你的 DDoS 防护，真的“开着”吗？

THALES
THALES

IMPERVA

2026年10月19日 10:52
上海

去阅读

THALES IMPERVA · DDoS 就绪观察

你的 DDoS 防护， 真的“开着”吗？

DDoS 就绪，本质是一个“可见性”问题——要持续确认流量真的穿过了防护，而不是凭“我买了、也配了”就以为它在工作。

Imperva（Thales）安全团队 · 阅读约 5 分钟

大多数安全控制“坏了”都会有动静：防火墙规则错了会放行异常流量、证书过期会告警、WAF 配错会立刻拦掉正常用户。DDoS 防护恰恰相反——它可能已配置、已授权、技术上在线，却并没有真正在保护你的流量；在攻击到来之前，它看起来和“完全正常”一模一样。

3

项就绪检查

路由宣告 · 连接健康 · 流量到达

2

类要盯的信号

不只盯“激增”，更要盯“缺席”

5 分钟

默认告警阈值

PoP 流量持续低于基线即告警

攻击很吵，防护缺口却很安静。

没有突发流量、没有任何告警，仪表盘一片绿色——但流量可能已经不走你以为的那条防护路径了。就绪不是一次性勾选项，而是一种需要每天持续验证的运行状态。

先厘清一个误区

很多人以为“已防护”＝

· 我们采购了 DDoS 防护服务
· 服务也已经配置完成

这两点都可能为真，却都不能证明流量正在被保护。

真正的“已就绪”＝

此刻就能回答三件事：
流量怎么被宣告 · 连接是否健康 · 流量是否真的到达

任何一个答不上来，都只是在对防护姿态“做假设”。

就绪自检 · READINESS CHECK

三个问题，每天都要答得上来

它和“攻击演练”不是一回事：演练验证的是“施压当天防护扛不扛得住”；就绪监控回答的是“通往防护的那条路，今天、以及两次演练之间的每一天，是否仍然完好”。两者都需要。

01

流量是否按预期被“宣告”出去？

无论 always-on 还是 on-demand，流量都要经 BGP 把网络前缀宣告到防护服务。问题往往不是明显故障，而是缓慢漂移：某条前缀不再宣告、别的项目改了路由、on-demand 配置自启用后再没测过——一切看似正常，流量却已改道。

在 Imperva 怎么看：Connectivity 仪表盘展示每条受保护前缀的宣告状态——Received（已在两个不同 PoP、各至少一条连接上收到）、Received with issues（如只宣告到单个 PoP、on-demand 前缀缺 no-export 团体属性）、Not received；状态变化可邮件或推送至 SIEM。

02

承载防护流量的连接是否健康？

流量被检测、清洗后，还要通过隧道/连接回到你的环境。一条“技术上在线”却存在丢包、时延、抖动的隧道，并不等于健康连接；很多组织直到流量冲高、压力最大时才发现。

在 Imperva 怎么看：对 GRE 隧道开启 Performance Monitoring，持续监测 PoP 到你网络间的时延、抖动与丢包；阈值由你设定，越限即记录“connection performance degraded”事件并通知，自动附带 ping 与 traceroute 结果。

03

流量是否真的“到达”了该到的地方？

这是最容易被忽略的一项。整体流量数字正常、仪表盘全绿，但聚合数据会掩盖局部问题：某个 PoP 因路由变化只收到远低于预期的流量，在全球大盘里可能只占很小比例，轻易被当成正常波动——该地区用户却是另一番体验。

在 Imperva 怎么看：PoP Traffic Monitoring 可为每条受保护网络/IP 设置合法流量下限（0–100 Mbps）、为每个 PoP 或 PoP 组设置最低流量占比；默认持续低于阈值 5 分钟即记录“traffic dropped below threshold”并告警。

换一个监控思路

要警惕“太少”，而不只是“太多”

多数 DDoS 检测只识别“过量”：更多流量、更多请求、更多连接。但就绪问题常常相反——流量在该到的地方停止到达、宣告改变、路由漂移、连接劣化。没有任何东西激增，唯一的信号是“缺席”。

旧问题

“是不是来了太多流量？”

还要追问

“预期的流量，是否仍到达它该到的每一处？”

后一个问题，能在攻击者之前很久就把隐患暴露出来。

当“就绪”变得可见，会发生三件事

从事后救火，变成日常运维

团队在例行监控中发现问题，而不是在攻击进行时才惊觉防护没在位。

on-demand 也能提前验证

危机时才依赖的攻击路径激活，必须在危机来临前就确认可靠；flow monitoring 数据中断时 Imperva 会产生事件（此时该网段检测处于未激活状态）。

应急响应更快更专注

攻击一开始就能直接处置威胁，不必浪费宝贵时间去确认“防护到底开没开”。

无法验证的防护，只是一种“假设”

这种假设可能平稳地维持数月甚至数年——因为大多数日子都风平浪静，每一个无事之日都在加深“一切正常”的错觉，直到攻击到来，把假设变成一场实战考试。持续监控宣告状态、连接健康与各地流量，就能在攻击者逼问之前，先回答那个关键问题。

THALES 对应解决方案

Imperva DDoS Protection for Networks

网络层 DDoS 防护，支持 always-on 与 on-demand 部署。提供 Connectivity 仪表盘、GRE 隧道性能监控、PoP 流量监控与 flow 监控，持续验证前缀宣告、连接健康与各地流量到达，让“是否真的在线”一目了然。

Imperva Cloud WAAP

面向应用与 API 的云端 Web 应用与 API 防护，在边缘统一缓解应用层 DDoS、恶意自动化与 Web/API 攻击，与网络层防护协同，保障关键业务在攻击下持续可用。

您可以与我们各区域的销售团队联系，以获取更多支持。
我们将竭诚为您提供帮助，期待为您解答任何疑问。