TG咨询第一次处理异常访问时，直接把可疑地址加入永久黑名单并不是稳妥做法。更可靠的攻击源IP封禁策略，应当先判断行为，再选择封禁层级，同时保留恢复和复核机制。无论使用 Nginx、Apache、云防火墙还是 WAF，都可以按照下面五个步骤建立基础流程。
第一步：先定义什么行为值得封禁
IP 地址本身不是攻击证据，连续失败登录、短时间重复请求不存在的页面、频繁触发验证码或持续提交异常参数，才是更有价值的判断依据。建议先查看 Web 访问日志、应用登录日志和安全设备告警，至少确认请求时间、访问路径、响应状态、失败次数及是否集中来自同一地址。
攻击源IP封禁策略应优先针对“行为+时间窗口”，而不是只看单次请求。例如，普通后台登录可观察 5 至 15 分钟内的失败次数；公开搜索页面则要结合请求频率、路径特征和返回状态判断。不同业务的正常访问峰值差异很大，阈值需要根据平时日志调整。
第二步：选择合适的封禁位置
封禁位置决定处理速度和误伤范围。若攻击主要消耗应用资源，可以在 WAF 或反向代理层拦截；若需要保护整台服务器，可使用主机防火墙；若只是限制某个登录接口，则更适合在应用层配合速率限制。
- WAF：适合按路径、请求特征和规则拦截，能减少恶意请求到达应用，但需要正确配置规则。
- 主机防火墙：适合保护服务器多个服务，封禁范围较大，误封后可能影响远程运维。
- 应用层限制：适合登录、评论、注册等具体功能，粒度细，但不能替代基础网络防护。
- CDN 边缘规则：适合在请求接近用户的位置提前处理，适用于已接入 CDN 的网站；规则发布和回源架构要先确认清楚。
新手的攻击源IP封禁策略通常可从 WAF 或反向代理开始，再根据影响范围决定是否下沉到主机防火墙。
第三步：设置临时封禁和分级阈值
临时封禁比永久封禁更适合处理初次发现的异常地址。可以按照风险分级：轻度异常先限速或要求验证码；重复触发规则时封禁约 10 至 30 分钟；持续扫描、明显利用漏洞或多次解封后再次攻击的地址，再延长到数小时或一天。具体时长要结合业务容忍度、攻击持续时间和人工响应能力。
- 记录触发规则的次数、时间和请求路径。
- 先执行低影响措施，例如降低请求频率或限制特定接口。
- 仍然异常时，将地址加入临时黑名单，并设置自动到期时间。
- 超过阈值后升级封禁时长，同时保留告警和日志。
这种攻击源IP封禁策略能避免因一次误判造成长期影响，也方便观察地址解封后是否恢复正常。
第四步：建立白名单与解封流程
配置前先整理可信来源，包括企业固定出口、运维跳板机、办公 VPN 出口、监控系统和必要的第三方回调地址。白名单不宜直接覆盖所有安全规则，最好限定到具体端口、路径或来源，并记录申请人、用途和有效期限。
解封流程至少包含三项检查：攻击特征是否已经停止，地址是否属于共享出口，以及解封后是否仍会触发同一规则。家庭宽带、移动网络和公共代理可能被多人共用，单独封禁一个地址可能影响无关用户。因此，攻击源IP封禁策略必须配合白名单、共享出口识别和人工复核。
第五步：验证效果并持续复盘
封禁完成后，不要只看告警数量是否下降，还要检查正常登录、支付、文件上传、管理后台和监控访问是否受到影响。可以对比封禁前后约 15 分钟至数小时的日志，关注错误率、响应时间、回源请求量和新攻击来源是否变化。
建议保留的记录
- 被封地址、来源区域和封禁时间。
- 触发的规则、请求路径及证据日志。
- 执行封禁的设备、账号和操作人。
- 预计解封时间、实际结果和后续调整建议。
如果攻击者频繁更换地址，单纯扩大黑名单往往效果有限，应进一步使用速率限制、账号保护、验证码、路径级规则或身份认证。攻击源IP封禁策略的目标是降低风险和资源消耗，而不是追求黑名单数量。
常见问题
1. 可以直接永久封禁可疑 IP 吗？
不建议。除非有明确恶意证据且业务确认不会使用该地址，否则应优先采用临时封禁并设置复核时间。
2. 封禁 IPv4 后还需要关注 IPv6 吗？
需要。若服务同时开放 IPv6，应分别记录和处理 IPv4、IPv6 地址，否则攻击者可能通过另一协议继续访问。
3. 为什么封禁后仍能看到攻击请求？
可能是规则部署在回源服务器，而日志记录点位于 CDN 或代理之前；也可能存在缓存、多个入口或地址轮换，应先确认流量路径。
4. 新手最容易犯什么错误？
常见问题包括阈值过低、永久封禁过多、没有白名单、缺少到期时间，以及只关注封禁数量而不检查正常业务。
做好判断、分层、限时、复核和复盘五件事，便能让攻击源IP封禁策略从临时处置变成可持续的基础安全流程。
