DDoS攻擊規模/持續時間雙增長，選型誤區導致投資無效。七大誤區深度剖析與最佳實踐：
| 誤區 | 錯誤認知 | 最佳實踐 |
|---|---|---|
| 1. 用防火牆/IPS清洗 | 邊界設備本身是DDoS目標，狀態表耗盡成瓶頸 | 流量清洗中心+BGP路由調度，邊界設備僅做接入 |
| 2. 設備性能遠超出口帶寬 | 100M出口買4G設備，資源浪費 | 本地清洗應用層攻擊，雲端清洗流量型攻擊，按需擴展 |
| 3. 只看硬件指標忽視廠商能力 | 買到「無人值守的硬件盒子」，急用現調試 | 「三分產品技術，七分設計服務」：專家團隊/上游聯動/應急預案 |
| 4. 只看吞吐量忽視小包/正則性能 | 實驗室10G指標，實網小包僅4G | 要求廠商提供真實流量混合測試報告（小包/大包/正則/加密） |
| 5. 忽視清洗後正常流量通過率 | 異常流量佔用資源導致正常業務斷流 | 硬件資源隔離/QoS保障/預設業務流量通道，確保業務連續性 |
| 6. 一攬子要求加速+清洗 | 同一出口處理相互干擾，他人被攻擊波及自己 | 小規模可共用，大規模必須物理/邏輯隔離部署 |
| 7. 清洗節點過近下游且無BGP調度 | 大規模攻擊全鏈路故障，不知找誰 | 服務商需具備AS號/BGP路由調度/DNS全網策略控制能力 |
DDoS清洗非買設備，買的是「可用性承諾」。廠商應急響應能力、上游運營商關係、持續演練機制，比硬件參數更決定生存。