一、网络不稳定排查
（一）网络性能监测
- 带宽监测
- 使用专业的网络监测工具（如 PRTG Network Monitor、SolarWinds Network Performance Monitor 等）或服务器自带的网络监测功能，查看网络带宽的使用情况。在正常情况下，网络带宽的占用率应该在一个合理的范围内，根据网络的规模和业务需求而定。
- 如果在 DDoS 攻击后发现带宽占用率持续处于高位（例如超过 80% – 90%），或者出现带宽波动剧烈的情况，这可能是攻击残留的影响。需要进一步分析带宽占用的组成部分，确定是正常业务流量的增长还是恶意流量的持续冲击。
- 延迟和抖动监测
- 运用 ping 命令或更高级的网络性能测试工具（如 Iperf）来测量网络的延迟和抖动。延迟是指数据包从发送端到接收端所需的时间，抖动则是延迟的变化程度。
- 正常的网络延迟应该相对稳定，例如在企业内部局域网中，延迟可能在 1 – 10 毫秒之间。如果在 DDoS 攻击后，延迟显著增加（如达到几十毫秒甚至几百毫秒），并且抖动也变大，这表明网络可能存在不稳定因素，如网络拥塞或设备性能下降。
（二）流量分析
- 流量特征识别
- 借助网络流量分析工具（如 Wireshark）来捕获和分析网络流量。观察流量的特征，包括数据包大小、协议类型、流量方向等。在 DDoS 攻击后，可能会出现一些异常的流量特征。
- 例如，可能会发现大量的小数据包（如小于 64 字节的 ICMP 数据包）或超大数据包（如大于 1500 字节的非标准以太网帧），这可能是攻击者用来占用网络带宽或消耗设备资源的手段。同时，注意观察是否有不符合正常业务协议的流量，如大量的非预期的 UDP 或 TCP 流量。
- 流量来源和目的地追踪
- 分析流量的来源 IP 地址和目的地 IP 地址。通过查看流量日志或使用网络安全设备（如防火墙、入侵检测系统）的分析功能，确定是否有可疑的流量来源。
- 攻击者在 DDoS 攻击后可能会留下一些僵尸主机或恶意软件继续发送流量。如果发现大量流量来自特定的 IP 段，尤其是那些与已知的恶意 IP 地址数据库匹配的 IP 段，或者有大量流量指向关键的网络设备（如服务器、路由器），这可能是网络不稳定的原因之一。
（三）网络设备检查
- 路由器检查
- 登录路由器的管理界面，查看其运行状态。检查 CPU 使用率、内存使用率和端口状态等关键指标。在 DDoS 攻击期间，路由器可能因为处理大量的攻击流量而出现性能下降。
- 查看路由器的路由表是否被篡改。攻击者可能会试图注入虚假的路由信息，导致网络流量被错误地引导。同时，检查路由器的访问控制列表（ACL）是否正常工作，是否有异常的访问规则被添加。
- 交换机检查
- 检查交换机的端口状态，包括端口的输入 / 输出速率、错误包数量和端口连接的设备 MAC 地址。如果发现某个端口的输入 / 输出速率异常高，或者错误包数量持续增加，可能是连接该端口的设备受到攻击影响，或者该设备本身就是攻击源。
- 查看交换机是否出现环路。网络环路可能是由于攻击导致的网络拓扑变化或设备配置错误引起的，会严重影响网络的稳定性。可以通过查看交换机的端口指示灯闪烁情况和系统日志来判断是否存在环路。
（四）日志分析
- 系统日志查看
- 仔细审查网络设备（如路由器、交换机、服务器）的系统日志。在系统日志中，寻找与网络异常相关的记录，如连接重置、端口错误、资源耗尽等信息。
- 例如，服务器系统日志可能显示 “无法接受新的连接，因为系统资源不足”，这可能是由于 DDoS 攻击导致服务器资源被过度占用后的遗留问题。同时，注意查看日志中关于网络服务（如 HTTP 服务、SMTP 服务等）的启动和停止记录，频繁的服务异常可能是网络不稳定的一个迹象。
- 安全日志检查
- 检查网络安全设备（如防火墙、入侵检测 / 防御系统）的安全日志。这些日志可以提供有关攻击尝试、异常访问和安全策略违反的信息。
- 在 DDoS 攻击后，安全日志可能会记录下攻击者的后续活动，如扫描网络、尝试突破安全防护等行为。通过分析这些日志，可以发现潜在的安全威胁和网络不稳定因素。
二、网络不稳定修复
（一）流量控制与清洗
- 流量限制
- 通过防火墙或流量控制设备，对异常的流量源进行限制。根据流量分析的结果，确定可能的恶意流量来源，设置相应的访问控制规则，限制这些来源的流量速率或禁止其访问。
- 例如，对于来自某个可疑 IP 段的 UDP 流量，如果怀疑是 UDP Flood 攻击的残留，可以在防火墙中设置规则，限制该 IP 段的 UDP 流量速率在一个合理的范围内，以减轻网络负担。
- 流量清洗
- 启用专业的流量清洗服务（可以是云服务提供商提供的抗 DDoS 服务或企业内部的流量清洗设备）。流量清洗服务能够识别和过滤恶意流量，将合法流量与恶意流量分离。
- 在启动流量清洗服务后，需要根据网络业务的特点和攻击流量的类型，调整清洗规则。例如，对于 HTTP Flood 攻击，流量清洗设备可以通过分析 HTTP 请求的特征（如请求频率、请求头信息等），过滤掉恶意的 HTTP 请求，保障合法用户的正常访问。
（二）网络设备恢复与优化
- 配置恢复
- 如果在检查过程中发现网络设备（如路由器、交换机）的配置被篡改，使用备份的配置文件进行恢复。在恢复配置之前，要确保备份文件的准确性和完整性。
- 恢复配置后，重新检查设备的关键参数，如路由表、ACL、端口配置等，确保设备能够正常运行。同时，加强网络设备的访问控制，如设置更严格的密码保护、启用多因素认证等，防止攻击者再次篡改设备配置。
- 性能优化
- 根据网络设备的性能检查结果，对设备进行性能优化。如果设备的 CPU 或内存使用率过高，可以考虑升级硬件设备或者优化设备的软件配置。
- 例如，对于路由器，可以优化路由算法、调整缓存大小；对于交换机，可以优化端口聚合设置、调整 MAC 地址表的大小等，以提高设备对网络流量的处理能力，增强网络的稳定性。
（三）服务器和应用恢复
- 服务器重启与修复
- 对于受到影响的服务器，在确保安全的情况下，可以尝试重启服务器。重启后，检查服务器的网络服务（如 Web 服务、数据库服务等）是否正常启动。
- 修复服务器上可能出现的软件问题，如更新操作系统补丁、修复损坏的服务配置文件等。同时，检查服务器的资源使用情况，确保服务器有足够的资源来处理正常的业务流量。
- 应用恢复与优化
- 针对受到影响的网络应用，根据应用日志和用户反馈，修复应用程序的功能问题。例如，如果是 Web 应用，修复可能出现的页面加载缓慢、数据提交错误等问题。
- 优化应用的性能，如调整数据库连接池大小、优化代码执行效率等，以提高应用在网络不稳定后的恢复能力，保障业务的正常运行。