一、初步观察与用户反馈收集
- 确认故障现象
- 检查网络存储设备的基本功能。例如，尝试通过网络访问存储设备上的文件或文件夹，看是否能够正常打开、读取、写入和删除文件。注意观察访问过程中的延迟情况，是完全无法访问，还是访问速度极慢。
- 查看存储设备的指示灯状态。不同的指示灯代表不同的状态，如电源、网络连接、磁盘活动等。如果指示灯显示异常，比如磁盘活动指示灯一直狂闪或者网络连接指示灯熄灭，这可能是故障的一个迹象。
- 收集用户反馈
- 与使用该网络存储设备的用户进行沟通，收集他们在故障发生期间遇到的问题。例如，询问用户是否在访问存储设备时出现文件无法下载、上传中断、存储路径无法访问等情况。
- 查看用户反馈渠道，如客服系统、用户论坛或电子邮件，了解故障出现的时间范围、受影响的用户群体（是全部用户还是部分用户）以及用户所在的网络环境（如不同的办公室区域、远程办公用户等）。
二、网络连接检查
- 检查网络带宽
- 使用网络监控工具来查看网络存储设备所连接网络的带宽使用情况。如果发现带宽被大量占用，接近或超过网络的额定带宽，这可能是 DDoS 攻击的迹象。例如，正常情况下存储设备的网络带宽占用率在 10 – 20Mbps 左右，突然飙升到 100Mbps 以上，且持续一段时间，就需要引起注意。
- 对比故障前后的带宽使用记录，看带宽使用率的变化是否与存储设备故障的出现时间相吻合。可以通过查看网络设备（如路由器、交换机）的历史带宽监控数据来进行分析。
- 查看网络连接状态
- 检查存储设备与网络的连接状态，包括网络接口的连接是否正常。可以通过查看存储设备的管理界面或者使用命令行工具（如 ping、traceroute 等）来检查设备与网络中其他关键节点（如网关、服务器）之间的连接。
- 查看网络连接中的丢包率和延迟情况。在遭受 DDoS 攻击时，网络可能会出现大量丢包和高延迟的现象。可以使用工具如 mtr（My traceroute）来查看从本地到存储设备的网络路径上每个节点的丢包率和延迟信息。如果发现某个节点的丢包率过高（如超过 10%）或者延迟异常（如平均延迟超过 100ms 且波动很大），这可能是由于攻击导致的网络拥塞。
三、存储设备性能监测
- CPU 和内存使用率
- 通过存储设备的管理界面或者监控工具，查看设备内部的 CPU 和内存使用率。在 DDoS 攻击期间，存储设备可能会因为处理大量恶意请求而导致 CPU 使用率急剧上升，长时间处于高负载状态（例如超过 80%）。
- 内存使用率也可能因为存储设备需要处理和缓存大量的连接请求和文件操作信息而升高。如果内存不足，可能会导致存储设备的性能下降，出现文件访问缓慢或出错等情况。观察 CPU 和内存使用率的变化趋势，看是否与故障发生的时间和频率相关。
- 磁盘 I/O 性能
- 检查存储设备的磁盘 I/O 性能，包括磁盘读写速度、磁盘队列长度等指标。在 DDoS 攻击下，由于可能会有大量的文件读取和写入请求（包括恶意请求），磁盘 I/O 可能会出现性能瓶颈。
- 可以使用工具如 iostat（在 Linux 系统下）来查看磁盘 I/O 的统计信息。如果发现磁盘读写速度明显下降（如正常的读取速度为 100MB/s，下降到 10MB/s 以下）或者磁盘队列长度过长（如超过 10 个请求在等待磁盘处理），这可能是存储设备受到攻击或者出现其他故障的信号。
四、访问日志分析
- 查看访问记录
- 检查存储设备的访问日志，这些日志记录了每个对存储设备进行访问的请求信息，包括访问时间、IP 地址、访问的文件路径、请求类型（如读取、写入、删除等）。
- 寻找访问日志中的异常情况，如在短时间内有大量来自相同或相似 IP 地址的访问请求。例如，某个 IP 地址在一分钟内对存储设备的特定文件进行了数千次的读取请求，这可能是攻击行为。
- 分析请求特征
- 除了 IP 地址，还要分析请求的特征。正常的用户访问请求通常会有一定的规律，如按照业务逻辑访问相关的文件和文件夹。而 DDoS 攻击的请求可能会比较杂乱，例如，请求访问不存在的文件路径、发送不符合存储设备协议规范的请求等。
- 查看请求中的用户认证信息（如果有），是否存在大量未经授权的访问尝试或者使用相同的无效认证凭据进行访问的情况。
五、安全防护工具检查
- 防火墙和入侵检测系统（IDS）
- 检查防火墙的配置和日志记录。防火墙可以阻止一些不符合安全策略的访问请求，在 DDoS 攻击发生时，防火墙可能会记录大量被阻止的可疑 IP 地址的访问尝试。
- 查看 IDS 的日志，IDS 能够检测到一些符合攻击特征的网络行为。例如，IDS 可能会识别出 DDoS 攻击中的常见模式，如 SYN Flood、UDP Flood 等，并提供有关攻击源、攻击类型和攻击规模的信息。
- DDoS 防护服务（如果有）
- 如果存储设备所在的网络环境配置了 DDoS 防护服务，登录防护服务的控制台，查看防护服务的状态和报告。防护服务可以自动检测和过滤部分 DDoS 攻击流量。
- 查看防护服务的拦截记录，了解攻击的类型（如 HTTP Flood、ICMP Flood 等）、攻击的规模（如攻击流量的峰值大小）以及被拦截的流量比例等信息。
六、采取临时措施缓解故障
- 限制访问和封禁可疑 IP
- 根据访问日志和安全防护工具的检测结果，对确定为恶意攻击源的 IP 地址进行封禁。但要注意，在封禁 IP 地址时要谨慎，以免误封正常用户的 IP。
- 对存储设备的访问设置合理的访问频率限制，例如，规定每个 IP 地址每分钟最多只能进行一定次数（如 5 – 10 次）的文件访问请求，以减少恶意请求对设备的冲击。
- 调整网络和存储配置（如果可行）
- 如果可能，调整存储设备所在网络的带宽分配，优先保障关键业务对存储设备的访问。例如，减少一些非关键设备的网络带宽，将更多带宽分配给存储设备。
- 优化存储设备的内部配置，如调整磁盘缓存大小、优化文件系统等，以提高存储设备在攻击环境下的性能。不过，这种调整需要谨慎进行，避免对正常业务造成更大的影响。
七、恢复与后续预防措施
- 测试存储设备恢复情况
- 在采取了临时措施，并且攻击流量得到一定控制后，对存储设备进行恢复测试。首先，尝试小范围地恢复正常访问，观察设备的性能指标（如带宽、CPU、内存、磁盘 I/O 等）是否稳定，文件访问功能是否恢复正常。
- 如果功能恢复正常，逐渐扩大访问范围，同时继续监控设备状态和用户反馈，确保存储设备完全恢复正常运行。
- 加强安全防护措施
- 考虑增加网络带宽，以应对可能出现的更大规模的 DDoS 攻击。同时，定期更新存储设备的固件和软件，确保其具有最新的安全补丁，防止攻击者利用已知漏洞进行攻击。
- 优化安全防护策略，如调整防火墙规则、完善 IDS 的攻击检测规则、提升 DDoS 防护服务的性能等，以提高存储设备的整体抗攻击能力。