清洗阈值如何设置：结合流量基线减少业务误伤

攻击流量清洗阈值与业务误伤平衡，关键不是找一个固定的请求数，而是识别“异常增加”与“正常波动”的差别。阈值过低，活动、发布或集中访问可能触发拦截；阈值过高，清洗又可能启动太晚。更稳妥的做法，是先建立分时段流量基线，再按访问对象和风险证据逐步处置。

先看基线，不要拿单一峰值当标准

基线应覆盖有代表性的工作日、周末及已知业务高峰。按分钟或更短时间粒度记录请求速率、并发连接、出口带宽，同时对照源站 CPU、响应延迟、错误率和关键操作完成情况。若只看总流量，正常的大文件传输可能与大量短请求混在一起，难以判断是否异常。

可将同一时段的历史数据整理成中位数、较高分位值和波动范围，区分稳定访问与偶发尖峰。用高分位值辅助发现异常，比用全天平均值更能反映高峰；但它仍不是直接封禁线。节假日、通知推送、产品发布等已知事件，应单独标记，避免被当成攻击样本。

攻击流量清洗阈值与业务误伤平衡，离不开细分规则。登录、搜索、页面浏览和文件接收的正常请求模式并不相同，不宜共用一个速率限制。可以按路径、请求方法、来源网段、会话状态和资源消耗拆分观察；规则越具体，越容易限制异常行为而保留正常访问。

建立对照数据：保存一段覆盖常态和高峰的流量记录，并标出业务活动、配置变更和故障时段。
确定候选阈值：对特定路径比较当前速率与同时间段基线。可把高于历史高位的约1.5至2倍作为告警复核起点，而非通用封禁标准；低流量路径、突发业务和持续时间都会改变适用性。
设置分级动作：先记录并告警，再考虑延迟、验证码或限速，证据充分时才扩大拦截范围。可疑请求集中于单一来源时，优先局部处理，避免直接限制所有用户。
灰度验证并留回滚条件：先对小范围路径或来源启用规则，观察正常请求成功率、延迟和错误率。出现关键操作失败增加、投诉上升或业务指标异常时，立即收紧范围或撤销规则。
复盘更新：事件结束后检查被限制请求中正常流量的比例、规则触发原因及漏过的异常请求，再调整阈值和例外条件，并记录变更时间与负责人。

请求数下降不等于清洗成功。还要检查源站负载是否回落、正常用户是否仍能完成登录或提交操作，以及错误率和响应时间是否恢复。若网络流量很高但源站压力不大，可能需要先定位带宽瓶颈；若请求量不高却造成资源耗尽，则应检查耗时操作和连接占用，而不是只提高总流量阈值。

速率限制适合约束短时间内重复请求，优点是响应快、规则直观；缺点是共享出口、移动网络切换或多人共用地址时，可能连带限制正常用户。挑战机制能增加自动化访问成本，但会影响无脚本浏览器、辅助技术或网络条件较差的访问者。选择时应结合业务重要性、访问特征和可接受的验证成本。

不应。超过基线适合作为告警信号，还需结合持续时间、来源分布、资源消耗和业务事件判断。

业务流量稳定时可定期复核；出现活动、架构变更或误拦事件后，应及时复盘。具体周期取决于业务变化速度。

对照规则触发记录与正常操作完成率、错误率、用户反馈。单看被拦请求数量，无法确认其中有多少属于正常访问。

攻击流量清洗阈值与业务误伤平衡，应建立在可比较的流量基线、分层规则和业务结果验证之上。把告警、限速、挑战和封禁设为逐级措施，并保留灰度与回滚能力，才能在压制异常流量时减少对正常请求的影响。