可通过多维度指标判断：监控CPU/内存、网络带宽、连接数、每秒请求数（RPS）和响应时延；对比历史同周期趋势并设置阈值告警。结合Web/应用日志、Nginx/Apache访问统计与云厂商的流量监控，若短时间内RPS或并发连接数远超阈值，并伴随大量相同UA或IP段，即可判断为访问人数异常增加。
监测应包含实例监控、负载均衡器、CDN与WAF，确保告警策略覆盖流量尖峰和错误率上升。
常见原因有营销活动/媒体报道带来的真实用户增长、爬虫与搜索引擎、配置错误导致的循环请求，以及DDoS或应用层攻击。区分要点：真实用户通常来自多样的地理位置和User-Agent，行为路径完整；攻击流量往往短时间内集中于少数IP/子网、重复请求模式或异常UA。结合会话深度、停留时长和转换率判断是否为真实流量。
使用IP信誉库、行为指纹和速率分析来识别恶意请求；若疑为DDoS，优先启用下文的应急措施。
立即执行的步骤包括：1) 启用或提高CDN缓存与速率限制；2) 在WAF中临时增加规则拦截异常URI/来源IP；3) 对流量做灰度或地理限制（如临时屏蔽非泰国流量）；4) 将流量引流到负载均衡器或黑洞/清洗服务以保护源站。并实时调整弹性伸缩策略以临时扩容。
操作时请先保存当前配置快照，分阶段发布规则并监控误杀率，避免因策略过严导致正常用户流失。
建议构建具备弹性的架构：使用CDN与WAF作为前置防护，采用负载均衡+自动伸缩（Auto Scaling）分担突发流量；制定基于API网关的速率限制与鉴权策略；配置完善的日志与监控链路（ELK/Prometheus+Grafana），并定期进行容量测试与演练。
启用最小权限、安全组白名单管理、端口防护和入侵检测；对重要接口实施验证码、二次校验或行为挑战以抵御应用层攻击。
事后处置包括：保存完整日志（访问日志、WAF日志、网络流量抓包）、时间线重建、攻击特征提取并更新黑名单。进行根因分析（RCA），评估防护策略与扩容策略的有效性，补漏洞并优化自动化编排（如自动拉起清洗服务）。同时撰写事件报告并更新应急预案与SOP。
证据保全要点：设置集中日志长期保存、导出关键时段PCAP并与云厂商协作取回更详尽的网络流量记录。
