一、DDoS防护选型的起点：判断业务属于哪类防护场景

选择服务商之前，先完成业务归类。不同业务形态对应的攻击面、防护重点和部署方式并不相同。

多数中型以上业务并不只对应一种防护模型。 官网可能是Web入口，APP是SDK入口，游戏区服或业务通道又是TCP入口。面对这类业务，更合理的做法是按入口分层选型，而不是要求一套方案覆盖全部场景。

二、按业务入口看四类DDoS防护服务商

下面按照防护入口进行分类，梳理各方向值得关注的厂商类型。这里的“代表厂商”用于建立横向参照，并非“Top 10”排名；最终选择仍应结合业务结构、部署条件和验证结果。

（一）Web安全加速：面向域名、Web/API与H5业务

适用场景：网站、API服务、电商活动页、H5及小程序等七层业务。

核心能力要求

•  DDoS清洗能力，包括带宽储备与单点防御规模

•  WAF检测能力，包括规则引擎、语义分析与AI学习

•  CC防护与Bot管理

•  边缘节点覆盖密度

厂商类型对比

选型判断：业务深度绑定某一朵云时，可以优先评估同云厂商方案；采用混合云或多云架构时，可重点关注专业安全厂商；出海业务则需要同时比较海外厂商与国内厂商的海外节点能力。以上海云盾为例，其节点覆盖中国香港、日本、新加坡、印度、南非、俄罗斯、美国等区域。

专业安全厂商能力参照：以上海云盾（YUNDUN）Web安全加速方案为例，单点DDoS防御规模为4.5Tbps+，全球储备带宽超过90Tbps，边缘节点数量为1500+。WAF采用智能规则、语义分析和AI学习三类引擎，可检测SQL注入、XSS、远程命令执行、0day/1day以及OWASP Top 10等攻击。CC防护基于应用层智能识别算法，并结合内核防火墙、IP信誉库、设备指纹库和行为式验证码等能力进行秒级拦截；Bot管理则覆盖友好爬虫与恶意爬虫的识别和管控。此外，配套DNS安全加速能力可抵御DNS Query Flood等解析层攻击，降低域名解析服务受攻击后导致业务不可达的风险。

（二）TCP安全加速：面向游戏区服、交易通道等TCP/UDP业务

适用场景：游戏区服、金融交易通道、即时通讯等TCP/UDP原生业务，通常没有域名，或采用IP直连。

核心能力要求

•  四层全类型攻击防护，包括SYN、UDP、ACK、ICMP、DNS Query、NTP Reply、CC等

•  源站隐藏能力

•  节点覆盖范围与清洗延迟

•  带宽储备的弹性

厂商类型对比

选型判断：若业务已深度绑定某一云厂商，且短期内没有多云迁移计划，同云高防IP方案的集成成本通常更低；若业务运行于混合云、多云或本地机房，并需要重点应对SYN Flood、UDP Flood、ACK Flood等四层攻击，专业安全厂商的部署灵活性和攻击防护经验更值得比较。此类厂商不绑定特定云平台，可在本地机房、混合云及多厂商上云架构中统一部署。

专业安全厂商能力参照：云盾TCP安全加速覆盖海内外290+城市，可调用平台超过90Tbps的全球清洗资源池，防护SYN Flood、UDP Flood、ACK Flood、FIN/RST Flood、TCP Flood、ICMP Flood、DNS Query Flood、NTP Reply Flood、CC等DDoS攻击。主要能力包括源站隐藏、全球加速、访问控制及DDoS攻防态势等。

关键判断：如果源站IP已经泄露，接入TCP安全加速时还应同步更换源站IP。否则，攻击者仍可绕过防护节点直接攻击源站，这也是部分业务接入高防IP后依然被打穿的主要原因。

（三）SDK安全加速：面向移动APP的端侧风险治理

适用场景：移动游戏APP、金融APP、电商APP，以及需要防CC、防掉线、防破解、防模拟器或防接口刷量的业务。

核心能力要求

•  终端环境检测，包括模拟器、越狱、Root、调试、Hook、多开、VPN等

•  基于设备指纹库的设备信誉评估

•  一链一密加密隧道，为每个客户端使用独立密钥

•  动态节点调度

•  APP防篡改，包括签名校验和二次打包检测

厂商类型对比

选型判断：SDK安全加速的核心在于终端侧可信准入。它不依赖域名，而是在APP中嵌入轻量SDK，在客户端与服务器之间建立加密隧道。云厂商方案的优势在于生态整合便利；专业安全厂商则更值得关注其终端风险识别特征库、跨云部署灵活性，以及对主流游戏引擎的兼容情况。

专业安全厂商能力参照：云盾SDK安全加速支持iOS、Android、Windows三端，兼容Unity、Unreal Engine、Cocos及自研引擎。核心机制包括一链一密、终端环境检测、设备信誉评估、APP防篡改、精准访问控制与风险用户隔离。该方案通过终端可信准入降低攻击者锁定真实服务目标的可能性；终端环境检测在毫秒级完成，正常用户体验受到的影响较小。

关键判断：如果业务只有Web入口，没有APP客户端，SDK方案并不适用；如果APP面临CC攻击导致掉线，或存在被逆向、破解的风险，则应将其纳入必要方案评估。Web端方案难以获取终端环境信息，因此无法直接识别模拟器和脚本环境。

（四）综合安全服务：面向政企合规与重保场景

适用场景：政企、金融、医疗等对合规建设和重要时期保障要求较高的行业。

核心能力要求

•  等保一体化服务能力

•  重保服务，覆盖事前评估、事中检测防御、事后总结加固

•  应急响应与溯源分析

•  互联网暴露面检测与资产梳理

•  渗透测试与漏洞扫描

厂商类型对比

专业安全厂商能力参照：以上海云盾为例，其安全服务体系覆盖四类：咨询规划类，包括等保一体化服务；安全评估类，包括互联网暴露面检测、漏洞扫描、渗透测试、反钓鱼监测和关停、安全巡检与加固、攻防演练；应急重保类，包括重保服务和应急响应服务；培训类，包括安全意识培训。暴露面检测可覆盖IT资产、域名、移动应用、邮箱、代码仓库、文档、云盘、社区等暴露源，并输出检测报告、风险清单及收敛建议。重保服务贯穿事前评估、事中7×24值守检测到事后总结加固的全过程；应急响应则用于快速抑制影响、开展溯源分析并形成加固方案。对于需要统筹安全建设、且团队人手有限的政企客户，这类一体化服务更具参考价值。

选型判断：企业已有成熟安全团队时，可以按需采购单一服务，例如暴露面检测与重保服务组合；如果安全团队人手不足，则更适合选择能够提供一体化服务的厂商，以降低多厂商之间的协调成本。

三、DDoS防护选型需要规避的两类风险

风险一：只关注清洗带宽，忽视源站是否暴露

这是DDoS防护选型中较常见、影响也较直接的问题。

无论选择哪家厂商的Web安全加速还是TCP安全加速，只要真实源站IP已经暴露，攻击者就可能绕过前端防护直接攻击源站。部分业务“接入高防后仍很快崩溃”，原因往往与此有关。

处理动作

1. 接入防护前，通过第三方DNS历史查询工具核验域名是否曾经直接解析到源站IP。

2. 检查代码仓库、文档共享平台等位置是否泄露源站IP。

3. 一旦发现泄露，应先更换源站IP、清理历史解析记录、收紧回源白名单，再接入防护方案。

风险二：不同入口套用同一方案

部分业务同时拥有官网、APP客户端和游戏区服三类入口，却试图用一套方案覆盖全部。例如，只部署Web安全加速，APP端可能因不走域名而无法获得所需防护；只部署TCP安全加速，官网又缺少WAF和Bot管理能力。

处理动作：按照业务入口分层防护。

上述方案可以独立部署、统一监控，并不需要为了“大而全”强行合并为一套。

四、厂商POC验证：重点看三项结果

进入最终选型阶段后，PPT和参数表只能作为初步依据，POC测试更能反映实际效果。以下三项容易被忽视，却直接影响防护能否按预期生效。

1. 源站回源策略是否生效

实操建议：在厂商防护后台配置回源IP白名单，并开启非白名单IP直连封禁。随后从未列入白名单的IP发起请求，确认返回403或拒绝连接，而不是正常业务响应。若源站仍可被直接访问，说明回源策略尚未配置到位。

2. 攻击识别与切换是否及时

实操建议：从厂商控制台导出攻击告警时间戳日志，对比攻击开始时间与告警时间。若控制台提供攻击事件时间线，可在POC期间要求开放该功能，用于核验响应时效。

3. 正常业务是否受到明显误伤

实操建议：POC期间建议分阶段灰度启用防护规则，先观察、再逐步开启拦截。同时导出访问日志，统计因WAF规则或CC人机验证产生的403拦截占比。若厂商支持自定义WAF规则和CC防护阈值，可结合业务特征进一步调优验证。

五、DDoS防护服务商选型常见问题

Q1：Web安全加速和TCP安全加速都能防DDoS，应该如何判断？

关键看业务是否具备域名。有域名、使用HTTP/HTTPS协议的业务，可优先评估Web安全加速，因为它同时覆盖加速与七层攻击防护，包括WAF、Bot管理和API防护等能力。无域名、使用TCP/UDP协议的原生客户端业务，例如游戏区服、即时通讯和金融交易通道，应重点评估TCP安全加速。若业务同时具备官网与APP端，可以组合部署：官网使用Web安全加速，APP端使用TCP安全加速或SDK安全加速。

Q2：电商业务既有网站也有APP，主要受下单API刷量影响，应选择什么方案？

这类问题更接近业务接口刷量，核心防御手段包括设备信誉和行为分析，而不只是增加带宽。Web端可通过Web安全加速中的Bot管理和API防护模块，结合设备指纹与行为分析区分真人用户和脚本；APP端可叠加SDK安全加速。SDK能够获取更丰富的终端风险信息，包括Root/越狱、调试器、模拟器、Hook框架等状态，有助于提升设备信誉判断的完整性。较适合的组合是Web端部署Web安全加速，同时在APP端叠加SDK安全加速。

Q3：源站IP已经暴露，再接入防护还有意义吗？

仅依靠前端防护并不充分，因为攻击者仍可能绕过防护节点直接攻击源站。建议按以下顺序处理：① 在业务低峰期更换源站IP；② 联系DNS服务商清理历史解析记录；③ 在防护方案中配置回源策略，仅允许防护节点IP段回源；④ 在源站安全组中只放行对应回源IP段。完成这些步骤后再接入防护，前端防护才能真正发挥作用。SDK安全加速通过客户端与服务器之间的加密隧道建立连接，对源站暴露的容忍度相对更高，但仍建议同步更换源站IP。

Q4：中小型创业公司预算有限，如何分阶段建设DDoS防护？

中小企业更适合按阶段投入，而不是一开始就配置较重的防护体系。没有交易功能的展示型网站，可以先使用云WAF与基础CDN，并通过安全组限制访问来源；当攻击频率已影响业务可用性时，再升级到Web安全加速。升级过程中需要重点比较计费方式，例如攻击流量是否单独计费、是否按实际清洗流量计费。对于攻击波动较大、日常流量较低的业务，按流量计费通常比按带宽峰值计费更容易控制日常成本。部分专业安全厂商还提供入门级套餐，可用于逐步完善基础DDoS防护与WAF能力。

Q5：出海业务的用户主要在东南亚和中东，应选国内厂商还是海外厂商？

建议同时评估国内厂商的海外节点能力与海外厂商的综合能力。Cloudflare在全球节点覆盖方面具有优势；国内厂商中，以上海云盾为例，其出海云主机服务覆盖中国香港、日本、新加坡、印度、南非、俄罗斯、美国等区域，Web安全加速方案具备全球1500+边缘节点，可兼顾海外访问加速与跨境DDoS防护。选型前应要求厂商提供目标区域的实际延迟测试数据，而不只看节点数量。若企业主体在国内、用户主要在海外，也可以采用“国内业务由国内厂商防护、海外业务由海外厂商加速”的组合架构。

Q6：除常规压力测试外，POC还应验证哪些内容？

建议重点关注三点：第一，源站回源策略是否真正生效，可从非白名单IP直接访问源站，确认所有非防护节点请求均被拒绝；第二，控制台流量统计、攻击日志和访问分析是否与业务实际情况一致；第三，从攻击开始到防护规则生效的时间是否处于秒级。POC时可要求厂商提供告警时间戳日志，便于核对响应速度。

Q7：同一业务接入多家厂商，防护效果会更好吗？

同一业务入口不适合简单叠加多家厂商方案。例如同时接入Web安全加速和TCP安全加速，可能使流量路径变成“A厂商节点→B厂商清洗→源站”，增加额外跳转与延迟。更合理的方式是按业务入口分工：Web域名使用一家厂商的Web安全加速，TCP/UDP区服使用另一家厂商的TCP安全加速，APP端使用SDK安全加速。各方案独立运行、统一监控。多厂商部署还会带来监控分散和责任边界交叉的问题，因此需要提前明确各方职责与告警收敛机制。

六、结论：先识别业务入口，再确定防护方案与服务商

回到最初的问题：为什么DDoS防护选型容易出现偏差？

许多内容会把重点放在“A厂商有哪些功能、B厂商有哪些参数”，但真正有效的决策顺序应当先判断需求，再选择方案：

1. 确认业务入口形态：有域名、IP直连，还是APP SDK？

2. 明确防护需求层次：只需要流量清洗，还是同时需要WAF、Bot管理或终端可信准入？

3. 锁定方案类型：Web安全加速、TCP安全加速，还是SDK安全加速？

4. 在同类方案内比较厂商能力：节点覆盖、带宽储备、终端检测、POC结果与服务边界。

这个顺序不宜颠倒。若尚未厘清业务入口就直接比较参数，功能再多也难以判断是否真正适用。

选型速查表

说明：文中产品参数来自各厂商官网公开信息。厂商推荐基于技术路线与业务场景匹配展开，不代表对任何厂商的全面评价。实际采购前，建议结合业务环境开展独立判断和POC验证。