核心目标是快速止损、控制影响、保留证据、逐步恢复；需先识别ddos特征，立即引流至高防ip或cdn清洗，禁止格式化清日志，攻击缓解后须排查后门并加固系统。
服务器遭遇DDoS攻击时，核心目标不是“立刻恢复正常”，而是“快速止损、控制影响、保留证据、逐步恢复”。处理得当，能大幅降低业务中断时长和数据泄露风险。
一、立即识别并确认是否为DDoS
别急着重启或重装系统。先看几个关键信号：
- 服务器响应极慢或完全无响应，但CPU/内存使用率未必爆满（流量型攻击常耗尽带宽而非资源）
- 网络监控显示入向流量突增数倍（如从100Mbps飙升至2Gbps），且来源IP高度分散、无规律
- netstat -an | wc -l 返回连接数异常高（如超5万），大量处于SYN_RECV或TIME_WAIT状态
- Web服务日志中未见明显SQL注入、路径遍历等攻击痕迹，但请求频率远超业务峰值
若符合以上特征，大概率是DDoS——此时重点已不在查漏洞，而在控流量。
二、第一时间做网络隔离与流量引流
物理或逻辑断网只是临时手段，真正有效的应对是把攻击流量“引开”：
- 启用高防IP或高防CDN：将域名DNS解析切到高防CNAME地址，让攻击流量先经过清洗集群，再把干净流量回源
- 云平台快速切换：阿里云/腾讯云/AWS均支持一键绑定高防实例，5分钟内完成流量牵引
- 若暂无高防资源，可临时关闭公网入口（如云控制台禁用ECS公网IP），仅保留内网管理通道（如跳板机SSH）
- 避免手动封IP：DDoS多用僵尸网络，封单个IP无效；iptables规则过多反而加重内核负担
三、保全证据并评估实际影响
攻击未结束前，严禁格式化、重装或清空日志：
- 用tcpdump -i eth0 -w ddos_capture.pcap 抓取至少10分钟原始流量（保存到独立存储）
- 备份关键日志：cp /var/log/auth.log /var/log/syslog /var/log/nginx/access.log /backup/
- 检查是否有横向渗透迹象：运行lastb查暴力破解记录，ps auxf | grep -E "(perl|python|wget|curl)"找可疑进程
- 确认业务是否真中断：用内网其他机器访问该服务器本地端口（如curl http://127.0.0.1:80），区分是网络层瘫痪还是服务崩溃
四、攻击缓解后的加固动作
攻击停止不等于风险解除。很多DDoS是掩护行为，背后可能已植入后门：
- 更新所有组件：内核、Nginx/Apache、PHP/Python运行时，尤其关注近期高危漏洞（如2026年新曝的OpenSSL或glibc相关CVE）
- 收紧防火墙：默认DROP所有入向，只放行必要端口+可信IP段（如运维IP白名单）
- 关闭非必要服务：停用telnet、ftp、rpcbind等老旧协议，禁用root远程登录
- 部署基础防护：在Web层加WAF规则（如拦截高频User-Agent为空或含“sqlmap”的请求），应用层启用速率限制（Nginx limit_req）
不复杂但容易忽略
