标签：异常流量

1.总体目标与检测原则 - 目标：尽快识别对日本站群（多IP）造成异常流量的源头与模式，保证站点可用性并最小化误封率。 - 原则：先检测再阻断，优先做流量采样与分类，保留证据用于追溯与报警。 - 指标：基线请求率（RPS）、连接数（ESTABLISHED）、异常峰值（RPS峰值/基线比）作为关键阈值。 - 时间窗口：分钟级监控（1/5/15分钟