一、标准适用场景与实施阶段
- 适配业务类型：本标准适用于具备跨域DDoS攻击协同防御需求的电信运营商、互联网服务提供商（ISP）、云服务商及大型企业网络，重点覆盖骨干网节点、IDC接入点、CDN边缘节点等高流量暴露面场景。
- 实施环节：涵盖DDoS监测系统部署、缓解策略配置、跨域信息交互接口（如RFC 8701 Push/Response机制）联调、控制平面协议（如Dots）集成、引流路径规划与回注策略设定等关键环节。
- 验收阶段：分为三个阶段：一是设备级功能验证阶段，核验单点探测与缓解设备是否符合YD/T 4578-2023第5章技术指标；二是系统级联动测试阶段，验证跨域协同流程中请求发起、响应处理、策略下发时延是否满足≤3秒要求；三是运行期持续评估阶段，基于连续30天日志审计结果判定协同机制稳定性与误报率（应≤0.5%）。
二、现场实操合规规范
- 部署DDoS检测探针于核心出口链路，采样比不低于1:1000，支持NetFlow/IPFIX v10格式输出，时间戳精度至毫秒级，确保事件捕获延迟≤200ms。
- 配置Dots客户端与服务器端心跳间隔为30s±5s，TLS 1.3加密通道建立失败重试上限设为3次，超时阈值为10s，证书有效期不得少于365天且由国家认可CA签发。
- 跨域协同触发条件设定：当单IP入向流量突增≥300%基线值且持续≥60s，或SYN/FIN包占比异常超过预设门限（TCP标志位异常率＞15%），自动触发协同缓解请求。
- 引流策略执行：采用GRE隧道方式将受攻击流量导向近源清洗中心，TTL字段设置为255，外层IP头DF位清零以允许分片，隧道往返时延增加不得超过原始路径20ms。
- 现场质量管控：每项操作需双人复核并记录至《DDoS协同操作日志》，变更前后配置文件须通过SHA-256校验比对，差异部分标注原因并归档备查。
三、成果验收核验标准
| 核验项目 | 合格判定指标 | 测试方法 |
|---|
| 协同请求响应时延 | 从检测到攻击至收到首个响应消息≤3s | 模拟攻击流量注入，抓包分析Dots信令交互时间戳 |
| 策略下发一致性 | 本地与远端执行缓解规则匹配度100% | 对比双方ACL/流表配置哈希值 |
| 流量回注准确性 | 清洗后回注流量还原正确率≥99.9% | 在目的端部署镜像端口进行载荷比对 |
| 误报率 | 正常业务触发协同请求次数/总请求次数≤0.5% | 统计连续30个自然日操作记录 |
| 系统可用性 | 协同模块年故障停机时间≤52.6分钟（即99.99% SLA） | 核查历史监控平台告警日志 |
整体验收流程：由第三方测评机构主持，组织发起方、参与方、监理单位共同见证。先完成分项测试并签署《单项合格确认书》，再召开验收评审会，提交《协同缓解效能分析报告》与全部原始测试数据，经四方签字确认后生效。
四、实操常见问题与质控方案
- 问题1：Dots信令通道频繁断连。根因为防火墙未开放UDP 443端口或中间设备执行NAT导致会话中断。整改方案：在边界防火墙上配置静态UDP 443双向映射规则，并启用Session Persistence功能维持连接状态。
- 问题2：引流后出现回注黑洞。经查系BGP路由撤销不及时所致。质控措施：清洗节点在攻击结束后的路由撤回延迟必须控制在15s内，且需通过BGP Monitoring Protocol（BMP）实时上报邻居状态。
- 问题3：跨厂商设备策略转换错误。典型表现为Juniper设备接收Cisco发送的filter-action参数解析失败。解决方案：统一采用IETF RFC 8783 YANG数据模型定义的标准化动作码（如drop=1, rate-limit=2），禁止使用私有扩展字段。
- 问题4：基线学习周期不足导致误判。规定初始基线采集不得少于7个完整业务周期（通常为7×24h），采用滑动窗口算法动态更新，最小采样间隔为5分钟。
- 问题5：日志审计缺失关键字段。强制要求所有协同事件日志包含至少以下字段：event_id、src_domain_id、dst_domain_id、attack_start_time、mitigation_duration、trigger_condition、operator_id，存储保留期不少于180天。
质控落地机制：建立四级审查制度——操作员自检、班组长巡检、技术负责人抽检、独立审计方飞检；每月生成《协同系统健康度评分表》，低于85分启动专项整改，整改期不超过15个工作日，逾期未闭环暂停跨域协作权限直至达标。