最近DDoS不再是单纯的“砸流量”了。体积还在涨，早期2025年攻击量就暴增350%，峰值轻松过6Tbps，2024年攻击次数直接翻倍。下半年全球监测到的攻击超过800万次，峰值演示到了30Tbps量级。更扎心的是，攻击者开始玩多向量轮换，几分钟内切换十几种放大协议，单点防护直接被绕开。API和API网关也成了重点靶子，加密流量、AI辅助、行为伪装让识别更难。

有个很典型的例子。2026年5月1日到20日，全球监测到12万多次攻击里，荷兰一个托管商的/24子网特别“受欢迎”。19天内，它被至少11种不同的放大向量轮番轰炸，经常几分钟就换协议。具体包括DNS（UDP/53，放大28-54倍）、NTP（MONLIST命令最高556倍）、CLDAP、MSSQL浏览器、CHARGEN（老掉牙的1983年协议，还能1:358放大）、QOTD、TFTP、NetBIOS、SNMP、Portmap，还有Ubiquiti设备发现服务。这些老协议本该淘汰，但公网上还是有大量暴露的放大器，攻击者就爱捡这种漏。

单向量防护这时候就废了。你刚把DNS和NTP限速配好，对方立刻切到MSSQL或CHARGEN。还有那种持续低量攻击，每隔一分钟打一波CLDAP或NTP，藏在日常基线噪声里，累计压力不小，但阈值告警根本不响。这类模式说明攻击者在做侦察：小流量探你的防御缺口，找到了再上全套多向量。

API侧更隐蔽。应用层请求看起来像正常用户，但精准砸登录、搜索、数据库查询这些重资源接口。加密后传统流量特征失效，AI还能帮攻击者自动调参、换指纹。结果就是业务卡顿、接口超时，用户以为是你服务器不行，其实是被精准“薅”了。

面对这种局面，单靠一台高防服务器或简单阈值已经不够。得上多层，从边缘到源站全覆盖。

第一层必须是边缘高防CDN。用Anycast把流量打散到全球节点，先把体积型放大流量洗掉。基石云这类高防CDN的优势就在这里：节点多、清洗带宽大，能同时处理多种UDP/TCP反射协议，而不是只盯着几种热门的。攻击流量到不了源站，你的服务器压力直接降下来。实操时把域名CNAME到高防节点，开启自动清洗，阈值设得比日常峰值高一点留缓冲，同时打开协议过滤，把已知放大端口的入站反射包直接丢。

第二层是宽谱过滤加实时情报。别只防DNS/NTP，所有已知放大协议都要限速和校验。CHARGEN、QOTD这些老端口，哪怕业务不用，也要在边界ACL里默认拒绝或严格限流。实时威胁情报很关键，放大器IP库要动态更新，新发现的反射源立刻拉黑。行为异常检测更实用：某个IP突然收到从没见过的协议流量，立刻告警，这比等流量爆表再动要早得多。

第三层落到应用和网关。API网关必须开严格限速：同一IP短时间请求过多直接throttle或临时封；异常User-Agent、缺头、只打敏感路径的优先拦。配合WAF规则和挑战机制（隐形验证或按需触发），把机器人挡在外面。加密流量就靠行为基线学习，正常用户模式记下来，偏离就降权或挑战。源站再套一层高防服务器，只允许高防CDN回源IP访问，源站IP彻底隐藏。基石云的高防服务器在这里就能派上用场，提供额外清洗和稳定回源通道，避免攻击绕过CDN直打。

实操响应流程可以这样跑。平时做好基线监控：正常RPS、协议分布、地理来源都记清楚。凌晨流量突然50倍跳，第一时间看高防控制台——如果显示多国多协议混杂，立刻切“攻击模式”，开启全量清洗和更严限速。同时临时geo-block非核心业务区域，只留主要用户市场。挑战机制按需打开，别全站一直开，否则正常用户也烦。整个过程目标是3-5分钟内让真实用户恢复访问，攻击流量在边缘被吸干净。

常见误区不少。一是只配几种热门协议防护，以为够了，结果被轮换打穿。二是忽略老端口审计，服务器或中间设备还开着CHARGEN之类，自己变成放大器。三是纯靠流量阈值，没有行为分析，低量持续攻击就漏掉。四是源站没做白名单，攻击者扫到真实IP就直连绕过。五是部署完不测，真打来才发现回源策略有洞或者清洗延迟高。

部署时注意几点细节。高防CDN节点尽量选覆盖你用户群的，延迟和清洗效果都更好。限速规则分业务：静态资源松一点，API和登录严一点。定期演练：模拟多协议切换，看系统能不能自动切策略。日志要全量留，方便事后复盘攻击源和切换节奏。预算有限就先上边缘高防CDN加基础WAF，再逐步加源站高防服务器和情报订阅。

现在的DDoS已经进化成“找漏洞+轮换打”的持久战。体积大不可怕，可怕的是多向量切换和精准API消耗。把高防CDN放最前吸收体积，宽谱过滤和情报挡反射，行为+限速护应用，源站高防兜底，这套下来才能稳住。基石云提供的高防能力正好覆盖这些层次，从边缘清洗到源站防护都能串起来用。提前配好、测通、监控到位，真来攻击时才不会手忙脚乱。