发现异常时，单看总流量往往不够：流量变化可能来自正常业务高峰，也可能是攻击信号。做好攻击流量特征监控与告警设置，应同时观察流量规模、连接行为和服务状态，再根据风险等级通知不同人员。
先看特征：总量之外还要观察什么
常见异常大致分为三类。第一类是流量型攻击，入口流量或每秒数据包数短时间上升，且集中指向少数服务。第二类是连接型异常，新建连接数、半开连接或连接失败突然增多，服务资源可能先于带宽耗尽。第三类是应用请求异常，单个接口请求激增、请求分布变得集中，或者响应延迟和错误率同步上升。
因此，不要只盯着流量峰值。可把入口与出口流量、每秒数据包数、新建连接数、目标端口分布、请求量、响应延迟和错误率放在同一时间轴上。若流量上升但业务成功率稳定，可能是正常活动；若流量变化伴随连接失败或错误率升高，更值得优先排查。
建立可比较的基线
在配置告警前，先记录工作日、周末和已知业务高峰的正常范围。至少按分钟保存关键指标，并保留足够历史数据供同一时段比较。流量基线不是固定常数：服务规模、季节性和活动安排都会影响正常水平。
可用 Prometheus 汇总指标、用 Grafana 查看趋势；需要分析网络会话时，可评估 Zeek 等网络监测工具。注意采样数据适合看趋势，却可能漏掉短促尖峰；关键入口应确认采集位置、采样比例和时间同步是否可靠。
按步骤设置分级告警
- 选指标：至少覆盖流量、数据包速率、连接速率及一项服务质量指标，如延迟或错误率。按目标服务、端口或入口分别统计，避免全网总量掩盖局部问题。
- 设相对阈值：可先将“超过同一时段基线约两倍并持续数分钟”作为观察级规则，将“三倍左右且服务指标恶化”作为高优先级候选条件。倍数与持续时间需按业务波动调整，不宜直接套用为通用标准。
- 划分等级：提示级记录趋势并通知值班人员；警告级要求核查来源分布、目标端口和服务日志；严重级在多个指标同时恶化时通知应急负责人，并按预案评估流量清洗、限速或上游协助。
- 设置恢复条件：告警解除阈值应低于触发阈值，并要求指标稳定一段时间，避免数值在边缘波动时反复通知。相同事件可合并告警，保留首次发生时间、持续时长和受影响对象。
- 验证规则：用历史曲线回看阈值是否漏报或误报；在获批的演练或维护窗口检查通知链路。记录每次处置结果，逐步修正阈值和联系人。
让告警可行动，而不是只制造噪声
每条告警应说明触发指标、当前值、基线、影响对象、持续时间和建议检查项。比如“连接速率升高”不足以指导处理；补充目标服务、失败率变化及发生时间，值班人员才能判断优先级。
速率限制可以缓解部分突发请求，但可能影响共享出口后的正常用户；来源封禁也可能误伤合法访问。采取措施前应确认目标范围、回滚方式和业务影响。若入口已超出本地设备处理能力，单纯调整应用规则可能无效，应按预案联系网络上游或流量清洗服务。
持续维护攻击流量特征监控与告警设置，关键不在于阈值越多越好，而在于指标有上下文、告警有责任人、处置可复盘。定期检查基线和规则，才能让告警及时且可信。
常见问题
流量突然升高就一定是攻击吗？
不一定。发布、活动或备份也可能造成峰值，应结合业务安排、来源分布和服务质量指标判断。
阈值应该设成固定数值吗？
不建议只用固定值。业务规模和时段差异明显时，优先比较同一服务的历史基线，并为高峰时段单独校准。
怎样减少重复告警？
合并同一事件的通知，设置持续时间和恢复条件，并按严重程度选择通知渠道；定期复查误报原因。
小型服务也需要多指标监测吗？
需要，但可从少量关键指标开始：入口流量、连接变化、请求量和错误率。先确保数据可用，再逐步细分规则。