网站攻击风险及构建防护体系

企业线上服务所面临的安全风险，主要来自以下五个方面：

• DDoS攻击

DDoS攻击类型已有20多年历史，它攻击方式简单直接，通过伪造报文直接拥塞企业上联带宽。随着IoT等终端设备增多，网络攻击量也愈发凶猛。根据阿里云安全中心报告显示，在2019年，超过100G的攻击已经比较常见，而且超过 500G 的攻击也已经成为常态。一旦企业服务面临这种情况，上联带宽被打满，正常请求无法承接，就会导致企业服务无法正常提供线上服务。因此，防御DDoS 攻击依然是企业首先要投入去应对的问题。

• CC攻击

相比于四层DDoS攻击伪造报文，CC攻击通过向受害的服务器发送大量请求来耗尽服务器的资源宝库CPU、内存等。常见的方式是访问需要服务器进行数据库查询的相关请求，这种情况想服务器负载以及资源消耗会很快飙升，导致服务器响应变慢甚至不可用。

• Web攻击

常见的 Web 攻击包括SQL 注入、跨站脚本攻击XSS、跨站请求伪造CSRF等。与DDoS和CC以大量报文发起的攻击相比，Web 攻击主要是利用 Web 设计的漏洞达到攻击的目标。一旦攻击行为实施成功，要么网站的数据库内容泄露，或者网页被挂马。数据库内容泄露严重影响企业的数据安全，网页被挂马会影响企业网站的安全形象以及被搜索引擎降权等。

• 恶意爬虫

根据阿里云安全中心的报告数据显示，2019年，恶意爬虫在房产、交通、游戏、电商、资讯论坛等几个行业中的占比都超过50%。恶意爬虫通过去爬取网站核心的内容，比如电商的价格信息等，对信息进行窃取，同时也加重服务器的负担。

• 劫持篡改

劫持和篡改比较常见，当网站被第三方劫持后，流量会被引流到其他网站上，导致网站的用户访问流量减少，用户流失。同时，对于传媒、政务网站来说，内容被篡改会引发极大的政策风险。

企业线上业务需要构建多层次纵深防护

面对愈发严峻的网络安全态势，为了应对以上安全风险，企业在关注线上业务的流畅、稳定的同时，也要构建多层次纵深防护体系，从各个层面建立响应的应对措施和防护机制。

1. 在网络层，需要进行DDoS攻击的清洗和处理，当造成更严重影响需要通过切换IP以及联合黑洞机制去缓解。
2. 在传输层，相较于传统明文传输，通过https的支持去进行传输层面加密，来避免证书伪造。
3. 在应用层，需要进行CC防护、防爬、业务防刷的能力部署，防止恶意攻击者刷带宽的情况发生，避免经济和业务损失。贴近源站的防护方面，需要部署WAF和防篡改，对源站和内容进行防护。

企业需要在网络层、传输层、应用层等多层次构建防护能力，同时在应用层，对于不同场景要有不同防护措施。

基于CDN构建边缘安全+高防中心防护安全架构

基于对纵深防护的理解，阿里云CDN的安全架构是基于CDN分布式节点实现的边缘安全防护机制，同时联动高防清洗中心进行防护。

如下图所示，整体安全架构第一层防护就是构建在全球CDN节点上，将更多安全能力加强在边缘节点上，通过多层次多维度流量数据统计和攻击检测的能力，包括DDoS、HTTP访问信息等数据汇总到安全大脑，安全大脑再对数据进行综合分析，针对不同层次的攻击下发相应的动态防御策略到边缘节点。与此同时，边缘节点自身也会进行自动防御和清洗。另外，整体安全架构将WAF和防篡改能力部署在回源节点上，对攻击到达源站之前进行防御。如果源站希望只在CDN服务之下，不想暴露在公网上，整体架构也会基于CDN提供源站高级防护能力，避免源站被恶意扫描者被发现。

对于金融、政府等场景，需要具备大流量抗D的能力，CDN有海量边缘节点通过自己的调度和清洗能力把大部分DDoS攻击给消化掉。当一旦出现更严重的DDoS攻击时，安全大脑会指导智能调度，将被攻击的流量切换到高级防护节点去清洗。

阿里云CDN安全架构三个核心能力

在以上的CDN安全架构基础之上，赵伟也对DDoS防护智能调度、Web防护以及机器流量管理三个核心能力进行解读。

一、DDoS防护智能调度：边缘节点分布式抗D与高防中心大流量抗D联动

DDoS防护智能调度的策略是，业务流量缺省通过CDN分发，最大程度确保加速效果和用户体验，而当检测到大流量 DDoS 攻击之后，智能调度会判断严重程度并决策由高防进行 DDoS清洗，同时根据攻击情况进行区域调度或全局调度，而当DDoS 攻击停止后，智能调度系统会自动决策将高防服务的业务流量调度回 CDN 边缘节点，尽最大可能的保证正常加速效果。

DDoS防护智能调度最核心就是边缘加速、智能调度、T级防护三块，边缘加速的基础上具备充分的DDoS攻击检测以及智能调度的能力，决策什么时候进行高防去清洗，严重的攻击进入T级防护中心进行清洗。目前方案已经在金融行业、传媒行业沉淀了典型客户。

二、Web防护——八层安全功能，层层过滤恶意请求

Web防护的策略是通过层层过滤，来抵御恶意请求。第一层是精准访问控制，指具体对http请求的拦截策略；第二层是区域封禁，对业务无效区或者异常地域请求进行拦截；第三层IP信誉系统，是利用阿里云多年积累的互联网IP大数据画像，对恶意行为进行分类并对IP进行拦截；第四层是黑名单系统，是对某些UA或者IP进行拦截，以上四层都属于精确拦截；第五层是频次控制，对相对高频且访问异常IP进行拦截；第六层是对于互联网机器流量进行管理，阻断恶意爬虫；第七第八层是WAF和源站高级防护，对于源站进行更深层次的防护。

赵伟认为：CDN边缘节点是最接近互联网用户的，在所有的访问请求中，可能有正常用户的请求，当然也会存在爬虫、注入、跨站的访问请求，经过以上逐层的防护策略，过滤掉相应恶意请求，最终可以达到只有正常请求返回源站的效果。

三、机器流量管理——识别互联网Bot流量，阻断恶意爬虫