最近运维群里聊得最多的，不是那种持续几小时的大流量洪水，而是那种两到三分钟就结束的短时突袭。流量一上来，监控还没来得及报警，业务已经卡顿甚至短暂不可用。再一看日志，请求集中打在几个API接口上，每个源IP看起来都不高，加起来却把后端CPU和连接池直接打满。这种模式已经成了常态。

数据交叉印证得很清楚。网络层攻击同比大幅攀升，超大流量峰值一度冲到31.4 Tbps，但很多高影响事件只持续几十秒到几分钟。应用层方面，短时爆发更明显，大量HTTPS攻击不到一分钟就结束，78%的攻击在5分钟内收尾，37%不到2分钟。API接口被盯上的程度尤其突出，针对API的攻击量远超传统网站，有报告指出API被攻击次数比网站高出好几倍，恶意API交易也明显增加。超级僵尸网络能同时打出超高RPS的HTTP洪水和超大带宽洪水，目标经常是电信、游戏、金融和AI相关服务。攻击者喜欢用分布式IP池、短时精准打击，专门卡在人工响应和静态阈值触发之前完成破坏。

传统“发现后手动切清洗”的模式在这种节奏下基本失效。等你接到告警、确认、切流量，攻击往往已经结束，或者已经造成了几分钟的业务损失。每分钟的停机成本动辄上千美元级别，对电商、支付、游戏来说更是直接掉单。更麻烦的是，很多短时L7攻击请求本身合法，没有明显恶意payload，纯靠静态签名或固定阈值限流很容易漏过，或者误伤正常高峰。

实操上，第一件事是把源站IP藏起来。所有对外流量必须走高防CDN或WAF边缘，DNS只解析到边缘节点。一旦源IP被扫到，攻击者就能绕过边缘直打后端，再强的高防也白搭。静态资源尽量缓存到边缘，减少回源。关键接口（登录、支付、查询、下单）单独划优先级，给最严格的防护策略。

第二，必须always-on自动化。短时攻击留给人工的窗口太短，防御系统得自己在秒级甚至亚秒级识别并清洗。基石云这类高防服务的核心价值就在这里——边缘清洗、多层过滤和自动化响应打通，流量一进节点就能按行为模型分流，正常用户几乎无感，攻击流量直接在边缘丢掉。不用等告警再手动切换，也不用担心清洗中心容量不够。

第三，限流要从静态改成行为化、分端点。固定窗口限流最容易被卡边界：攻击者在窗口重置瞬间狂发一波。滑动窗口更平滑，token bucket适合有正常突发的业务（比如webhook、文件上传），允许短时高峰但控制平均速率。再往上做自适应：根据当前CPU、连接数、错误率动态收紧阈值。地理或ASN维度也可以加一层，对高风险区域先降权。最重要的是按端点单独建基线——登录接口的正常RPS和搜索接口完全不一样，统一阈值要么太松要么太紧。分布式攻击时每个IP都低于阈值，但加起来就能拖垮后端，所以还要看聚合行为、会话异常、User-Agent一致性这些特征。

网络层别忘了基础加固。SYN Flood这种老攻击依然有效，攻击者发大量SYN不完成握手，服务器半连接队列被占满，正常用户连不上。Linux上直接开SYN cookies：net.ipv4.tcp_syncookies = 1。服务器不再为半连接分配状态，而是把信息编码进序列号，等真正的ACK回来再验证。再配合单IP SYN速率限制和恶意源丢弃，成本极低但效果直接。高防边缘本身也会做协议层清洗，把这类垃圾在入口就滤掉。

多层叠加才稳。最外层高防CDN/边缘做容量吸收和初步清洗；中间API网关做精细限流、挑战（必要时用无感验证）和WAF规则；后端再做资源隔离和熔断。监控要覆盖RPS、延迟、错误率、源地理分布，阈值设得够敏感，但告警要分级，避免疲劳。定期演练响应流程，哪怕只是模拟短时高峰，也比真出事时手忙脚乱强。

常见误区不少。一是觉得自己业务小，不会被盯上——事实是中小企业API攻击增长更快。二是只买带宽不搞行为检测，静态限流在分布式短时攻击面前形同虚设。三是源站暴露，边缘白做。四是限流只做IP维度，忽略端点和会话。五是没有always-on，还在用“被打了再开”的老思路。

实际部署时，可以先把核心API迁到高防CDN后面，开启自动清洗和基础行为规则，再逐步加分端点限流和自适应策略。测试时用压测工具模拟短时高RPS，看延迟和错误率有没有异常升高，同时观察正常用户体验是否受影响。基石云的高防能力在这类场景下比较对口，边缘节点分布广，清洗和加速一体，适合需要同时扛流量和保访问体验的业务。

现在的攻击节奏就是快、准、短。等你反应过来，损失已经发生。把自动化、行为检测和多层边缘防护前置，才是能睡安稳觉的做法。日常把源站藏好、限流做细、监控拉满，再配合靠谱的高防服务，短时突袭就从“致命打击”变成“日常噪音”。