TG咨询做好攻击流量监控，难点往往不在于安装工具，而在于配置是否能把异常流量与正常业务区分开。只看出口带宽，可能漏掉低速口令尝试；只看请求数量，又可能把发布、备份和促销活动误判为攻击。下面按五个步骤检查配置，并说明每一步需要警惕的问题。
一、先划定监控范围，避免只盯着公网出口
第一步不是设置阈值，而是列出需要保护的流量入口。互联网公开服务、远程办公网关、DNS服务、邮件系统、管理后台和内部服务之间，攻击特征并不相同。攻击流量监控至少应覆盖入口负载均衡器、防火墙、Web服务器和关键主机四类位置。
建议的配置动作
- 建立资产清单，记录域名、监听端口、所属业务、负责人和可接受的中断时间。
- 在入口设备采集连接数、每秒请求数、传输字节、协议、目标端口和响应状态。
- 在应用层补充登录失败、接口耗时、响应码分布等信息。
- 为管理后台、支付接口、文件上传等高风险入口设置单独标签，不与普通静态资源共用阈值。
常见错误是只监控路由器的总流量。这样能发现大规模带宽占用，却不容易识别针对单个接口的慢速请求。范围划分合理后，攻击流量监控才有足够上下文。
二、采集字段要完整，别让日志失去关联能力
第二步检查日志格式。以Nginx或Apache为例，至少保留请求时间、来源地址、目标主机、请求方法、状态码、响应大小、处理耗时和连接结果。若系统前面有反向代理，还要明确记录代理链信息，避免把代理地址误认为真实来源。
相关字段应保持统一命名和时间格式，并为每次请求生成可关联的请求标识。对于TCP层流量，可额外记录源端口、目标端口、连接持续时间和重传情况；对于DNS服务，则关注查询类型、响应码、请求频率和异常域名模式。
配置攻击流量监控时，不建议默认采集全部数据包并无限期保存。全量抓包占用存储和性能，适合短时排查；长期运行通常采用元数据和关键日志，发现事件后再针对特定地址、端口或时间窗口抓包。
三、阈值必须结合基线，警惕“一刀切”
第三步是建立基线分析。阈值至少要按工作日、周末、白天和夜间区分，并覆盖一个完整业务周期。新系统没有历史数据时，可以先观察数天到数周，再设置初始范围；业务季节性明显时，还应单独记录发布日、结算日或大型活动窗口。
不要只配置“请求量超过某数值就报警”。更实用的判断是同时观察多个信号：请求量突然升高、失败率扩大、平均延迟上升、单一接口占比异常，或大量来源集中访问不存在的路径。攻击流量监控可以把这些条件组合成低、中、高三个等级，减少单一指标造成的误报。
阈值设置的取舍
- 固定阈值：配置简单，适合流量稳定的小型服务，但面对业务波动时误报较多。
- 动态阈值：能随时间段和历史趋势变化，适合访问量周期明显的系统，但需要持续校准。
- 组合阈值：同时使用流量、错误率和延迟，判断更准确，不过规则维护成本较高。
四、时间同步和数据留存不能省略
第四步容易被忽视。若负载均衡器、应用服务器、防火墙的时钟相差几十秒，调查一次异常访问时就可能无法对应同一事件。应统一使用可靠的NTP时间源，并定期检查各节点时间偏差。
留存周期要根据风险、法规和存储容量决定。普通访问日志可按业务要求保存数周到数月；安全事件相关日志应避免在告警尚未关闭前被轮转覆盖。日志传输最好采用加密连接，并限制删除、修改和导出权限。对高价值系统，还应把关键日志复制到独立存储，防止主机被入侵后同时清理证据。
数据采集还要注意隐私。密码、完整支付卡号等敏感内容不应直接写入日志；必要时使用脱敏、哈希或字段截断。完整的攻击流量监控既要能调查，也要控制数据暴露范围。
五、告警必须连接处置动作，避免只报不管
第五步是把告警变成可执行流程。每条规则都应写明触发条件、影响范围、负责人、升级时限和复核方式。例如，短时间内某登录入口失败请求激增，可先检查来源分布和账户影响，再决定启用速率限制、验证码、临时封禁或加强身份验证。
- 先确认是否为已知变更、定时任务或业务活动。
- 核对入口、接口、来源分布和错误类型，排除采集故障。
- 判断是资源耗尽、账号攻击、扫描探测还是应用漏洞利用迹象。
- 按业务容忍度选择措施，例如限制单来源速率、隔离受影响主机或切换备用入口。
- 事件结束后回看规则命中情况，记录误报原因并调整基线。
速率限制适合保护单个接口，网络隔离适合控制已受影响的主机，流量清洗更适合大规模外部攻击。三者不能互相替代，选择时要考虑业务中断时间、恢复能力和运维权限。
常见问题
攻击流量监控只看带宽够吗？
不够。低速、分散或针对登录接口的攻击可能不明显增加带宽，应结合请求、失败率、连接和应用延迟判断。
没有历史数据如何设置阈值？
先进行观察期采集，按时间段记录正常范围，再使用保守阈值并设置人工复核，避免一开始就自动封禁。
是否需要长期保存全部数据包？
通常不需要。长期保存连接元数据和结构化日志，发生事件时再对限定范围进行短时抓包，更易控制成本。
告警太多应该先删规则吗？
应先分析误报来源，区分业务活动、采集异常和真实攻击，再调整时间窗口、组合条件或告警等级，而不是直接删除规则。
稳定的攻击流量监控应覆盖资产、字段、基线、时间和处置五个环节。完成配置后，还要通过演练和复盘持续修正规则，才能让监控结果真正服务于防护决策。
