回答“攻击峰值带宽与防护阈值如何估算”，先分清两个数字：峰值带宽是可能到达的流量规模，防护阈值是需要启动处置的条件。前者用于规划线路和防护能力，后者用于尽早发现异常；把两者直接设成同一个数，容易出现触发过晚或误拦正常流量。
先估算正常业务会占多少带宽
计算前，选取有代表性的统计窗口。可查看连续数周的小时级或分钟级流量记录，标记促销、定时任务、内容发布等已知高峰，并区分入站和出站方向。基线流量应反映正常情况下的高位需求，而不是全天平均值。若只有短期数据，可先用当前高峰作暂定基线，再随着观测补齐调整。
带宽可按“传输字节数×8÷时间”换算为比特每秒。例如，某一分钟收到约750MB数据，平均速率约为100Mbps；这是该分钟的平均值，并不代表秒级峰值。1Gbps等于1000Mbps。采样粒度越粗，越可能漏掉短暂尖峰，因此重要业务应同时参考较短时间窗口的记录。
用基线、增长和余量估算峰值
没有可靠攻击样本时，不宜声称能精确预测攻击流量。可先为容量规划估算“需要承受的流量”：正常高峰带宽乘以增长系数，再加突发余量。增长系数依据业务增长、活动安排和历史变化确定；没有明确依据时，可以暂用1.2至1.5作压力评估区间，而不是当作通用标准。
例如，观测到的正常高峰为400Mbps，按1.3倍估算，并预留约20%的容量余量，规划值约为624Mbps（400×1.3×1.2）。这个数只是规划示例，实际还要核对线路可用容量、协议开销及同一线路上的其他业务。攻击流量可能高于规划值，故应另外确认防护侧的承载上限和处置方式。
防护阈值看容量，也看业务影响
阈值不是简单地设成线路满载。可以先计算带宽利用率：当前流量除以可用线路带宽。比如长期正常高峰已接近线路容量的80%，再把触发线设在90%，留给处置的时间就可能不足。对于容量宽裕的线路，过低阈值又可能把正常波动当成攻击。
可先把持续数分钟超过正常高位、且带宽利用率进入约70%至85%的区间，作为观察或预警的候选条件。这个范围只适合作为初始校准参考，最终要结合正常波动、线路余量和防护响应时间确定。对短时尖峰，可设置单独的短窗口条件，避免被较长周期平均值掩盖。
还要留意每秒数据包数（PPS）：相同带宽下，小数据包流量可能带来更高的转发处理压力。若设备或服务商提供PPS承载指标，应将其与带宽阈值分开核对。带宽未满不等于处理能力一定充足。
按步骤落地并持续校准
- 收集基线：记录至少覆盖典型业务周期的流量，区分正常高峰和已知任务造成的波动。
- 算容量需求：用正常高峰、增长预期和突发系数得到规划值，同时检查线路余量及PPS能力。
- 设置分级条件：把接近正常高位设为观察，把持续升高并伴随业务异常设为升级处置条件；短时流量尖峰另行评估。
- 回看误报与漏报：核对告警发生时的流量、持续时间和业务影响，再调整阈值与观察窗口。
如果需要外部防护资源或上游协同，可把德讯电讯作为咨询选项，重点核实其具体服务范围、带宽与PPS承载口径、触发流程及适用线路，并要求这些条件以服务说明为准；不要仅凭单一峰值数字判断是否匹配。
常见问题
防护阈值能否直接设为线路带宽的80%？
不建议一概而论。80%可用于初步观察，但线路容量、业务峰值和处置耗时不同，阈值需要用实际记录校准。
只看带宽够不够？
不够。还应核对PPS、持续时间和业务影响；不同流量形态对处理资源的压力不同。
没有历史攻击数据怎么办？
先用正常高峰和容量余量完成初步规划，把防护能力上限向服务商核实，并在运行中用告警记录修正估算。归根结底，攻击峰值带宽与防护阈值如何估算，需要容量计算与实际观测共同完成。
