网站遭遇 CC（应用层 HTTP Flood）攻击时，除了单纯封 IP，还有一系列更可靠、更可扩展的防护手段。首先，把网站放到CDN/边缘节点前端可以吸收与缓存大量流量，减轻源站压力；同时配合 Web Application Firewall（WAF）进行特征与行为检测，能够对异常请求做速率限制、挑战/验证码或直接丢弃。

其次，限流与连接控制很关键：对不同接口（页面、API、登录口）设置分级速率限制和并发连接上限，使用SYN cookies / TCP SYN 代理可防止连接耗尽类攻击。对可缓存内容尽量用缓存、将动态处理最小化，减少每个请求对后端的计算消耗。

AWS 文档

再来是挑战-响应机制（CAPTCHA / JS Challenge/cookie验证）：针对疑似机器人流量弹出轻量挑战，既能阻断自动化请求，又尽量不影响真实用户体验；此策略通常由WAF或CDN提供。配合基于信誉的IP黑名单/白名单和地理访问限制（仅允许目标国家/地区）可进一步减少噪声流量。

AWS 文档

对于大流量或复杂攻击，建议使用流量清洗/托管防护服务（scrubbing / DDoS mitigation provider）或Anycast+弹性扩容的云防护（将流量分散到多个区域并在清洗节点处理恶意流量），并与上游ISP协作，必要时做黑洞路由/流量转移，避免核心链路被压垮。

最后别忘了：监控与预案很重要——建立流量基线、配置告警、制定应急响应流程并定期演练；同时保持软件与依赖更新、优化后端性能，减少被“伪装成正常用户”的流量拖垮的风险。

SecurityScorecard

快速清单（实操建议）：

部署CDN + WAF（开启速率限制与 JS Challenge）；

对重要接口做分级限流与并发限制；

启用SYN cookies/TCP代理防止连接耗尽；

使用流量清洗/Anycast与上游ISP协作应急；

建立监控、告警与应急演练流程。