评估DDoS防护服务的检测响应时效，不能只看合同上写着“几分钟响应”。这句话可能指系统发现异常、通知客户，也可能指清洗策略开始生效；起点和终点不同，时长就不能直接比较。应先拆开各个环节，再用相同攻击特征、观测位置和计时规则核对承诺与实测。
先问清“响应”具体指什么
DDoS处置常包含检测、告警、人工确认、启动缓解和业务恢复。服务商承诺的时限，应明确对应其中哪一步。“已通知”不等于“已缓解”，“清洗已启动”也不必然代表所有用户都能正常访问。
- 检测时延：流量或行为达到约定条件，到系统判定异常的时间。
- 告警时延：异常判定后，到通知送达指定联系人或平台的时间。
- 缓解时延：确认事件后，到清洗规则、访问控制或其他约定措施生效的时间。
- 恢复时延：到关键业务指标回到双方约定范围的时间；它受攻击持续变化、源站容量和网络路径影响，通常不宜与服务商单方处置时间混为一谈。
服务协议或SLA（服务等级协议）应写明适用范围、起算条件、暂停计时情形、通知方式和排除项。若条款只写“快速响应”，却没定义终点，就难以据此验收。
把承诺改成可核对的时间线
为评估DDoS防护服务的检测响应时效，可为每个事件保存一组时间戳：异常流量首次出现、系统首次告警、服务商确认、缓解措施启用、业务指标恢复。统一使用可校准的时钟，并标明时区；日志若来自不同设备，还要记录时钟同步情况。
| 环节 | 应记录什么 | 核对重点 |
|---|---|---|
| 检测与告警 | 监控平台事件时间、邮件或工单送达时间 | 起点是否按合同定义；告警是否发给正确联系人 |
| 确认与处置 | 服务台受理时间、处置动作及生效时间 | 人工确认是否另计时；是否需要客户先批准 |
| 业务恢复 | 请求成功率、连接情况、源站负载等 | 判断恢复是否稳定，而非只看单次探测 |
例如，假设记录显示10:02出现达到约定条件的异常流量，10:03发出告警，10:05确认事件，10:08:30缓解策略生效，那么告警等待约1分钟、确认等待约2分钟、从异常出现到策略生效约6分30秒。这只是计算示例，不代表任何服务商的实际表现。对照合同前，先确认合同计时是从异常出现还是事件确认开始。
怎样安排有意义的实测
不要为测时延而向公网发起真实攻击。此类测试可能影响第三方网络或自身业务。更稳妥的做法是通过服务商认可的演练环境、模拟告警或桌面推演验证流程；若需验证真实流量处置，应事先取得授权，限定目标、时间、流量上限和停止条件。
- 把合同中的检测阈值、响应定义、联系人和计时规则整理成清单，未写清的先要求书面澄清。
- 选定安全的演练方式，明确哪些环节能产生可验证的事件记录，哪些只是流程演练。
- 同步记录服务商控制台、工单系统、通知渠道及自有监控的时间戳，并保存事件编号。
- 按环节计算时长，分别比较承诺值与实测值；注明测试条件、网络路径和是否经过人工审批。
- 重复不同时间段或不同约定场景的演练，检查通知链路和操作是否稳定，不用单次结果推断长期表现。
比较服务商时，别只盯一个数字
检测较快但通知渠道不可靠，处置仍可能延误；自动缓解启动快，也要核查误报处理和回退方式。还应问清流量是否先经过清洗中心、异常是否需要客户确认，以及触发黑洞路由等措施的条件和影响。黑洞路由可能通过丢弃目标流量保护网络，但也会使目标地址无法正常提供服务，不能简单视作业务恢复。
比较时把承诺和实测放在同一张表里：分别列出计时定义、目标时长、演练结果、证据来源和例外条件。若某项结果超出承诺，先查是否用了不同起点、通知送达延迟或审批等待；若口径一致，再要求服务商说明原因及改进措施。这样评估DDoS防护服务的检测响应时效，才是在比较可兑现的流程，而不只是宣传数字。
常见问题
合同只承诺“告警时间”，够不够？
不够。告警时限只覆盖通知环节，应另外确认确认、缓解及恢复如何定义、是否承诺时限。
一次演练达标，能说明长期可靠么？
不能。单次结果只能说明该次条件下的表现；还要检查不同时间和流程情形，并留存记录。
怎样避免不同系统的时间戳对不上？
为日志注明时区并校准设备时钟；若存在同步误差，应记录误差范围，不要把秒级差异当成确定结论。
评估时延最重要的结论是什么？
把检测、告警、确认、缓解分开对照，明确证据和例外条件，再判断服务商承诺是否与实测口径一致。
