一、网络层面排查
-
流量监测
- 查看网络设备（如防火墙、路由器）的流量统计信息。检查是否有异常的流量峰值，特别是流入电子支付系统服务器的流量。正常情况下，电子支付系统的网络流量会在一定范围内波动，根据业务规模和时段有相对稳定的模式。例如，在非促销活动期间，每秒的交易请求数量应该相对平稳。如果发现流量突然增大，超出正常峰值数倍甚至数十倍，这可能是 DDoS 攻击的迹象。
- 分析流量的类型。对于电子支付系统，主要的流量应该是基于 HTTPS 的支付请求、与银行等金融机构的接口通信流量等。如果发现大量非相关协议（如 UDP Flood 中的大量 UDP 数据包，而电子支付系统正常情况下很少使用 UDP 协议进行通信）的流量涌入，很可能是遭受了 DDoS 攻击。
-
源 IP 地址分析
- 检查网络访问日志中的源 IP 地址分布。在正常的电子支付环境中，用户的 IP 地址来源是广泛的，涵盖不同的地区和网络服务提供商。如果发现大量请求来自少数几个 IP 地址段，尤其是那些与已知的恶意 IP 范围或僵尸网络相关的地址段，这是可疑的。例如，通过威胁情报平台可以查询到某些 IP 地址属于经常被用于发动攻击的僵尸网络，若这些 IP 频繁访问支付系统，就需要重点关注。
- 观察是否有 IP 地址在短时间内发出大量重复请求。正常用户在进行支付操作时，通常会有一定的思考和操作时间，如输入支付密码、确认支付信息等。但在 DDoS 攻击中，攻击者控制的僵尸主机可能会以极高的频率发送相同的支付请求，比如一个 IP 地址在一秒内发送几十次支付请求，这远远超出正常行为范围。
-
网络延迟和丢包检查
- 利用网络监测工具（如 ping 和 traceroute）来检查网络延迟和丢包情况。在遭受 DDoS 攻击时，由于网络带宽被大量占用，可能会出现网络延迟增加和丢包现象。对于电子支付系统，这会导致支付请求响应缓慢甚至无法完成。例如，正常情况下 ping 支付系统服务器的延迟在 10 – 50 毫秒，在攻击发生时可能会上升到几百毫秒甚至超时。
- 从不同的网络节点（如用户端、内部网络不同网段）进行测试，以确定网络问题的范围。如果从多个外部节点都出现延迟和丢包问题，且指向支付系统服务器，那么很可能是服务器遭受了外部攻击；如果只是内部网络的某个网段出现问题，可能是内部网络故障或局部攻击。
二、服务器层面排查
-
系统资源使用情况
- 查看服务器的 CPU 和内存使用率。在 DDoS 攻击期间，由于大量恶意请求需要处理，服务器的 CPU 使用率可能会急剧上升，接近 100%。对于电子支付系统，高 CPU 使用率可能会导致支付处理进程变慢甚至崩溃。例如，支付系统的核心处理模块在正常情况下 CPU 占用率为 30% 左右，在攻击时可能会上升到 90% 以上。
- 检查内存使用情况。如果内存被大量恶意请求占用，会导致系统性能下降。电子支付系统可能会因为内存不足而无法正常加载支付相关的程序和数据，出现支付失败等问题。同时，观察内存使用的增长模式，如果是在短时间内快速增长，且与流量峰值时间相吻合，这是 DDoS 攻击的一个重要线索。
- 分析磁盘 I/O 操作。电子支付系统会频繁读写数据库来处理支付交易，在正常情况下，磁盘 I/O 有一定的读写模式。在 DDoS 攻击中，可能会出现异常的磁盘 I/O 操作，如大量的写入操作（可能是攻击者试图写入恶意数据）或过度的读取操作（如不断查询数据库来消耗资源）。如果磁盘 I/O 等待时间过长或者读写速度明显下降，这可能是攻击导致的。
-
日志分析
- 查看服务器访问日志，重点关注支付相关的请求。分析请求的频率和类型。正常的电子支付请求应该是按照一定的业务逻辑进行的，如用户登录后进行支付操作，会有登录请求、支付金额查询请求、支付确认请求等一系列有序的请求。如果发现日志中出现大量无序的、不符合业务逻辑的支付请求，比如没有登录就直接进行支付确认请求，或者大量相同的支付请求反复出现，这可能是 DDoS 攻击。
- 检查服务器返回的错误码。在 DDoS 攻击时，由于服务器资源紧张，可能会频繁返回 503（服务不可用）、500（内部服务器错误）等错误码。大量的支付请求得到错误响应，这表明服务器可能受到了攻击，无法正常处理业务。同时，分析错误码与流量、请求的时间关联，如果错误码的出现频率与流量峰值和异常请求的时间一致，那么很可能是 DDoS 攻击引起的故障。
-
应用程序性能分析
- 检查电子支付系统应用程序的响应时间。对于支付请求，正常情况下有一个相对稳定的响应时间范围。在 DDoS 攻击时，由于服务器资源被占用，应用程序的响应时间可能会显著增加。例如，正常的支付确认请求响应时间在 1 – 3 秒，在攻击发生时可能会延长到十几秒甚至无法响应。
- 分析应用程序的事务处理成功率。通过查看支付系统的交易记录和日志，统计在疑似攻击期间的交易成功和失败的比例。如果交易失败率大幅上升，且同时出现上述的网络、服务器资源等异常情况，这很可能是 DDoS 攻击导致的电子支付系统故障。