摘要：站点被漏洞扫描或爬虫打满出站/入站带宽时，按「收紧安全组 → 接 WAF/限流 → 设流量与带宽告警 → 临时限流或换 IP」逐项核对。差异化于 CC/DDoS 急救文：本稿偏预防与告警落位。只放云厂商官网普通链接（affiliate_later）。查询日期 2026-10-31。
依据：阿里云《使用安全组》《通过设置安全组提升安全性》《查看实例监控信息》《什么是 DDoS 基础防护》《设置 CC 防护》；腾讯云《安全组概述》；Cloudflare《Rate limiting rules》。查询日期：2026-10-31（北京时间）。只放官网普通链接（
affiliate_later）；不写单价。
监控里出网带宽贴着上限、账单里流量包突然见底，日志却是一串对 /wp-login.php、/.env、/phpmyadmin 的探测。这种情况多半是扫描、撞库或爬虫把带宽打满，别先当成正常访问暴增。本站 被 CC/DDoS 时先止血 讲急救开关；本文补日常怎么设：安全组收紧、WAF/CC、流量告警、临时限流或换 IP。CDN 回源配错也会狂回源耗带宽，另见 CDN 回源 HOST/SNI 核对 与 缓存键/刷新预热。
一、先确认：是扫描，还是真业务/真攻击
对照云监控（ECS「监控」页常见 InternetIn/OutRate、连接数、CPU）：
| 现象 | 更像扫描/爬虫 | 更像大流量 DDoS | 更像业务暴增 |
|---|---|---|---|
| 访问路径 | 大量 404、探针路径、同 UA 扫目录 | 带宽瞬间打满、丢包、黑洞 | 热门文/活动页 200 占比高 |
| 源 IP | 分散或单一段高频 | 海量伪造/反射 | 地理分布接近你的读者 |
| 安全组/防火墙 | 22/3306 等误开被扫 | 基础防护进清洗/封堵 | 规则正常 |
| 账单 | 流量包提前耗尽 | 可能触发黑洞保护网络 | 与推广时段吻合 |
账单突然变高的费用侧排查见云服务器账单突然变高；图床被盗刷见对象存储防盗链。
二、安全组：先把「不该暴露的口」关掉
安全组是实例前的虚拟防火墙。阿里云文档强调最小授权：只放行业务必需端口，避免 0.0.0.0/0 放开数据库和管理口。端口清单专文见安全组最小开放 22/80/443。
被扫打满带宽时，立刻做这几步：
- 入方向只留 80/443（若已接 CDN/WAF，进一步只放行回源 IP 段，而不是全世界）。
- SSH（22）改成仅办公 IP 或走堡垒机；数据库 3306/6379/27017 不对公网。
- 腾讯云同样按「规则优先级 + 协议端口 + 来源」收紧，见安全组概述。
- 改完后在轻量/ ECS 监控看入网速率是否下降；若流量仍满，说明攻击已在应用层或打在 CDN，继续第三节。
安全组挡不住「合法 443 上的 HTTP 洪水」，只能减少被扫面和直连源站的噪声。
三、WAF / CC / 限流：挡应用层扫描
阿里云写明：DDoS 基础防护主要清洗网络/传输层，不防 HTTP Flood / CC。扫描和撞库多半走 80/443，需要 WAF、CDN 限流或 Cloudflare 规则。
可按现有条件选：
- 已买 WAF：在 Web 核心防护里为站点建 CC 防护模板。日常用「正常模式 + JS 挑战」；紧急恢复再用「严格模式」。官方注明严格模式主要适合网页/H5，不要直接套在 API/Native 上，API 改用频率控制等自定义规则（见设置 CC 防护）。
- 只有 Cloudflare 免费层：开缓存、Bot 相关能力，并用 Rate limiting 保护登录/搜索接口。Free 计划规则条数与窗口很窄（文档 Availability 表：常见为 1 条、按 IP、窗口约 10s），优先护
/wp-login.php、/xmlrpc.php。详见 Rate limiting rules 与急救文。 - 源站临时手段：Web 服务器对可疑路径直接 444/403；WordPress 关 XML-RPC（若不需要）；失败登录限速。
- 回源与缓存：扫描若击穿缓存狂回源，核一下缓存键是否把每个随机 Query 都当成新对象，见 CDN 缓存键。回源 HOST/证书失败也会放大 502 重试流量，见 回源校验失败。
四、流量与带宽告警：打满之前先收到信
别等流量包耗尽才发现。建议最少三层告警（名称以控制台为准）：
- 实例带宽/网络指标：在 ECS 监控或云监控对公网流出/流入速率设阈值（例如达到带宽规格的 70%、85%）。阿里云「查看实例监控信息」页可看网络与连接数曲线。
- 流量包/按量带宽：轻量流量包余量、ECS 按量带宽费用或用量告警；和高额消费预警一起开，避免「带宽没满但按流量已经烧完」。
- WAF/防护事件：若已接入 WAF，对 CC、Web 攻击、带宽/QPS 超限开云监控通知（WAF 告警设置文档列有带宽超限、QPS 超限等事件）。
- 站点可用性：HTTP 探测与证书到期另见网站可用性监控，避免「带宽打满但监控只看 5xx」漏报。
告警通道选短信/邮件/钉钉均可，接收人不要只留一个已离职同事的手机号。
五、临时限流、换 IP 与事后清单
当告警已经响起、页面超时：
- 限流：CDN/WAF 对全站或登录路径降速；Cloudflare 短时 Under Attack（救急完记得关）。
- 藏源站 IP：DNS 只指向 CDN；安全组仅放行 CDN/WAF 回源段；检查历史解析、邮件头、公开 ping 是否泄露源 IP。
- 换公网 IP：基础防护进黑洞且短时无法恢复时，部分云厂商允许换 EIP/换轻量 IP（以产品文档与控制台为准）；换完立刻改 DNS 与备案/解析记录，并轮换密钥。
- 升配只是缓冲：单纯加带宽会把账单抬高，挡不住持续扫描；升配同时必须收紧安全组与开限流。
- 事后：留存攻击时段监控截图与访问日志；修弱口令；更新系统与插件；确认 定期备份 仍可用。境内对公众服务须依法 ICP 备案。
六、落地核对表（可打印）
- 安全组：公网是否只开 80/443？数据库与 22 是否限制来源？
- 是否已接 CDN/WAF，源站是否仍对
0.0.0.0/0裸奔？ - 登录与 XML-RPC 是否有限流或验证码？
- 云监控：带宽 70%/85% 告警、流量包余量告警、费用预警是否都开了？
- 缓存键与回源 HOST 是否会在被扫时放大回源？
- 告警通知人与值班路径是否仍有效？
风险提示
防护与监控配置错误可能导致误杀正常用户或业务中断。按量 WAF、高防、超额流量都会产生费用，以控制台账单为准。对未授权目标进行「反击」或扫描他人系统可能违法。本文是公开文档的一般性整理，不构成安全运维或采购建议。
来源（查询日期 2026-10-31 北京时间）
- 阿里云：使用安全组、安全组使用案例、查看实例监控信息、DDoS 基础防护、设置 CC 防护
- 腾讯云：安全组概述
- Cloudflare：Rate limiting rules
- 官网入口（无联盟）：阿里云、腾讯云、Cloudflare
