服务器流量突然涨，带宽跑满，网站变慢，这种情况很可能是被刷了。先判断是不是真的攻击，再决定怎么防。有人发微信来问，服务器安全值不值得做。我一般反问，不做这件事会损失什么。
先判断是不是被刷
流量涨的原因可能有很多。真的被刷，通常有特征：来源集中、请求量大，以及访问的地址单一。
先看访问日志，看这些请求从哪来、仿的是什么路径。如果大量请求都打同一个地址，基本可以确定。
还有一种是自己活动带来的正常流量。上线了推广活动，流量也会涨。先排除掉这一种，别误判。
日志里看什么
日志是排查的第一手材料。看来源地址的分布、看请求的时间分布，再加上看有没有被反复访问的地址。
来源集中在一个或者几个网段的，多半是同一批机器在刷。时间上突然起来的，是攻击的典型特征。
被反复打的地址，往往就是对方想拖垮的地方。找到它，就知道要重点保护哪里。
能做什么防护
防护分几层，从便宜到贵。先在服务器层面限制单个来源的请求频率，再考虑上防护服务。
限制频率能挡住一部分低级攻击，成本很低，配置也简单。先把这层做上，能缓解不少。
如果攻击量很大，本地的办法就不够了。需要用带防护的线路，把流量在进服务器之前就过滤掉。
还有个基础动作是把不用的端口关掉，减少暴露面。平时不显眼，出事的时候能少一个入口。
平时怎么少被打
被刷这件事，平时防一点，出事时少慌一点。
服务器的访问日志要留着，别定期就清掉。真出事的时候，日志是查来源的第一手材料。
系统该打的补丁要打。有的攻击就是冲着老版本的漏洞去的，及时更新能挡掉一批。
流量监控也配上，设一个报警值。流量突然冲高的时候第一时间知道，比客户来投诉再发现强得多。
带宽也别卡得太死，留一点余量。真被打的时候，这点余量就是缓冲，能让站多撑一会儿。
服务器防护上大家最关心的几件事
怎么知道有没有被刷
看流量曲线和访问日志。流量突增、来源集中，基本就能确认。
重启服务器有用吗
临时缓解，不解决根本。攻击源还在，重启之后照样会被打。
要不要买防护
小规模攻击用基础配置能扛。经常被打的，建议上专门的防护线路。
常斌不绕，直接讲：先看日志找特征，再按量级选防护，不乱花钱。
先看日志做判断
我的建议是流量异常时先翻日志，看清来源和特征。看清了再防，比盲目加配置有效。
100 多个商业应用的交付经验，让流程里该卡的关都卡住了。做服务器运维这块，信服无限会给客户配好流量监控。上马之前，告诉我你的站最近的流量情况。