网站安全防护怎么选？先算清攻击面再谈预算

做站的人第一次被打，往往是在凌晨。后台进不去，监控告警一片红，客服群里用户说页面打不开。这时候才开始翻防护方案，价格从几十块到几万块都有，根本不知道该信哪个。我先说结论：防护怎么选，取决于你的业务能不能容忍停机，而不是取决于攻击有多大。一个资讯站被CC打两小时损失的是广告曝光，一个支付接口被打十分钟可能就是真金白银。

先分清你挨的是哪种打

DDoS和CC是两码事，防护思路也完全不同。DDoS是流量层面的洪水，把带宽或者连接数占满，服务器本身可能一点事没有，就是进不来人。CC则是应用层攻击，模拟正常请求去消耗你的数据库和PHP进程，带宽看着不高，CPU却先趴下。

分不清这一点，钱很容易花错地方。纯粹的大流量攻击，靠机房侧的流量清洗就能挡掉；CC需要的是应用层识别，比如限制单IP的请求频率、加验证码、做JS挑战。我见过不少配置买得很足、结果被几万QPS的CC拖死的站，问题就出在只买了流量防御。

判断方式其实不复杂：攻击时看带宽曲线和CPU曲线哪个先爆。带宽先满，是流量型；带宽不动CPU飙，是应用型。两个都爆，说明对方在混合打。

防御等级别盲目往上加

60G、100G、200G、500G这些数字指的是清洗能力上限。多数中小站遇到的攻击峰值在10G到50G之间，硬扛到100G已经覆盖绝大多数场景。真正打到T级的攻击，目标通常是游戏、金融或者有明确竞争关系的业务，普通企业站很少被这么对待。

我的取舍是：先按业务历史峰值上浮一档买。被30G打过，就选100G；从没被打过，先上60G试水。多花的钱换回的是缓冲时间，不是绝对安全。防御等级再高，如果清洗线路绕路严重，正常用户访问延迟从30ms涨到200ms，等于用体验换了防御，这笔账要算清楚。

香港机房在这点上比较占便宜，CN2直连回大陆的线路本身延迟低，清洗节点就近接入，被打时用户感知的抖动小。做大陆用户的站，这点比防御数字更值得关注。

• 60G档：适合个人站、博客、小型外贸站，月付通常两三百美元以内
• 100G~200G档：适合有稳定流量的电商、论坛，被打过的站优先考虑
• 500G以上：游戏、支付、有明确对手的业务，成本会明显上一个台阶

预算有限又要防得住，可以先看香港高防服务器 III这类配置，E3-1230配16G内存、50M带宽，月付269美元，防御和线路都够中小站用一阵子。

真正容易被忽略的是回源和备份

防护设备挡在前面，回源IP一旦暴露，攻击者绕过清洗直接打源站，前面的钱全白花。所以选高防时一定要问清楚源站IP是否隐藏、回源是否加密。有些低价方案只是给你一个转发层，源站真实IP在DNS记录里躺着，这种防护形同虚设。

备份是另一条命。被打到机房封IP、或者数据被污染，有异地备份的站几小时能恢复，没有的只能等。我的习惯是数据库每天全量加增量同步到另一台机器，配置文件和站点代码用版本管理托管，成本几乎为零。

还有一层是访问控制。后台限制来源IP、关闭不必要的端口、把默认管理路径改掉，这些不花钱的动作能挡掉大量自动化扫描。攻击成本低的对手，往往就是从这些缝里钻进来的。

不同业务该怎么落预算

个人博客和展示站，一年预算有限，优先选带基础清洗的香港服务器，把备份和访问控制做扎实，比硬堆防御等级实用。月付一百多美元的方案就能覆盖。

电商和论坛这类有用户数据的站，回源隐藏和CC防护必须要有，防御档位选100G起步。带宽方面，如果平时就跑得比较满，选大带宽机型比如香港大带宽服务器 XII，E5-2683v4双路配64G内存、300M带宽，月付313.5美元，被打时不容易因为带宽占满而全线崩溃。

游戏和支付类业务，别自己拼方案，直接找带T级清洗和专线回源的机房，预算按业务停机的分钟损失倒推。停机一分钟损失一千块，那每月多花几百美元买防御就是划算的。

最后提醒一句：防护是持续的事，不是买完就完。攻击手法在变，业务在变，每季度回头看一次日志里的异常请求，比一次性买最高档防御更有价值。没被打过的站，先从基础防护加备份起步，等真实峰值数据出来再升级，别为想象中的攻击提前付钱。