把日志分析、规则生成、自动封禁、误伤回滚串成闭环，避免手工加黑名单。文中数据为区间参考，线路与资源会变，下单前建议用测试 IP 自行复测。
下面把判断依据、实测区间与落地动作拆开讲，涉及 IP黑名单、访问日志分析、封禁策略 的关键点都给出了可验证的标准。
access log 保留真实 IP（有 CDN 时要取 X-Forwarded-For 第一段），至少留存 30 天且可按条件检索。
按分钟聚合 IP 的请求数与 5xx 比例，两个维度同时超阈值的才是可疑来源，单看请求量容易误伤。
脚本输出 ipset 可用的 IP 段，按 C 段聚合，避免几十万条单 IP 规则拖慢匹配。
nginx+lua 或 fail2ban 定时拉取名单，封禁时长按次数阶梯递增，长期累犯直接进永久表。
保留白名单（办公出口、监控、搜索引擎），每次批量封禁后观察 5xx 与转化，异常立即回滚。
| 环节 | 关键动作 |
|---|---|
| 日志规范 | access log 保留真实 IP（有 CDN 时要取 X-Forwarded-For 第一段），至少留存 30 天且可按条件检索 |
| 统计口径 | 按分钟聚合 IP 的请求数与 5xx 比例，两个维度同时超阈值的才是可疑来源，单看请求量容易误伤 |
| 规则生成 | 脚本输出 ipset 可用的 IP 段，按 C 段聚合，避免几十万条单 IP 规则拖慢匹配 |
| 自动封禁 | nginx+lua 或 fail2ban 定时拉取名单，封禁时长按次数阶梯递增，长期累犯直接进永久表 |
Q：这些数据与标准多久需要重新核对一次？
线路、清洗资源和价格都会变，建议每季度复测一次；换机房或换供应商时必须重新测，不要沿用旧结论。
Q：按文中的步骤做完，还需要注意什么？
把处理过程和最终生效的参数记下来。同类问题再出现时直接对照记录，比重查一遍快得多。
Q：业务规模小，也要按这套标准来吗？
不需要一次到位。先把影响最大的两项做到位，剩余的随着业务增长逐步补齐，比一开始就追求完美更容易落地。
回到这篇的 5 个环节：日志规范、统计口径、规则生成、自动封禁、误伤回滚。建议把这次的数据存成基线，下次复测直接对比，判断趋势比看单点更可靠。
相关阅读：短信与邮件轰炸怎么防：限流与验证设计、恶意采集怎么拦：识别特征与限频策略、WAF怎么选：云WAF、软WAF与高防的边界。
延伸阅读：恶意采集怎么拦：识别特征与限频策略、端口暴露面收敛：从nmap扫描到防火墙、SSH被爆破怎么办：日志特征与封禁策略。
微信公众号
微信客服
