DDoS保底防护和弹性防护有什么区别，防护值应按哪些指标评估

DDoS保底防护和弹性防护有什么区别？如何评估所需防护值？

业务刚上线时，采购方往往更关注基础防护是否够用；业务增长、攻击记录增加或中断损失变大后，则会进一步关注能否扩展防护能力。比较方案时，先区分两个问题：保底防护回答“持续具备多少能力”，弹性防护回答“满足条件后还能扩到多少”。如果业务不能承受扩展等待或临时处置的不确定性，就不能只依据弹性峰值判断防护是否充足。

评估所需防护值，应同时查看带宽、每秒数据包数（PPS）、连接处理能力和应用层请求等指标，并核对攻击类型、统计口径及超限处理。选型原则是：保底能力覆盖必须持续应对的风险；弹性能力用于处理高于基础范围的突发风险，但只有在触发条件、生效时间、扩展上限和费用规则明确时，才能把它计入方案能力。

保底防护与弹性防护：同一维度下比较

保底防护通常表示在约定的接入、配置和服务条件下，持续提供一定范围的攻击识别、清洗或拦截能力。其防护值可能按带宽、PPS、连接处理能力或其他指标描述，具体口径需要以服务说明或合同约定为准。

弹性防护通常表示在攻击出现或流量达到约定条件后，按服务规则临时增加或调度防护能力。它的作用是为高于基础档位的突发流量提供扩展空间，不意味着能力无限，也不必然代表扩展会立即完成。

两类能力的数字只有在相同指标、相同统计口径、相同攻击类型和相同服务范围下才适合比较。例如，一项服务给出固定的攻击带宽处理能力，另一项只标注弹性峰值，却没有说明如何触发、多久生效，那么两个数值不能直接相减，也不能把弹性峰值视为始终具备的保底能力。

还要区分防护能力与服务器带宽。防护值描述的是防护服务对特定攻击的处理能力或服务承诺，不等同于源站可以获得同等大小的可用带宽，也不保证所有攻击类型下业务都能正常访问。最终效果还取决于攻击特征、接入方式、规则配置及服务覆盖范围。

评估防护值：不要只看带宽数字

所需防护值不是一个适用于所有业务的单一数字。应先整理业务正常流量和历史攻击情况，再按各项指标分别核对服务能力。指标之间不能互相替代：带宽不能完整代表包处理压力，连接数不能替代每秒请求数，网络层指标也不能证明应用层攻击已被覆盖。

带宽：确认测量的是哪种流量能力

带宽通常用于描述单位时间内的流量规模。评估时，至少要弄清楚服务商提供的数值指的是攻击流量处理能力、接入能力，还是清洗后可交付的业务流量能力；还要确认统计方向、统计窗口，以及标注的是峰值还是持续能力。

业务侧可整理正常时段和高峰时段的流量基线，再与历史攻击记录中的峰值对照。两类数据的含义不同：业务峰值用于识别正常需求，攻击峰值用于评估历史风险。若只有业务带宽数据、没有攻击记录，就不能据此准确推定需要应对的攻击规模，应把结论限定为初步采购依据，并继续核实服务商的统计口径和可提供的事件数据。

PPS与连接能力：关注包处理和会话压力

PPS表示每秒处理的数据包数量。攻击流量即使带宽不高，也可能因数据包较小、包速率较高而增加转发或清洗压力。因此，存在网络层攻击风险时，应确认防护服务是否提供PPS能力口径，以及该口径适用于哪些攻击类型。

连接指标也要拆开看。并发连接数描述某一时刻维持的连接规模；每秒新建连接数描述单位时间内建立连接的速率，二者不是同一个指标。它们都不能替代每秒HTTP请求数：一个连接可能承载多个请求，也可能只发生少量请求，实际关系取决于业务协议和访问模式。核对产品指标时，应确认其统计对象是防护设备、源站还是业务侧能力，避免拿不同对象的数字直接对比。

应用层请求：确认是否覆盖网站和接口攻击

网站、接口等业务可能遭遇应用层攻击。评估时可结合正常请求峰值、接口处理能力、并发情况和日志中的异常请求变化，确认服务是否覆盖对应的应用层攻击，以及识别和处置方式是什么。

如果服务仅提供带宽或PPS数值，不应据此推断应用层攻击也在防护范围内。采购前应把业务类型、需要保护的域名或接口范围以及相关防护能力逐项确认；具体覆盖范围以服务说明或技术确认结果为准。

攻击类型、持续时间和可接受影响

相同的带宽数值，面对不同攻击类型时，防护效果可能不同。除峰值外，还应记录攻击持续时间、发生频率、流量特征和当时的业务影响，并核对服务覆盖范围。

同时明确业务对中断和降级的容忍度：攻击期间是要求尽量维持正常访问，还是只要求网络仍可达？超过防护能力后，服务会如何处理？可能的限流、黑洞处置或其他动作需要逐项确认，不能仅根据“高防”“弹性”等名称推断。若业务无法接受某种超限处置，就应在方案比较前把这一点列为必要条件。

按业务风险确定保底与弹性配置

基础方案：攻击历史有限，短时影响可以接受

适用于规模较小、已有攻击记录有限，且短时访问波动可以接受的业务。可把保底能力作为主要保障，依据正常流量、已知攻击记录和业务重要性确认基础值，而不是默认选择最低档。

这种方案的主要取舍是保障范围相对清晰，但超过保底值后的处理可能受限。如果提供弹性能力，应把它作为补充，并确认触发方式、扩展上限、生效时间和费用。若关键业务必须在攻击发生时立即得到相应防护，而弹性生效条件不明确，就不能把弹性能力当作基础保障的替代品。

均衡方案：连续性要求较高，攻击规模有波动

适用于业务有稳定访问、异常中断会造成明显影响，且攻击规模可能高于日常水平的场景。可按“保底覆盖必须持续应对的风险、弹性处理突发峰值”的思路配置。

保底值应由历史攻击记录和业务容忍度支撑；弹性上限则要结合可能出现的峰值及服务商能够确认的扩展范围。此时关键不是单纯追求更高的峰值数字，而是核实扩展是否自动、触发后多久生效、扩展期间业务可能受到什么影响，以及超限后的处理和费用是否可接受。若生效时间无法满足业务恢复要求，应提高持续保障能力或另行完善应急处置，而不能只依赖弹性扩展。

高负载方案：中断损失高，不能依赖临时扩展补位

适用于业务中断损失较高、曾遭遇大规模或多类型攻击，或对恢复时间有严格要求的场景。此时应优先核实保底能力能否覆盖已观测到的主要风险，再把弹性能力用于应对更高峰值；不宜把关键防护全部押在临时扩展上。

升级依据应来自可核验的业务和攻击资料：如果历史攻击经常超过保底范围，或弹性切换时间长于业务能够接受的时间，就需要重新评估基础能力、服务边界和超限预案。仅提高标称弹性峰值，不能证明攻击期间的业务可用性已经得到保障。

用数据和服务条款核验所需防护值

采购前可以按以下顺序整理资料并验证方案：

1. 建立正常流量基线。 收集正常时段与业务高峰时段的带宽、PPS、并发连接数、每秒新建连接数和应用请求数据。区分日常业务增长、促销等正常峰值与异常流量。
2. 整理攻击记录。 尽可能记录攻击发生时间、持续时间、峰值指标、攻击类型和业务影响。可结合监控、日志及服务事件报告补齐；如果记录不完整，应说明数据缺口，不要用单一指标推断所有攻击规模。
3. 划分持续保障与突发扩展。 根据业务容忍的中断时间和降级程度，确定哪些风险必须由保底能力覆盖，哪些可以交由弹性能力处理。
4. 逐项对齐指标口径。 对带宽、PPS、并发连接数、每秒新建连接数和应用层请求能力，分别核实定义、测量对象、统计窗口、适用攻击类型和服务范围。不同口径的数据不能直接比较。
5. 确认触发、生效和超限规则。 询问由系统自动触发还是需要人工确认、扩展上限是多少、生效需要多久、扩展期间业务可能受到什么影响，以及达到上限后的处理方式和费用规则。
6. 留存可追溯依据。 将关键指标定义、服务条件和超限处理方式落实到服务说明、技术确认记录或合同条款中。对于无法确认的能力，不应计入确定可用的防护值。

没有历史攻击数据时，可以先以正常流量基线和业务可接受影响作为采购起点，再向服务商确认能提供哪些监测和事件数据。不要凭经验随意添加固定比例作为“安全余量”；余量应能对应业务增长、已知攻击记录或扩展生效能力等具体依据。

最终判断可以落到两个条件上：保底能力是否覆盖常见且必须持续应对的风险；当攻击超过保底范围时，弹性能力是否能在业务可接受的时间内扩展，并且其上限、费用和超限处理是否明确。前者决定基础方案是否够用，后者决定是否需要弹性，以及弹性能力能否作为可依赖的补充。