DDoS 事件的第一步不是购买更多防护，而是确认攻击是否真实、影响哪些业务、当前策略是否在保护正常用户。 核心检查 攻击类型与峰值趋势。 带宽、连接数和应用响应。 清洗、黑hole 与限速状态。 源站是否仍然暴露。