RockCloud-基石云安全-官方博客 - 分层回源
type: channel
link: https://rockcloud.cc/blog/tag/%E5%88%86%E5%B1%82%E5%9B%9E%E6%BA%90/
items: 源站IP泄露后的应急处理与修复步骤：5步止血顺序

源站IP泄露后的应急处理与修复步骤：5步止血顺序
type: item
date: 2026-08-28T10:35:00+08:00
description: 源站IP泄露后的应急处理与修复步骤，先用第0步判定真假泄露，再按“收口→定级→换IP→固定暴露面→验证”五步止血：先确认是不是真泄露，再立即用访问控制收口（比换IP快），然后评估是否降级限流，满足判据才换IP，最后用回源鉴权固定暴露面并验证外部已无法直连。本文只讲事故中的动作顺序、生效快慢与验证信号，不盘点泄漏点——事前自查可参考站内如何防止源站真实IP暴露。2026年6月，CISA发布BOD 26-04实施指南，要求组织收敛公网暴露面并将防护与访问控制前移至网络边缘，以缩短应急处置窗口。同年8月，Google Cloud Media CDN更新源站架构指南，明确多级缓存与Origin Shield可聚合回源请求、防止惊群效应。这两份官方文档共同支撑一个原则：源站IP泄露后，边缘侧的动作永远比源站侧更快生效。第0步判定：是源站IP真泄露，还是回源配置把流量引回了源站先别急着换IP。大量“疑似泄露”其实是回源配置问题——CDN回源时把流量引回了源站，让日志里看起来像被直连。误判的代价是白白中断一次业务。用四个信号区分：源站访问日志中的客户端IP是否全部落在CDN回源IP段内？如果是，大概率是回源路径问题，不是泄露。连接是否带回源标识头（如自定义Header）？缺标识的请求才是外部直连。目标端口和Host字段是否与CDN配置一致？不一致说明有独立探测。DNS历史解析、证书透明日志里是否出现过源站地址？出现过才算证据确凿的泄露。如果四个信号都指向“没有外部IP出现”，那问题在回源配置，换个IP只会让业务白断一次。第1步收口访问控制：只放行回源IP段，比换IP先生效无论是否真泄露，第一步不是换IP，而是先在源站安全组/防火墙做白名单收口。规则类变更不需要业务重新解析，生效快、回滚也快，先锁定来源能立刻缩窄暴露面。按这个顺序收口：先限来源：只放行CDN回源IP段和运维跳板机IP。再限端口：只保留80/443等业务必需端口，其余全部关闭。最后处理其他出网服务：邮件、监控、对象存储回调等，逐一收敛。关键区别在于：在源站防火墙逐条补规则，和让边缘完成连接终止与访问判定，后者更快生效且更隐蔽。CISA在BOD 26-04中强调的“把访问控制前移到边缘”，正是为了缩短这个窗口。配合回源白名单，源站只接受边缘回源IP段的连接，其余来源在源站入口即被拒绝；把连接终止与访问判定前移到边缘后，这类请求还没到源站就已被处理。第2步定级：区分“还能扛”和“已经打满”，决定是否降级与限流收口之后，马上评估源站当前承受的压力，决定要不要主动降级。看五个观测项：观测项判断依据对应动作带宽/PPS是否接近出口上限启用边缘清洗或限流连接数/连接池占用是否耗尽限制新连接或排队CPU/后端队列是否持续高位降级非核心路径错误率/延迟分位是否明显劣化优先保障核心接口行为特征慢速攻击、低频滥用走七层行为清洗，不能只看带宽必须把四层带宽压制和七层行为清洗分开验收。慢速攻击和低频接口滥用不触发带宽阈值，却能悄悄耗尽连接池和CPU。如果只盯着带宽，可能误判为“还能扛”，实际已濒临打满。若需要明确降级与限流的动作细节，可参考 DDoS应急响应。第3步换IP：什么情况下才换、换之前必须先做完哪几件事满足以下任一判据才换IP：收口后仍被直连，说明白名单没能覆盖所有暴露路径；源站地址已出现在公开渠道（如证书透明日志、被动DNS、历史解析记录）；存在无法用白名单解决的暴露面（如第三方回调必须直接访问源站）。换IP之前，必须先做完四件事：确认新地址不在任何历史解析记录里，避免换了个“旧IP”。同步更新CDN回源配置和源站白名单，让新IP立即生效。可参考无感接入高防CDN配置流程。准备回滚方案：保留旧IP一段时间，出问题能切回。评估业务中断窗口：换IP涉及DNS解析和连接重建，有些长连接业务会中断。恢复时长取决于云厂商和业务架构，不同场景差异很大，这里不给统一承诺。但在源站IP泄露后的应急处理与修复步骤里，换IP是最后手段，不是第一动作。第4步固定暴露面：回源鉴权与分层回源怎么配合换完IP，必须把暴露面固定在边缘，否则泄露会反复发生。回源鉴权：源站对不带自定义Header或证书校验的连接直接拒绝。这样即使地址被知道，没有凭据也进不来。分层回源（Origin Shield）：在边缘汇聚区域回源请求，避免突发流量穿透源站产生惊群效应。Google Cloud Media CDN的架构指南指出，多级缓存能聚合回源流量，同时把回源来源收敛成可白名单化的固定集合。两者是互补关系：回源鉴权解决“进不来”，分层回源解决“扛得住”。只做鉴权，流量照样能穿透到源站；只做分层，地址被知道后仍可能被直连。配合使用，相当于给源站上了双保险。第5步验证泄露已切断：直连测试、日志比对与持续观测项“配置成功”不等于“外部已探测…