机制与人工复核
封禁操作存在误伤可能某些学校或企业出口IP被多人共享，单人的异常行为会导致整个IP段被封，多数脚本封禁策略应当设置
有效期，比如24小时自动解封,而不是永久封禁。
对于重要客户或合作方的IP，应当提前加入白名单，绕过频率限制和WAF检测，人工复核的核心原则是：先观察，再判断，最后封禁不要依靠单一的自动化规则做最终决定。
常见问题解答
服务器没有被攻击，但CPU突然升高，是什么原因？
CPU飙升不一定源于攻击，常见的内部原因包括：数据库慢查询数量激增、定时任务重叠执行、搜索引擎爬虫集中抓取、代码死循环，处理方式是先用top命令确认占用CPU最高的进程，再用strace跟踪进程行为，同时查看访问日志确认是否伴随异常请求量，如果两者同时出现,才考虑攻击可能。
如何区分CC攻击与正常的高并发访问？
CC攻击的特点表现为：大量IP指向同一URL（尤其是消耗资源的接口）、请求频率均匀而密集、UA和Referer字段异常、来源IP分布在少量C段，正常高并发的特征是：请求路径分散在不同页面、Referer多样、IP分布离散、User-Agent丰富多样，从业务角度看，正常高并发伴随真实转化行为，比如下单、支付、下载；而CC攻击只产生无效请求,不会带来任何业务收益。
服务器遇到DDoS攻击时怎么判断和应对？
DDoS攻击的核心特征是流量总量异常，表现为带宽被打满、CPU和内存占用居高不下，服务器响应变得极其缓慢，查看方式：云控制台的监控图表中流量曲线呈直线飙升，或本机执行iftop命令观察实时带宽占用，应对措施按优先级依次为：启用云服务商的高防IP、调整防火墙策略丢弃异常流量、联系运营商进行黑洞路由或流量清洗，事前防护需要购买高防套餐，据公开信息，当前主流高防套餐的防护能力在几百Gbps到数Tbps之间,具体配置与价格需根据业务规模与云厂商协商。
服务器访问判断的本质，是在业务可用性与安全性之间找到平衡既不过度拦截导致正常用户流失，也不放任攻击造成资源消耗与数据风险，你需要结合自身业务场景、访问基线和可承受的误杀率，让判断规则持续迭代,而不是依赖一套固定配置走到底。