怎么判断攻击是冲着业务来的还是无差别扫描
摘要：# 怎么判断攻击是冲着业务来的还是无差别扫描？这问题，我天天被问 说实话，每次看到后台监控图突然飙红，心里都咯噔一下。但你知道吗，最让人头疼的，往往不是攻击来了，而是**你压根不知道这“不速之客”是冲你来的，还是只是路过顺手“摸”你一把**。 这感觉，…
怎么判断攻击是冲着业务来的还是无差别扫描？这问题，我天天被问
说实话，每次看到后台监控图突然飙红，心里都咯噔一下。但你知道吗，最让人头疼的，往往不是攻击来了，而是你压根不知道这“不速之客”是冲你来的，还是只是路过顺手“摸”你一把。
这感觉，就像半夜有人敲你家门。是无差别发传单的，还是早就盯上你、专程来找你的？处理方式天差地别。前者你骂骂咧咧回去睡觉，后者你可能得考虑报警了。
网络安全这事儿也一样。很多朋友一看到流量异常就慌神，立马把“高防”、“清洗”全开上，成本哗哗涨，结果可能只是虚惊一场。我自己看过不少案例，问题往往不是没上防护，而是配错了策略，用大炮打了蚊子，或者更糟，用扫帚去挡炮弹。
今天，咱就抛开那些复杂的协议头、专业术语，聊点实在的。怎么用一些“土办法”和关键迹象，快速判断攻击的性质。咱们的目标就一个：把钱和精力，花在刀刃上。
一、先看“攻击画像”：是盲扫还是精准打击？
你可以把无差别扫描想象成撒网捕鱼。攻击者手里有一大把IP段，用自动化工具（比如臭名昭著的 masscan、zmap）挨个“敲门”，探测80端口、443端口、常用后台路径（像 /admin、/wp-login.php）。这种攻击的特征太明显了：
- 来源IP极其分散，可能来自全球各地成百上千个不同的IP段，而且很多是数据中心IP（比如亚马逊AWS、阿里云、各种VPS）。这感觉就像——突然有几百个不同国家、素未谋面的人同时来敲你家窗户，这能是熟人串门吗？
- 攻击模式单一且重复。通常就盯着那么一两个端口或几个URL路径，反复尝试。行为模式像是复读机，缺乏变通。
- 流量曲线“陡升陡降”。说来就来，说走就走，持续时间可能就几分钟到几小时。因为扫描任务完成了，或者你的IP段被扫完了，它就撤了。
而针对业务的攻击，那完全是另一幅面孔，更像是特种部队定点爆破：
- 来源相对集中，且“质量”更高。虽然也可能用僵尸网络（肉鸡）来伪装，但你会发现，攻击流量会持续来自某些特定地区或ISP，而且常常是“打一波换一批”，像是有组织地在轮换资源。更专业的，甚至会使用真实用户IP（被入侵的家庭路由器）来攻击，让你更难区分。
- 攻击模式复杂、多变。它不止扫描端口，它会完整走你的业务流程。比如，先访问你的首页，然后模拟登录接口，接着疯狂撞库（用泄露的密码库尝试登录）；或者针对你某个特定的API接口，发起高频的、畸形的参数请求，试图拖垮你的业务逻辑。它打的就是你的“七寸”。
- 流量曲线是“持续施压”。要么是长时间、低强度的“慢速攻击”（让你难以察觉但业务慢慢卡顿），要么是短时间内发起数轮高峰，打到你缓解策略生效后暂停，过会儿换个姿势再来。目的很明确：搞垮你的服务，或者至少让你持续难受。
说白了，无差别扫描是“误伤”，而业务攻击是“谋杀”。 前者你加固好大门（关闭无用端口、强密码）就行；后者你得搞清楚，谁想弄你，以及为什么。
二、关键信号：这几个细节一抓一个准
除了看宏观画像，一些微观细节更能说明问题。我自己做应急响应时，会像破案一样盯死这几个点：
-
信号1：攻击是否“认识”你的业务？ 无差别扫描不认识你。它不知道你叫“张三科技”，它只认IP和端口。所以，它攻击的路径往往是通用的、猜测的。 但业务攻击不同。它认识你的“家当”。比如：
- 你的网站有个特殊的功能接口，路径是
/api/v1/uniqueFunction，这路径全网独一份。如果攻击流量精准地打向这个接口，那没跑了，就是冲你来的。 - 攻击者使用的User-Agent、请求参数里，竟然出现了你公司产品名称的变体或拼写错误。这就像小偷踩点时，嘴里嘟囔着你家孩子的名字。
- 攻击集中在你的业务高峰时段（比如电商的晚8点，游戏的周末下午）。这摆明了是要让你损失最大化，让老板和用户同时发飙。
- 你的网站有个特殊的功能接口，路径是
-
信号2：攻击是否在“试探”你的防御？ 这是高级攻击的典型特征。攻击者会先来一小波看似扫描的流量，目的不是打垮你，而是“摸哨”。
- 看你有没有开WAF？开的什么规则？触发告警的阈值是多少？
- 看你源站IP有没有暴露？高防CDN的回源host是什么？
- 你封IP的速度快不快？缓解策略是直接阻断还是跳验证码？ 这些试探行为，会像“点射”一样，非常有节奏。如果你发现攻击流量在几种不同模式间来回切换，像是在做“压力测试”，那你基本可以断定：这不是散兵游勇，这是有备而来的“正规军”。
-
信号3：结合情报，看有没有“前科”？ 这一点很多中小公司会忽略。如果你所在的行业近期正处在风口浪尖（比如游戏行业刚发了新版本、电商大促前、某个金融政策出台），或者你的竞争对手最近出过事，那你被针对性攻击的风险就直线上升。 另外，去一些威胁情报平台（这里就不说具体名字了，免得像广告）查查攻击源IP。如果这些IP历史上就经常参与DDoS攻击或Web漏洞利用，那针对性攻击的概率也很大。
三、实战决策：判断之后，你该怎么做？
好了，假设你现在通过监控和日志，心里大概有谱了。接下来怎么办？
如果判断是无差别扫描：
- 别慌，更别乱花钱。 不用立刻升级到最高级的高防套餐。很多云厂商的“基础DDoS防护”和WAF的默认规则，足够应付这些“毛毛雨”。
- 收紧“篱笆”。 这是最好的防御。关闭服务器上所有非必要的端口（用
nmap自己扫自己看看）。后台、API等管理入口，做IP白名单限制，或者用二次验证加固。 - 设置合理的告警阈值。 别让扫描流量天天触发你的告警短信，否则你会麻木的。把告警阈值调到业务能承受的临界点之上。
如果判断是针对性业务攻击：
- 立刻启动“战时状态”。 通知你的高防或云服务商，告知他们这是针对性攻击，请求他们关注并可能启用更高级的清洗策略。
- 业务层防护是核心。 光靠流量清洗可能不够。立刻在WAF上部署针对性的防护规则：
- 对疑似被攻击的API接口，进行频率限制（比如单个IP每分钟最多请求20次）。
- 启用人机验证（如验证码、滑动拼图），在登录、提交订单等关键环节进行拦截。
- 检查并封禁那些攻击特征明显的源IP段（但注意别误伤真实用户）。
- 最重要的：启动“源站隐藏”。 如果你的源站服务器IP还直接暴露在公网上——我求你了，赶紧改！通过高防CDN或反向代理来隐藏源站IP，是应对针对性攻击性价比最高、也最有效的一招。 让攻击者的拳头全部打在“棉花”（高防节点）上，找不到你真正的“身子”（源站）。
- 考虑“业务连续性”兜底方案。 如果攻击持续且猛烈，要有Plan B。比如，能否快速切换备用服务器？能否将静态资源全部托管至对象存储并开启CDN？有没有准备临时的公告页面？
最后说句大实话
安全防护，没有一劳永逸的“银弹”。今天判断对了，不代表明天攻击者不会换新招。
真正的关键，是建立起“监测 -> 分析 -> 决策 -> 响应”的肌肉记忆。 平时多看看日志，熟悉自己业务的正常流量“体温”。等攻击真的来了，你才能通过对比，快速感知到“哪里不对劲”。
那种“上了一个方案就高枕无忧”的想法，在今天的网络环境里，跟裸奔差不多。攻击者和防御者永远在动态博弈。你能做的，就是比对方多想一步，反应快一点。
行了，不废话了。赶紧去检查一下你的访问日志和监控图吧，看看最近有没有什么“熟悉的陌生人”。