面对访问量突然上升，单看总请求数很难判断是正常增长、自动化采集还是恶意探测。攻击日志如何用于识别流量特征？关键是把来源、时间分布和请求内容放在一起比较，并结合服务本身的正常访问规律。以下方法适用于常见 Web 访问日志，例如 Nginx 记录的客户端地址、请求路径、状态码和 User-Agent 等字段。
先确认日志能回答什么问题
开始分析前，确认日志时间时区、记录范围及字段含义。Nginx 的访问日志格式可以自定义，不一定包含全部信息；若服务前有反向代理，日志中的客户端地址也可能是代理地址，而非访客真实来源。只有在代理配置可信、转发头经过正确校验时，才应据此还原客户端地址。
保留分析所需的原始日志，并限定异常发生的时间段。可先按分钟或五分钟汇总请求数，与同一服务、相近时段的基线比较。节假日、发布活动、搜索引擎抓取及缓存失效，都可能造成流量变化，因此不能仅凭某个阈值直接判定攻击。
按来源、频率、行为交叉检查
来源：看分布，不只看单个地址
统计源 IP 的请求量、涉及路径和状态码，再观察请求是否集中于少数地址、多个地址是否表现一致。单个地址高频访问可能来自共享出口或自动化任务；大量地址访问同一敏感路径，也值得进一步核验。User-Agent 可以辅助区分浏览器与常见客户端，但它可被伪造，不能单独作为定性依据。若有代理层，还要区分代理地址与经验证的客户端地址。
频率：找突增和重复节奏
按源 IP、路径和时间窗口汇总请求数，检查是否存在短时间内连续重复、固定间隔轮询，或对多个资源进行快速遍历。对比正常时段的分布，比使用脱离业务背景的统一阈值更可靠。留意访问频率与响应状态的组合：大量 401、403 或 404 可能对应登录尝试、权限探测或路径枚举；429 表示请求受到限速，而 5xx 增多也可能是服务压力或依赖故障，不能直接等同于攻击。
行为：观察路径与参数是否合理
检查请求路径的顺序、参数变化和资源类型。正常用户通常会在页面、静态资源及业务接口之间形成一定关联；自动化探测可能表现为连续尝试常见管理入口、随机猜测文件路径，或对同一参数反复变化。Referer 可提供页面来源线索，但可能缺失或伪造。判断时还应与应用路由、公开页面及已知爬虫任务核对，避免把合法接口调用误报为异常。
一套可执行的日志排查步骤
选定异常时间窗，校准日志时区，并确认访问日志是否覆盖相关服务和路径。
按源 IP、请求路径和分钟级窗口统计请求量，找出明显偏离同类时段基线的组合。
抽取高频来源的请求序列，检查状态码、User-Agent、Referer 与参数变化，确认是否存在重复探测或集中失败。
对照业务发布、定时任务、公开爬虫规则和代理配置，排除可解释的流量来源。
将可疑记录与应用日志、认证日志或防火墙记录按时间和请求标识关联；证据不足时先标记为待核实，不直接认定为攻击。
攻击日志如何用于识别流量特征，重点不是找到一个“坏地址”，而是建立可复核的证据链：谁在请求、请求有多密、访问行为是否符合服务用途。记录筛查条件、观察到的模式和排除理由，便于后续复查，也能减少误封正常用户。
常见问题
只看源 IP 能判断是否为攻击吗？
不能。地址可能被共享、代理或伪造，应结合请求频率、路径和响应结果判断。
HTTP 404 很多就代表遭到探测吗？
不一定。链接失效、客户端错误也会产生 404；若大量不同路径被快速、连续尝试，才更需要核查。
日志没有 User-Agent 怎么办？
仍可分析来源、请求时间、路径、参数和状态码；缺少单一字段不妨碍交叉判断，但会减少可用线索。
攻击日志如何用于识别流量特征并减少误报？
以服务自身的历史基线为参照，关联多类日志并核验正常任务，再依据证据分级处置，而不是凭单个字段下结论。