知识卡片
告警只在需要人干预时才响
内容
检测到异常高频请求本身不该直接触发告警——只要防御措施已在生效、用户没有感知到影响，最合适的处理方式就是让系统安静地扛住攻击，不需要打扰任何人。只有当请求量超出系统能承载的上限、或应急防御机制被迫触发时，才是真正需要人介入判断的时刻，也才是该发告警的时刻。把”检测到异常”和”需要告警”这两件事分开，是避免告警疲劳、让响应人员真正在意每一次告警的前提。
参考来源
- 位置：《Google系统架构解密：构建安全可靠的系统》第10章《缓解拒绝服务攻击》10.3.1节监控与告警（源文件：`../OREILY动物书合辑 图灵新版/_epub-src/text/part0014_split_087.html`）
- 结论依据：原文明确要求"确保告警是可操作的。如果没有造成用户可感知到的影响，最好的办法就是扛下攻击流量"，并建议"只有在请求超过了服务可承载的能力且拒绝服务防御措施生效时才发出告警"，网络层攻击同理只在需要人工干预时才告警。
- 原始内容：请确保告警是可操作的。如果没有造成用户可感知到的影响，最好的办法就是扛下攻击流量。我们建议只有在请求超过了服务可承载的能力且拒绝服务防御措施生效时才发出告警。网络层的攻击同样适用上述原则，只有在需要人工干预时才告警。