服务器遭遇攻击的时候，最直观感受就是服务无法访问。网站持续加载，SSH连接卡死，监控告警不断弹出。登录云控制台查看，带宽曲线直接打满，CPU和连接指标飙升。先冷静下来，判断攻击类型。
大流量攻击分为两类。一类DDoS攻击，攻击者发送海量垃圾流量占满带宽，类似大量杂物堵死门口，正常用户无法访问。攻击流量规模几十G到几百G都很常见，服务器本身资源占用不一定很高，带宽被占满。另一类CC攻击，模拟正常用户持续请求消耗资源的页面，像搜索、登录接口。单次请求看起来合法，请求量累积之后数据库和CPU负载过高。CC攻击流量不一定巨大，但服务器负载会急剧上升。
判断攻击类型之后，按步骤应急处理。遇到DDoS，普通云服务器硬扛很难奏效。启用云厂商高防IP或者DDoS高防包，流量转发到清洗中心，过滤攻击流量，放行正常访问流量。阿里云、腾讯云都支持按量付费高防产品，遭受攻击时开启，攻击缓解之后关闭。如果攻击流量超出高防包防护阈值，云厂商会把服务器IP放入黑洞，临时断网，等待攻击自动结束。黑洞阶段无法操作，只能等待。
CC攻击处理难度相对低。服务器层面Nginx配置limit_req和limit_conn模块，限制单IP并发连接和请求频率，可以拦截大部分简单CC攻击。如果攻击者使用代理IP池，简单限速不够，需要部署WAF。WAF识别机器人请求特征，拦截恶意流量。云厂商WAF自带CC防护能力，支持按量付费，攻击期间开启。
如果服务器被入侵，发现陌生进程、文件被篡改、新增管理员账号，处理方式不一样。第一步断开网络，隔离服务器，防止攻击者继续操作或者横向渗透。备份重要数据，备份过程避免恶意文件一同打包。查看系统日志，定位入侵入口，弱密码、未打补丁漏洞、上传webshell都是常见入口。找到入侵路径之后重装系统，修复漏洞，再恢复数据。不要在被入侵主机上直接修复，攻击者大概率留下多个后门。
防护要提前部署，不能等攻击发生才处理。基础安全方面，不要使用简单密码，SSH修改默认22端口，禁止root账号直接登录，使用密钥认证替代密码。及时更新系统补丁，很多攻击利用多年前未修复漏洞。关闭不需要的端口和服务，减少暴露攻击面。Web目录做好权限管控，上传目录禁止执行权限。数据库不要开放root账号远程访问，单独创建低权限账号给业务程序使用。
业务架构层面，如果业务对可用性要求高，不要把所有服务放在单台服务器。多台服务器做负载均衡，前端部署CDN，隐藏源站真实IP。攻击者只能攻击CDN节点，CDN带宽充足，可以抵御攻击。CDN同时缓存静态资源，降低源站压力。数据库读写分离，Redis做缓存，降低单点被打垮的风险。
监控和应急预案不能缺少。带宽、连接数、CPU、内存设置告警阈值，异常情况第一时间收到通知。提前制定应急方案，明确遭遇攻击之后联系云厂商、切换流量、通知客户的负责人，分工清晰，避免慌乱。定期演练，真实故障来临才能有序处理。
公网运行的服务，迟早会遇到端口扫描、探测攻击，只是攻击强度不同。小网站被攻击概率更低，但不是完全没有风险。提前做好基础防护。遭遇大规模攻击，按需启用高防，联系云厂商协助，不要硬扛。几百G流量攻击，单台普通服务器无法抵御，采购防护资源，远比停服之后补救损失更小。