服务器流量攻击自动清洗核心是“识别—触发—调度—回切”闭环联动，需打通监控、决策与执行链路；采用NetFlow基线偏移与AI行为模型双因子触发，镜像为旁路清洗单元，通过eBPF分发、容器化部署、服务网格回流实现无感切换，回切需满足攻击流量与资源负载双稳态，定期用tc-netem验证并动态更新规则。
服务器在遭遇流量攻击时自动切换到清洗镜像策略，核心在于“识别—触发—调度—回切”四个环节的闭环联动，不是单纯配个规则就能生效，关键看是否打通了监控、决策和执行链路。
实时识别攻击并触发清洗开关
清洗镜像不会自己启动，必须依赖准确的攻击判定。建议采用双因子触发机制：
- 基于NetFlow/sFlow的基线偏移检测：例如日常HTTP QPS均值为800，标准差120，当连续30秒超过均值+3σ（即1160）且伴随User-Agent异常比例＞40%，视为可疑；
- 叠加AI行为模型输出：使用轻量级LSTM或Isolation Forest模型，在边缘节点实时分析会话熵、请求路径跳跃率、TLS指纹分布等维度，输出攻击置信度分数；
- 只有两个信号同时满足阈值（如NetFlow告警+AI置信度≥0.85），才触发清洗镜像切换，避免促销、爬虫高峰等误判。
清洗镜像的部署与流量牵引方式
镜像不是备份服务器，而是具备实时清洗能力的旁路处理单元。配置要点包括：
- 入口流量需支持镜像分发：在云原生环境用eBPF程序（如Cilium的traffic mirroring）将入向流量1:1复制至清洗Pod组，不改变原始路径；
- 清洗节点容器化部署，每个Pod挂载动态更新的规则集（通过ConfigMap + inotify监听，或直接集成OpenResty+Lua规则引擎）；
- 镜像流量经清洗后，干净流量通过服务网格（如Istio Sidecar）打标并路由回主业务链路，恶意IP同步写入全局黑名单Redis集群供网关层拦截。
自动切换与业务无感回切
切换动作本身要快，但回切更要稳，防止攻击未结束就切回导致二次击穿：
- 切换动作由Kubernetes Operator控制：检测到攻击触发后，Operator调用API将Ingress Controller的upstream指向清洗Service，并将原业务Service临时降权（weight=0）；
- 回切条件需满足“双稳态”：攻击流量持续低于阈值5分钟 + 清洗节点CPU/内存负载回落至60%以下，才恢复主Service权重；
- 所有切换操作记录审计日志，并推送企业微信/钉钉告警，含攻击类型、峰值带宽、清洗丢弃率、切换耗时等字段。
验证与日常维护要点
配置完成不等于可用，必须定期验证闭环有效性：
- 每月用tc-netem模拟SYN Flood或UDP反射流量（限速1Gbps以内），验证从检测到清洗生效是否≤90秒；
- 清洗规则库每周通过CI/CD管道自动拉取最新威胁情报（如Aliyun Threat Feed、MISP实例），更新IP段、UA特征、URI黑名单；
- 禁用固定阈值清洗模式，全部启用AI自学习基线——系统会根据近7天业务曲线动态调整BPS/PPS触发点，避免大促期间误清洗。
