核心网关攻击预警需聚焦QPS突增、错误码激增、人机校验触发率升高、响应耗时超标四类关键计数器，结合动态阈值建模与自动处置闭环，确保监控链路可靠。
核心网关一旦被攻击，往往表现为请求频次突增、响应延迟拉长、错误率飙升等可量化信号。利用异常频次类性能监控计数器做预警，关键在于选对指标、设准阈值、联动响应，而不是堆砌数据。
重点关注的几类高频异常计数器
这些计数器在网关（如API网关、Kong、Spring Cloud Gateway）或WAF日志中普遍可采集，且对攻击行为敏感：
- 单位时间请求数（QPS）突增：尤其是来自单IP、单UA、单设备ID的QPS，超过日常基线3~5倍即需告警；CC攻击常表现为每秒数百甚至上千次重复路径请求。
- 4xx/5xx错误码集中上升：比如status:404在1分钟内激增200%，可能指向恶意资源遍历；status:405大量出现，提示精准访问控制规则被频繁触发，需排查是否遭遇工具化探测。
- 人机校验触发率（block_action:tmd）：若status:302 and block_action:tmd比例在5分钟内突破8%，基本可判定存在CC攻击；该指标比单纯QPS更精准，能过滤掉部分正常爬虫干扰。
- 平均响应耗时（request_time_msec）持续超标：例如P95响应时间从300ms升至2s以上，且与QPS上升同步，大概率是后端被打满或中间件阻塞，而非单纯网络问题。
阈值设置不能一刀切，要分场景建模
固定阈值容易误报或漏报。建议按以下方式动态设定：
- 以7天历史同时间段（如工作日9:00–10:00）的QPS均值±2σ为浮动基线，超出范围即触发一级预警；节假日或大促前需人工覆盖基线。
- 对登录、短信发送、支付回调等高风险接口，单独配置更严阈值——例如单IP每分钟调用登录接口＞5次即限流，＞10次直接封禁15分钟。
- 结合业务特征打标：将“非工作时间高频访问管理后台”“User-Agent为空或含curl/python-requests”等行为打上“可疑标签”，当某IP累计标签数≥3，自动提升其QPS告警权重。
预警不止于发邮件，要能驱动处置动作
真正有效的预警必须闭环到处置环节：
- 告警触发时，自动调用API从日志中提取Top 5攻击IP，并推送至防火墙策略模块执行临时封禁（如调用云厂商OpenAPI调用securitygroup rule add）。
- 若upstream_response_time持续超时，自动触发降级开关——关闭非核心接口（如用户头像加载、推荐位刷新），保障主流程可用。
- 将告警事件同步写入工单系统，关联最近3小时变更记录（如配置发布、证书更新），辅助判断是否为误操作引发的连锁异常。
别忽略数据源本身的可靠性
再好的计数器，若采集链路断了或被绕过，预警就失效：
- 确保网关日志开启全量记录（尤其含真实X-Forwarded-For IP），避免只记代理IP导致溯源失败。
- 定期验证监控链路：用vsping定时测网关健康端点，同时检查Prometheus抓取目标状态，防止“监控本身已失明却还在报平安”。
- 对WAF拦截类指标（如block_action:antifraud），确认其统计口径与网关层一致，避免因WAF前置导致网关看不到原始攻击流量而漏计。
