两层防护的分工
流量型与连接型攻击（带宽洪泛、连接耗尽）在到达 WAF 之前就已经把链路与连接表打满，应用层设备根本没有机会做语义判断；而应用层攻击（刷接口、撞库、慢速请求）流量不大却能耗尽后端资源。合理分工是上游清洗中心处理流量与连接层，WAF 处理应用层语义，两层阈值联动、告警合并，各自只做擅长的事。
基本信息
| 清洗中心 | 流量型与连接型攻击的牵引与过滤 |
|---|---|
| WAF | 应用层语义检测、访问频率与行为控制 |
| 联动要点 | 清洗触发阈值与 WAF 告警统一通报，便于同步研判 |
| 攻击期调整 | 可临时放宽挑战策略保业务，但必须记录 |
| 恢复要求 | 攻击结束后恢复默认基线与阈值 |
| 复盘要求 | 事后评估两层防护各自的拦截效果 |
典型使用场景
- 大流量攻击期间的应急协同处置
- 重要活动前的联合防护演练与阈值校准
- 评估清洗阈值与业务带宽是否匹配
- 攻击结束后复盘哪一层防护真正起作用
- 处置慢速攻击时判断是否需要 WAF 侧介入
配合要点
配合要点
1. 清洗阈值与业务带宽匹配，避免正常流量被误牵引 # 阈值
2. 攻击期间优先保障核心接口，如登录与交易 # 分级
3. WAF 限速阈值随攻击规模动态调整并留记录 # 动态调整
4. 两层告警统一通报到同一值班渠道 # 协同
5. 事后复盘两层防护效果并恢复默认基线 # 收尾攻击类型与责任层
| 攻击类型 | 主要责任层 | WAF 的作用 |
|---|---|---|
| 带宽洪泛 | 清洗中心 | 流量到不了应用层，基本无作用 |
| 连接耗尽 | 清洗中心与网络侧 | 识别部分异常连接特征 |
| 应用层刷接口 | WAF | 频率控制、行为识别与挑战 |
| 慢速请求攻击 | WAF | 超时控制与并发限制 |
攻击期间对策略的临时调整要有记录，事后恢复默认基线，否则临时放宽会沉淀成长期配置。
攻击期间临时全站启用验证码会同时拦下正常用户：按接口重要度分级处置，优先保证核心业务可用。