攻击流量超出防护峰值时的业务保全步骤，重点不是一味提高拦截力度，而是尽快确认哪些服务仍可用、哪些流量正在挤占容量，并把有限资源留给关键业务。防护峰值可能按带宽、连接数或清洗能力计算，先核对具体指标，避免把不同口径混为一谈。
第一步：确认超限范围，避免误判
查看防护平台、主机和网络设备的告警与趋势，记录流入带宽、每秒请求数、并发连接、响应延迟、错误率及告警起始时间。将这些数据与业务自身的基线对照；单一指标升高，不一定意味着所有服务都已不可用。
确认受影响的是单个地址、端口、服务还是整个出口，并区分正常访问、异常请求和无法判断的流量。保存告警时间、流量曲线和变更记录，后续与上游服务商沟通时可减少来回确认。
第二步：立刻协调上游防护资源
通过预先约定的应急联系人联系网络服务商或防护服务提供方，说明受影响资源、开始时间、当前指标和业务优先级，询问是否能切换至更高能力的清洗中心、调整防护策略或临时扩展容量。明确询问生效范围、预计生效时间及是否会改变正常流量的转发路径。
不要只报一个“峰值”。例如，带宽尚未满但连接数已接近上限时，单纯增加带宽未必能解决问题。若没有可用的上游扩容能力，应尽早评估限流、业务降级或隔离受影响服务，不要等待所有指标同时告急。
第三步：收紧入口，但保留必要访问
由熟悉网络和业务规则的人员实施小范围、可撤销的调整：针对已确认的异常特征设置过滤或限速，优先保护登录、交易、查询等关键路径；限制不必要的高频操作，并观察正常用户的成功率和延迟。每次改动都记录规则、负责人、时间和回滚方式，避免多项变更叠加后无法定位效果。
黑洞路由会把指定目标的流量直接丢弃，可能连正常用户也无法访问。因此它只适用于目标资源已无法维持服务、且明确接受中断影响的情况；应尽量缩小影响范围，并提前确认撤销方式。不要把它当成常规清洗手段。
第四步：按业务价值执行降级
先保障完成核心任务所必需的功能，再暂停非关键、可延后的功能，例如高成本的实时计算、非必要的后台刷新或大批量导出。降级前写明用户会看到的变化、涉及的服务和恢复条件；若无法准确判断某项功能是否安全可停，先由业务负责人确认。
若多个服务争用同一入口或计算资源，可按优先级限制低优先级请求，而不是对所有用户一刀切。每轮调整后观察关键业务的成功率、延迟和资源余量；异常持续扩大时，回到上一步重新评估策略。
第五步：验证恢复并有序撤销措施
流量回落不等于可以立即恢复全部功能。先确认入口负载稳定、错误率下降，且关键业务在一段观察时间内持续正常；观察时长应结合流量波动和业务特性决定。随后逐项撤销临时限速、过滤和降级，避免同时恢复造成新的负载尖峰。
复盘时整理峰值口径、处置时间线、有效措施和误伤情况，更新联系人、权限和回滚步骤。攻击流量超出防护峰值时的业务保全步骤应纳入演练清单，至少让值班人员知道谁有权调整策略、由谁确认业务优先级，以及上游联络失败时的替代方案。
常见问题
峰值告警一出现，就应该切换黑洞路由吗？
不应该。黑洞路由会丢弃指向目标的流量，只有在接受该目标暂时不可达、且其他措施不足时才考虑。
能否先关闭所有非核心服务？
应按资源消耗和业务依赖逐项降级。未经确认就关闭共享组件，可能连关键服务也受到影响。
如何判断临时策略可以撤销？
结合入口负载、错误率和关键业务表现判断，并分批撤销、持续观察；若指标反弹，及时恢复上一项有效措施。