当服务器CPU飙升至100%，网站响应缓慢甚至不可用，高CC攻击往往是首要怀疑对象。CC攻击通过大量看似正常的请求占用服务器资源，使其无法处理真实用户请求。本文提供一套应急排查与防护五步法，帮助你快速定位问题并建立防护体系。
第一步：确认攻击特征，区分CC与正常流量高峰
在采取任何措施之前，先确认是否真的遭受了高CC攻击。观察以下特征：
- 请求量突增：对比历史流量，如果请求数在短时间内飙升数倍甚至数十倍，且来源IP分散，可能是CC攻击。
- CPU和带宽异常：CPU持续100%且带宽占用高，但请求的URL多为动态接口（如搜索、登录），静态资源请求占比低。
- 日志分析：查看Web服务器日志，若大量请求具有相同User-Agent、Referer或特定参数，且频率远高于正常用户，则攻击可能性大。
注意：某些正常业务推广或爬虫也可能导致流量上升，需结合业务场景判断。若确认是CC攻击，进入下一步。
第二步：启用CDN缓存，减轻源站压力
CDN的核心价值在于缓存内容，将请求分散到边缘节点，从而降低源站负载。Cloudflare缓存官方文档指出，缓存存储了常用内容（如图片、视频、网页）的副本，这些副本分布在地理上更接近最终用户的数据中心，可以减少服务器负载并提高网站性能。
操作建议：
- 在Cloudflare控制台开启“缓存”功能，确保静态资源（如CSS、JS、图片）被缓存。
- 设置合理的缓存规则：对不常变化的资源设置较长的缓存时间（如1个月），对动态页面谨慎缓存或使用Cache Rules精细化控制。
- 启用Tiered Cache（分层缓存），进一步减少回源请求。
但请注意：CC攻击往往针对动态请求，这些请求无法被缓存。如果攻击集中在动态接口，单纯依靠CDN缓存无法有效缓解，需要结合后续步骤。
第三步：配置WAF规则，拦截恶意请求
Cloudflare DDoS防护文档提到，其系统能够自动检测并缓解分布式拒绝服务（DDoS）攻击，包括第7层（应用层）攻击。你可以自定义托管规则集，优化防护策略。
针对CC攻击，可配置以下WAF规则：
- 速率限制：对单个IP或会话设置请求频率上限（如每秒5次），超过则返回429或挑战页面。
- 挑战规则：对可疑的User-Agent、地理位置或ASN启用JS挑战或CAPTCHA。
- 自定义规则：基于请求特征（如URL路径、参数）匹配并拦截或质询。
关键取舍：速率限制可能误伤正常用户（如使用共享IP的企业网络），需根据业务调整阈值。挑战规则能有效拦截自动化工具，但可能增加真实用户的操作成本。
第四步：利用边缘计算分流，弹性应对突发流量
当WAF无法完全过滤攻击流量时，可借助边缘计算将请求分流或降级处理。Cloudflare Workers官方文档介绍了其无服务器平台，可在全球网络边缘运行代码，无需管理基础设施。
典型场景：
- 请求路由：将可疑请求（如特定路径或参数）重定向到静态页面或错误页，而正常请求继续回源。
- 请求合并：对高频接口做聚合，减少回源次数。
- 缓存动态内容：使用Workers + Cache API对动态接口做短时间缓存（如5秒），有效降低源站压力。
但需注意：Workers代码需提前编写和测试，在攻击发生时临时部署可能来不及。建议预先准备应急预案，并确保Worker代码性能高效，避免自身成为瓶颈。
第五步：优化源站架构，提升承载能力
即使有CDN和WAF，源站仍可能承受部分攻击流量。优化源站架构可提高抗压能力：
- 升级服务器配置：增加CPU、内存和带宽，但成本较高。
- 使用负载均衡：Cloudflare Load Balancing可将流量分散到多个源站，降低单点压力。
- 启用OPcache等：提升PHP等动态语言性能，减少CPU消耗。
- 数据库优化：对高频查询做缓存，避免数据库连接耗尽。
但这些措施只能缓解，不能根治。长期来看，应结合CDN、WAF和边缘计算形成多层防护。
常见误区与失败条件
- 误区一：开启CDN缓存就万事大吉：若攻击针对动态请求，缓存无效。
- 误区二：速率限制阈值设置过高：导致攻击流量仍能穿透，或设置过低误伤用户。
- 误区三：依赖单一防护手段：建议多层防护，否则可能被绕过。
- 失败条件：如果攻击流量来自真实浏览器（如使用代理池），WAF挑战可能被自动通过，需结合行为分析。
参考资料
延伸阅读