判断网站变慢，先别只看流量大小。CC攻击与带宽型攻击的特征区别，关键在于被消耗的资源不同：前者让服务反复处理大量应用请求，后者则用大量数据流占满网络出口。两者都可能造成访问失败，也可能同时出现，但观察指标和处置重点并不相同。
先看攻击消耗的是什么
CC攻击：请求看似正常，处理成本偏高
CC攻击通常通过大量访问网站页面或功能接口，持续触发服务器处理请求。单个请求未必异常，甚至可能使用常见的HTTP GET或POST形式；问题在于请求数量、访问频率或所访问功能的处理成本。比如活动报名页面在短时间内收到密集查询，页面响应明显变慢，但网络流量未必特别大。这类情况常被称为HTTP请求洪泛。
因此，CC攻击与带宽型攻击的特征区别之一，是前者可能在带宽尚有余量时就影响动态页面、搜索或登录等功能。若静态图片仍能打开，而某些需要实时查询的页面超时，应进一步查看请求速率、接口耗时、状态码和并发连接变化；单看总流量容易漏判。
带宽型攻击：传输通道先被挤满
带宽型攻击的直接目标是网络链路容量。大量数据包或流量涌向目标，使进出站流量接近可用上限，正常用户的数据也难以通过。常见表现是多个页面、图片和接口一起变慢或无法连接，监控中的出口流量突然升高，且上游网络也可能出现丢包或拥塞。
这类攻击不一定需要每个请求都触发复杂业务逻辑；核心是单位时间内传输的数据量过大。流量是否达到链路上限，取决于服务商提供的带宽、计量方式、网络路径和攻击持续时间，因此不宜用一个固定流量数字作为通用判断线。
用指标区分，别只凭网页打不开
| 观察项 | 更偏向CC攻击 | 更偏向带宽型攻击 |
|---|---|---|
| 网络流量 | 可能正常或中度上升，未必触顶 | 流量明显升高，接近链路容量时风险突出 |
| 请求与页面 | 少数动态页面或接口特别慢，访问集中于特定路径 | 静态与动态内容可能普遍受影响 |
| 日志特征 | 请求频率、来源分布、路径或参数出现异常集中 | 单靠应用日志未必能完整呈现流量规模 |
| 主要处置方向 | 识别异常请求、限制访问速率、减少重复计算 | 联系网络服务商或使用流量清洗等上游防护 |
表格表示的是常见倾向，并非绝对规则。真实攻击可能混合多种方式；例如应用请求洪泛也会增加流量，而带宽拥塞又会让应用监控出现大量超时。分析CC攻击与带宽型攻击的特征区别时，应把链路监控、服务器访问日志和用户侧现象放在同一时间线上对照。
排查与应对：按顺序缩小范围
确认影响面。记录开始时间、受影响页面、不同网络位置的访问结果，并检查静态内容与动态功能是否都异常。
对比监控曲线。查看入站、出站流量是否逼近线路上限，同时核对请求速率、接口响应时间、错误码和连接数。流量未触顶而特定接口持续变慢，更值得排查应用请求；全站访问中断且链路拥塞，则优先联系网络服务商。
检查请求分布。从日志中比较访问路径、请求频率、来源特征和响应结果。不要仅凭某个来源访问次数高就直接封禁，正常用户也可能因活动或热点内容集中访问。
采用对应缓解措施。对可确认的异常请求，可按业务风险设置速率限制、临时挑战或针对特定路径的规则；对链路容量被占满的情况，应尽快向服务商说明时间和流量曲线，确认是否能在上游过滤或清洗。调整后持续观察误拦截和恢复情况。
如果静态资源缓存有效，重复请求可能由缓存直接响应，从而降低源站处理压力；但缓存无法替代链路扩容或上游清洗，也不保证所有动态请求都能被吸收。选择措施时要结合业务是否允许排队、登录验证或短时限流。
常见问题
CC攻击一定不会造成带宽升高吗？
不是。大量应用请求本身也会产生网络流量，只是CC攻击的主要识别重点是请求对应用处理环节的压力。
带宽型攻击一定会让所有页面同时打不开吗？
不一定。影响范围与链路、缓存和网络路径有关；某些用户或内容可能仍可访问，但拥塞通常不只集中在单个业务接口。
发现异常后应先封禁来源吗？
不宜盲目封禁。先核对来源、路径和请求频率，再依据业务影响设置有范围、可撤销的限制，并同步联系服务商处理链路问题。
简而言之，CC攻击与带宽型攻击的特征区别，在于前者侧重消耗应用请求处理能力，后者侧重占满网络传输容量。把流量曲线与请求日志结合判断，再按对应层面处置，比仅凭“网站打不开”采取同一种措施更可靠。