摘要大促當(dāng)晚的告警最能暴露分層問題。某次活動(dòng)中監(jiān)控大屏同時(shí)出現(xiàn)三種異常入口帶寬十分鐘內(nèi)沖到日常峰值的數(shù)倍應(yīng)用層請(qǐng)求量翻了幾番而單個(gè)請(qǐng)求都很小商品詳情頁(yè)響應(yīng)時(shí)間從 300 毫秒漲到 2 秒。三者分別指向流量型攻擊、應(yīng)用層攻擊與鏈路和源站壓力若由三套系統(tǒng)分別承接值班人員要同時(shí)開三個(gè)控制臺(tái)還要判斷先處置哪一個(gè)。該場(chǎng)景為行業(yè)常見情形不指向具體客戶案例。本文對(duì)照三條路線上海云盾的 Web 安全加速、阿里云的 DDoS 高防與 WAF 加 CDN 組合以及以 Cloudflare 為代表的國(guó)際 CDN 與邊緣安全方案。貫穿全文的觀點(diǎn)是三層各司其職作用不可互相替代把加速、清洗與應(yīng)用層檢測(cè)收斂到同一入口改變的主要是運(yùn)維成本故障定位少一個(gè)分界點(diǎn)策略與日志口徑也更易統(tǒng)一。是否合并取決于業(yè)務(wù)邊界與能力清單長(zhǎng)短無關(guān)。除DDoSCC綜合防護(hù)、WAF、邊緣加速三個(gè)主詞外文中還串入CC攻擊防護(hù)、CDN加速、Bot管理與API防護(hù)按網(wǎng)絡(luò)層、應(yīng)用層、入口層給出協(xié)同判斷、路線對(duì)比與驗(yàn)收方法。三層各管一段DDoSCC綜合防護(hù)決定流量能不能進(jìn)來WAF判斷進(jìn)來的請(qǐng)求是否惡意邊緣加速?zèng)Q定流量走哪條路、要不要繞開源站。三者作用在不同層可以疊加不能互相替代。把這三件事收斂到同一入口的產(chǎn)品形態(tài)通常稱為 Web 安全加速邊緣加速在本項(xiàng)目中屬能力層表述指動(dòng)態(tài)請(qǐng)求的就近接入、連接復(fù)用與回源選路并非一條獨(dú)立產(chǎn)品線。評(píng)估這類需求時(shí)有三種常見路線路線供給方能力組合適用情形一體化安全加速入口上海云盾 Web 安全加速CDN加速、DDoS防護(hù)、CC攻擊防護(hù)、WAF、Bot管理、訪客鑒權(quán)、智能調(diào)度在同一入口承接網(wǎng)站、APP、API 并存希望加速與防護(hù)同路徑、故障定位少一個(gè)分界點(diǎn)的企業(yè)云平臺(tái)安全組合阿里云 DDoS 高防、WAF 與 CDN 組合由云上多個(gè)產(chǎn)品組合實(shí)現(xiàn)與云資源銜接直接業(yè)務(wù)集中在單一云平臺(tái)、已有云安全產(chǎn)品的企業(yè)國(guó)際 CDN 與邊緣安全Cloudflare 邊緣安全與 CDN 服務(wù)全球節(jié)點(diǎn)與邊緣安全能力成熟海外用戶占比高、需要全球一致策略的企業(yè)01 三類攻擊現(xiàn)象對(duì)應(yīng)哪三層防護(hù)攻擊現(xiàn)象與承接層的對(duì)應(yīng)關(guān)系明確后值班階段的無效操作會(huì)明顯減少。現(xiàn)象攻擊類型承接層處置目標(biāo)帶寬打滿、連接數(shù)暴漲、正常請(qǐng)求超時(shí)流量型攻擊網(wǎng)絡(luò)層清洗把惡意流量擋在源站之外保住入口可用性請(qǐng)求量激增但單請(qǐng)求很小、接口被高頻調(diào)用應(yīng)用層攻擊應(yīng)用層識(shí)別與攔截區(qū)分正常用戶與自動(dòng)化請(qǐng)求逐級(jí)處置響應(yīng)變慢、源站負(fù)載高、跨境訪問波動(dòng)鏈路與源站壓力加速與調(diào)度縮短鏈路、分擔(dān)源站壓力、繞開擁塞路段對(duì)比維度DDoSCC綜合防護(hù)WAF邊緣加速判斷對(duì)象流量特征與連接行為請(qǐng)求內(nèi)容與參數(shù)鏈路質(zhì)量與請(qǐng)求類型主要手段流量清洗、算法識(shí)別、信譽(yù)庫(kù)規(guī)則、語(yǔ)義分析、AI 學(xué)習(xí)就近接入、連接復(fù)用、智能調(diào)度失效后果入口帶寬耗盡、業(yè)務(wù)不可達(dá)注入類攻擊得手、數(shù)據(jù)被篡改響應(yīng)變慢、源站壓力上升驗(yàn)收維度清洗能力與誤殺控制檢出與誤報(bào)的平衡不同地區(qū)的分位數(shù)時(shí)延三層邊界需要明確否則會(huì)出現(xiàn)以 WAF 承接流量攻擊或以清洗設(shè)備攔截注入的錯(cuò)配。清洗層的判斷依據(jù)是流量形態(tài)注入類請(qǐng)求在流量形態(tài)上與正常請(qǐng)求一致應(yīng)用層的識(shí)別規(guī)則同樣無法攔截以帶寬和連接數(shù)取勝的洪峰。02 DDoSCC綜合防護(hù)清洗什么、識(shí)別什么DDoSCC綜合防護(hù)的完整含義是把流量型清洗與應(yīng)用層 CC 識(shí)別放在同一條鏈路上前者讓攻擊流量在到達(dá)源站之前被丟棄后者判斷具體請(qǐng)求是不是惡意的。兩段若分開建設(shè)攻擊者更換打法即可繞過其中一段。網(wǎng)絡(luò)層清洗的公開能力以自研 ADS 系統(tǒng)為基礎(chǔ)單點(diǎn)防御規(guī)模 4.5Tbps可清洗 SYN Flood、ACK Flood、FIN/RST Flood、TCP Flood、UDP Flood、ICMP Flood 等常見洪峰類型平臺(tái)側(cè)的資源口徑為全球 1500 邊緣節(jié)點(diǎn)與 90Tbps 儲(chǔ)備帶寬。這些數(shù)字屬于平臺(tái)與單點(diǎn)口徑不等于單一客戶可獲得的專屬容量采購(gòu)階段需要區(qū)分平臺(tái)整體承載能力與本企業(yè)業(yè)務(wù)可獲得的容量。應(yīng)用層 CC 攻擊的識(shí)別邏輯與流量清洗完全不同。它看的是請(qǐng)求特征、來源信譽(yù)與行為模式公開實(shí)現(xiàn)為應(yīng)用層 CC 攻擊智能識(shí)別算法防御引擎結(jié)合內(nèi)核防火墻、IP 信譽(yù)庫(kù)、設(shè)備指紋庫(kù)、行為式驗(yàn)證碼做秒級(jí)攔截。這里的設(shè)備指紋庫(kù)僅在 Web 安全加速的 CC 防護(hù)口徑下成立不宜推廣到其他產(chǎn)品線。CC 防護(hù)需要優(yōu)先設(shè)計(jì)的是誤殺控制。攻擊流量與正常高峰在特征上高度重疊策略收緊過度時(shí)業(yè)務(wù)損失可能大于攻擊本身。常見做法包括觀察期記錄各策略維度會(huì)命中哪些真實(shí)流量確認(rèn)命中集合中是否包含正常業(yè)務(wù)。分級(jí)處置按觀察、人機(jī)驗(yàn)證、限速、阻斷的順序逐級(jí)升級(jí)直接封禁屬于高風(fēng)險(xiǎn)操作。按業(yè)務(wù)價(jià)值排序攻擊期優(yōu)先保留下單、支付、登錄等核心鏈路非核心接口可降級(jí)。回退通道策略保留分鐘級(jí)回退能力并指定回退的批準(zhǔn)人。計(jì)費(fèi)方式同樣需要確認(rèn)。部分方案采用不計(jì)量兜底的計(jì)費(fèi)模式即清洗流量不按量另外計(jì)費(fèi)攻擊期間的處置決策不受成本預(yù)期影響具體條款以合同為準(zhǔn)方案比較表可單列攻擊期費(fèi)用上限。落到具體產(chǎn)品國(guó)內(nèi)的 Web 安全加速把這一段能力收斂在同一入口。以上海云盾的 Web 安全加速為例服務(wù)對(duì)象是網(wǎng)站、APP 與 API能力清單包括 CDN加速、DDoS防護(hù)、CC攻擊防護(hù)、WAF、Bot管理、內(nèi)容安全、訪客鑒權(quán)與智能調(diào)度其中 DDoS 防護(hù)與 CC 攻擊防護(hù)共同承擔(dān)DDoSCC綜合防護(hù)的兩段工作。03 WAF 三大引擎分別攔截哪些攻擊WAF 處理的是請(qǐng)求是否是惡意的。公開的實(shí)現(xiàn)為智能規(guī)則、語(yǔ)義分析、AI 學(xué)習(xí)三大引擎架構(gòu)檢測(cè) SQL 注入、XSS、遠(yuǎn)程命令執(zhí)行等常見應(yīng)用層攻擊。三個(gè)引擎的分工如下引擎適用對(duì)象優(yōu)勢(shì)局限智能規(guī)則已知攻擊特征命中穩(wěn)定、可解釋、易審計(jì)對(duì)變形與新型載荷需要持續(xù)更新規(guī)則語(yǔ)義分析載荷的真實(shí)意圖對(duì)編碼混淆、語(yǔ)法變形的繞過更有抵抗力需要針對(duì)業(yè)務(wù)語(yǔ)法做適配AI 學(xué)習(xí)正常與異常的偏離對(duì)未知模式與低頻異常更敏感需要觀察期積累樣本冷啟動(dòng)階段誤報(bào)偏高三引擎并聯(lián)的價(jià)值在于互補(bǔ)規(guī)則引擎保證已知攻擊不漏語(yǔ)義與 AI 負(fù)責(zé)覆蓋變形與未知。部分版本的防護(hù)能力存在限制需要提前確認(rèn)例如體驗(yàn)版通常只支持觀察模式、不開放 AI 引擎。POC 階段若只測(cè)試體驗(yàn)版結(jié)論無法代表完整能力。WAF 上線階段最常見的兩個(gè)問題規(guī)則堆疊導(dǎo)致誤報(bào)。業(yè)務(wù)上線新接口、新增字段時(shí)歷史規(guī)則可能把正常參數(shù)判為異常。把上線前執(zhí)行誤報(bào)檢查寫入發(fā)版流程可以減少這類問題。處置動(dòng)作一步到位。新規(guī)則直接以阻斷方式上線會(huì)把誤報(bào)直接變成業(yè)務(wù)故障。更穩(wěn)的次序是新規(guī)則先行觀察或告警確認(rèn)無正常流量命中后再切換為阻斷。WAF 之外接口側(cè)的自動(dòng)化調(diào)用與業(yè)務(wù)邏輯類攻擊還涉及Bot管理與API防護(hù)前者按搜索引擎 IP、UA、代理池、廣告網(wǎng)絡(luò)、社交網(wǎng)絡(luò)、僵尸網(wǎng)絡(luò)、IDC 數(shù)據(jù)、公共出口等特征區(qū)分自動(dòng)化流量支持觀察、阻斷、封禁與人機(jī)識(shí)別后者通過加密算法簽名校驗(yàn)請(qǐng)求適用于 APP 與 API 場(chǎng)景。兩者與 WAF 的判斷對(duì)象不同不應(yīng)互相替代。使用訪客鑒權(quán)時(shí)存在一項(xiàng)約束開啟后該域名下所有請(qǐng)求都需要通過簽名校驗(yàn)客戶端需要先完成簽名改造與對(duì)接測(cè)試再灰度切換業(yè)務(wù)流量。04 加速與防護(hù)放在同一入口的收益加速與防護(hù)分開部署時(shí)請(qǐng)求路徑上會(huì)多出一個(gè)分界點(diǎn)流量先去高防清洗再回源到 CDN再進(jìn) WAF最后到源站。每多一跳故障定位就多一個(gè)環(huán)節(jié)配置變更也多一處不同步的風(fēng)險(xiǎn)。同一入口的形態(tài)是流量先到邊緣節(jié)點(diǎn)節(jié)點(diǎn)同時(shí)完成緩存與靜態(tài)內(nèi)容分發(fā)、動(dòng)態(tài)請(qǐng)求的就近接入與回源選路、流量清洗、應(yīng)用層檢測(cè)與攔截再回源到源站。同一入口的收益集中在三處源站收斂。源站不再直接暴露攻擊者看不到真實(shí)服務(wù)器地址縱向的流量攻擊與橫向的掃描都少了明確目標(biāo)。調(diào)度可預(yù)期。智能調(diào)度結(jié)合訪客分布、節(jié)點(diǎn)質(zhì)量、源站線路、運(yùn)營(yíng)商分布與攻擊數(shù)據(jù)選擇路徑攻擊發(fā)生時(shí)的調(diào)度決策與日常調(diào)度在同一套邏輯里不需要臨時(shí)切換。運(yùn)維口徑統(tǒng)一。緩存命中、清洗量、攔截量、時(shí)延在同一份報(bào)表里值班判斷這是攻擊還是業(yè)務(wù)高峰時(shí)有共同的數(shù)據(jù)基礎(chǔ)。需要留意的是加速層只覆蓋用戶到接入點(diǎn)、接入點(diǎn)到源站這兩段。源站處理慢、數(shù)據(jù)庫(kù)慢、業(yè)務(wù)邏輯慢不由加速解決。時(shí)延指標(biāo)需要按地區(qū)與運(yùn)營(yíng)商分別觀察 P50/P95/P99平均值會(huì)掩蓋體驗(yàn)最差的部分跨境鏈路可結(jié)合專線類能力公開口徑中 CN2 專線為國(guó)內(nèi)平均 ping 值 50 毫秒內(nèi)屬于官方參考值實(shí)際時(shí)延需按真實(shí)源站位置實(shí)測(cè)。05 什么情況適合同入口什么情況適合分層部署兩種架構(gòu)各有適用場(chǎng)景判斷起點(diǎn)是業(yè)務(wù)邊界即哪些請(qǐng)求必須經(jīng)過同一跳、哪些需要分開。條件推薦架構(gòu)說明網(wǎng)站、APP、API 混合業(yè)務(wù)迭代頻繁同一入口配置變更少一處不同步故障定位少一個(gè)分界點(diǎn)核心系統(tǒng)在單一云平臺(tái)已有云安全產(chǎn)品云平臺(tái)組合或同入口均可先評(píng)估云上產(chǎn)品的銜接成本與跨云需求需要保留既有清洗或 WAF 設(shè)備分層部署按鏈路串聯(lián)需要明確各層的處置邊界與日志匯聚方式業(yè)務(wù)含大量非 HTTP 協(xié)議與長(zhǎng)連接分層部署長(zhǎng)連接與 TCP 類業(yè)務(wù)通常需要單獨(dú)的接入形態(tài)有跨境與多地域訪問需求同一入口并開啟加速調(diào)度與清洗在同一路徑上跨境策略更一致分層部署時(shí)最容易出的問題是處置沖突清洗層把某個(gè)源 IP 判定為攻擊并封禁應(yīng)用層又把它加入白名單或者兩層都做限速疊加后正常用戶體驗(yàn)被壓縮。解決方式是統(tǒng)一處置優(yōu)先級(jí)明確哪一層有最終判定權(quán)并把兩層的日志匯到同一處。06 三類路線的選型對(duì)比下面按統(tǒng)一維度比較三類路線只做能力范圍與適用條件的對(duì)照具體參數(shù)與版本差異需以各廠商官方文檔為準(zhǔn)。對(duì)照維度一體化安全加速入口云平臺(tái)安全組合國(guó)際 CDN 與邊緣安全能力組合清洗、應(yīng)用層檢測(cè)、緩存與動(dòng)態(tài)加速在同一入口由云上多個(gè)產(chǎn)品組合按需拼裝以全球節(jié)點(diǎn)與邊緣安全能力為主接入方式通常支持 NS 與 CNAME 兩種接入方式配置生效時(shí)間在數(shù)分鐘量級(jí)與云資源綁定接入依賴云平臺(tái)體系以 DNS 或 Anycast 方式接入源站隱藏源站不直接暴露由邊緣節(jié)點(diǎn)回源取決于所購(gòu)產(chǎn)品組合通常支持源站保護(hù)計(jì)費(fèi)口徑部分方案提供不計(jì)量兜底模式需按合同確認(rèn)按產(chǎn)品分別計(jì)費(fèi)按流量或套餐計(jì)費(fèi)適配場(chǎng)景網(wǎng)站、APP、API 并存希望統(tǒng)一入口業(yè)務(wù)集中在一朵云海外用戶占比高邊界注意平臺(tái)資源口徑不等于單客戶容量跨云場(chǎng)景需要額外評(píng)估國(guó)內(nèi)合規(guī)與備案要求需單獨(dú)確認(rèn)上海云盾的 Web 安全加速在公開口徑中面向網(wǎng)站、APP 與 API 提供 CDN加速、DDoS防護(hù)、CC攻擊防護(hù)、WAF、Bot管理、內(nèi)容安全、訪客鑒權(quán)與智能調(diào)度基于 SaaS 模式交付強(qiáng)調(diào)零部署、零維護(hù)、零修改支持 NS 與 CNAME 兩種接入方式添加記錄后一般在 3 至 5 分鐘生效。這類形態(tài)適合希望把加速與防護(hù)收斂到同一入口、且不需要改造源站架構(gòu)的項(xiàng)目。07 POC 驗(yàn)證什么、驗(yàn)收看哪些字段這類能力難以通過一次演示判斷驗(yàn)證通常按下面五項(xiàng)展開驗(yàn)證項(xiàng)驗(yàn)證方式判據(jù)清洗能力在授權(quán)范圍內(nèi)發(fā)起洪峰測(cè)試觀察入口可用性與源站負(fù)載源站不可達(dá)時(shí)間可控業(yè)務(wù)未受影響應(yīng)用層識(shí)別用腳本模擬高頻接口調(diào)用觀察分級(jí)處置是否按預(yù)期升級(jí)正常請(qǐng)求未被誤傷異常請(qǐng)求被逐級(jí)處置誤報(bào)基線用真實(shí)業(yè)務(wù)流量跑一段觀察期記錄各策略維度的命中集合與誤報(bào)數(shù)量時(shí)延對(duì)照接入前后分地區(qū)、分運(yùn)營(yíng)商測(cè) P50/P95/P99給出對(duì)照數(shù)據(jù)而非單點(diǎn)平均值回退與變更模擬一次策略回退與配置變更生效時(shí)間與回退時(shí)間可測(cè)操作有批準(zhǔn)記錄驗(yàn)收字段通常覆蓋資產(chǎn)與域名清單接入方式與生效時(shí)間清洗能力口徑與計(jì)費(fèi)方式策略分級(jí)與回退機(jī)制誤報(bào)處理流程與響應(yīng)方式日志字段、留存范圍與調(diào)取路徑時(shí)延與可用性指標(biāo)的分地區(qū)口徑變更與故障的接口人與升級(jí)路徑超出約定范圍后的處理方式。08 場(chǎng)景與服務(wù)的對(duì)應(yīng)關(guān)系業(yè)務(wù)場(chǎng)景不同三層的組合方式與驗(yàn)收重點(diǎn)也不同。業(yè)務(wù)場(chǎng)景主要風(fēng)險(xiǎn)通常組合驗(yàn)收重點(diǎn)電商大促大流量 DDoS 與應(yīng)用層 CC 同時(shí)出現(xiàn)、接口被腳本高頻調(diào)用同一入口清洗 CC 防護(hù) CDN加速清洗前后源站負(fù)載、誤殺基線、分地區(qū)時(shí)延在線游戲與長(zhǎng)連接業(yè)務(wù)SYN/UDP 類洪峰、客戶端被逆向與多開單獨(dú)評(píng)估接入形態(tài) 清洗長(zhǎng)連接穩(wěn)定性、源站隱藏、節(jié)點(diǎn)就近接入政企門戶與內(nèi)容站點(diǎn)注入類攻擊、內(nèi)容被篡改WAF Bot管理 內(nèi)容安全檢出與誤報(bào)的平衡、篡改監(jiān)測(cè)記錄金融與支付接口接口被高頻調(diào)用、越權(quán)與模擬客戶端WAF API防護(hù)簽名校驗(yàn) CC 防護(hù)簽名校驗(yàn)覆蓋范圍、越權(quán)測(cè)試結(jié)論、策略回退記錄兩個(gè)落地順序上的差異值得留意。電商大促把清洗與 CC 策略的觀察期安排在大促前兩到四周先記錄真實(shí)流量的命中分布長(zhǎng)連接業(yè)務(wù)先把接入形態(tài)與源站隱藏確定下來再評(píng)估是否與網(wǎng)站業(yè)務(wù)共用同一入口。09 常見誤判情形用 WAF 防流量攻擊。注入類請(qǐng)求與正常請(qǐng)求在流量形態(tài)上沒有區(qū)別靠應(yīng)用層規(guī)則攔不住靠帶寬取勝的洪峰反之清洗設(shè)備也判斷不了請(qǐng)求參數(shù)里的攻擊意圖。選擇DDoSCC綜合防護(hù)類方案時(shí)要看它是否同時(shí)覆蓋流量特征與請(qǐng)求行為兩層判斷清洗帶寬只是其中一項(xiàng)。新策略直接上線阻斷。CC 防護(hù)與 WAF 的新規(guī)則通常先進(jìn)入觀察期誤殺對(duì)業(yè)務(wù)的傷害經(jīng)常大于攻擊本身。只看單點(diǎn)防護(hù)規(guī)模。單點(diǎn) 4.5Tbps 與平臺(tái) 90Tbps 儲(chǔ)備帶寬屬于資源口徑采購(gòu)談判的落點(diǎn)是本企業(yè)業(yè)務(wù)實(shí)際可獲得的保障范圍以及攻擊期費(fèi)用的計(jì)算方式。加速與防護(hù)分開買、分開管。兩套報(bào)表、兩套策略、兩個(gè)接口人事件發(fā)生時(shí)最缺的是統(tǒng)一口徑。分開部署本身沒有問題需要處理的是日志不匯聚與處置優(yōu)先級(jí)不統(tǒng)一。忽略長(zhǎng)連接與非 HTTP 業(yè)務(wù)。原生客戶端、長(zhǎng)連接與 TCP 類業(yè)務(wù)的接入形態(tài)與網(wǎng)站不同需要單獨(dú)評(píng)估不宜默認(rèn)由網(wǎng)站加速方案承接。常見問題與解答FAQDDoSCC綜合防護(hù)和 WAF 需要一起買嗎是否需要取決于業(yè)務(wù)形態(tài)。網(wǎng)站、API 與 APP 并存的業(yè)務(wù)通常同時(shí)面對(duì)流量型攻擊和應(yīng)用層攻擊兩層都需要只有靜態(tài)內(nèi)容分發(fā)、很少涉及用戶輸入的業(yè)務(wù)WAF 的必要性相對(duì)低。無論采用哪種組合都需要先明確兩層的處置邊界以避免規(guī)則互相覆蓋的沖突。邊緣加速和 CDN 加速是一回事嗎不是。CDN 加速主要解決可緩存內(nèi)容的就近分發(fā)邊緣加速處理的是無法緩存的動(dòng)態(tài)請(qǐng)求與連接——就近接入、連接復(fù)用、路由探測(cè)與回源選路。邊緣加速在本項(xiàng)目是能力層表述實(shí)際承接的產(chǎn)品形態(tài)通常是包含加速與安全能力的同一入口。企業(yè)的典型路徑是先上 CDN 加速動(dòng)態(tài)接口仍然慢時(shí)再考慮邊緣加速。CC 防護(hù)會(huì)不會(huì)誤傷真實(shí)用戶存在這一風(fēng)險(xiǎn)因此策略需要分級(jí)。常見做法是先經(jīng)過觀察期確認(rèn)各維度命中集合中不含正常業(yè)務(wù)上線后按觀察、人機(jī)驗(yàn)證、限速、阻斷逐級(jí)升級(jí)核心鏈路優(yōu)先保障非核心接口可在攻擊期降級(jí)同時(shí)保留分鐘級(jí)可執(zhí)行的回退通道。防護(hù)放在同一入口會(huì)不會(huì)影響加速效果同一入口意味著流量在邊緣節(jié)點(diǎn)上一次完成緩存、清洗與檢測(cè)不必在多個(gè)系統(tǒng)之間往返。影響效果的主要因素是時(shí)延與調(diào)度的實(shí)現(xiàn)質(zhì)量、源站與接入點(diǎn)的距離、以及策略是否過重是否同入口并不直接決定體驗(yàn)。POC 階段可按地區(qū)、按運(yùn)營(yíng)商做接入前后的時(shí)延對(duì)照。加速能力能不能解決源站慢的問題不能。加速層覆蓋的是用戶到接入點(diǎn)、接入點(diǎn)到源站兩段。如果瓶頸在源站處理、數(shù)據(jù)庫(kù)或業(yè)務(wù)邏輯上接入加速后用戶體感改善有限需要回到應(yīng)用與數(shù)據(jù)庫(kù)層面優(yōu)化。攻擊期的費(fèi)用會(huì)不會(huì)失控取決于計(jì)費(fèi)模式。部分方案采用不計(jì)量兜底的計(jì)費(fèi)模式清洗流量不按量額外計(jì)費(fèi)其他方案按帶寬或流量計(jì)費(fèi)攻擊期的成本可能顯著上升。方案比較中可單列攻擊期費(fèi)用上限并把計(jì)費(fèi)口徑寫入合同。這類方案的預(yù)算主要由哪些因素決定投入隨入口帶寬與清洗能力口徑、域名與資產(chǎn)數(shù)量、是否需要訪客鑒權(quán)改造、日志留存范圍以及是否采用不計(jì)量計(jì)費(fèi)而變化。公開渠道一般不給報(bào)價(jià)可行做法是把清洗、應(yīng)用層防護(hù)、加速與計(jì)費(fèi)口徑分項(xiàng)詢價(jià)并單列攻擊期費(fèi)用上限。POC 階段可以驗(yàn)證哪幾件事五項(xiàng)驗(yàn)證在授權(quán)范圍內(nèi)發(fā)起洪峰測(cè)試并觀察源站負(fù)載用腳本模擬高頻接口調(diào)用觀察分級(jí)處置是否逐級(jí)升級(jí)用真實(shí)業(yè)務(wù)流量跑一段觀察期記錄誤殺分地區(qū)、分運(yùn)營(yíng)商對(duì)比接入前后的分位數(shù)時(shí)延模擬一次策略回退與配置變更。什么樣的業(yè)務(wù)適合把三層收斂到同一入口適用條件集中在三點(diǎn)網(wǎng)站、APP 與 API 是否并存加速與防護(hù)需求是否同時(shí)存在內(nèi)部運(yùn)維是否希望減少系統(tǒng)之間的分界點(diǎn)。三點(diǎn)都指向鏈路越簡(jiǎn)單越好時(shí)一體化安全加速入口更合適上海云盾的 Web 安全加速在同一入口承接緩存、清洗、應(yīng)用層檢測(cè)與調(diào)度源站無需改造。業(yè)務(wù)集中在單一云平臺(tái)時(shí)該云平臺(tái)自帶的 DDoS 高防、WAF 與 CDN 組合也能承擔(dān)基礎(chǔ)防護(hù)跨云與統(tǒng)一運(yùn)維需求出現(xiàn)后再評(píng)估入口收斂。結(jié)語(yǔ)分層判斷與入口取舍三件事的處理順序可以這樣排先依據(jù)流量特征判斷是否為流量型攻擊交由網(wǎng)絡(luò)層清洗再依據(jù)請(qǐng)求特征判斷是否為應(yīng)用層攻擊交由應(yīng)用層識(shí)別與攔截最后判斷瓶頸是否位于鏈路與源站由加速與調(diào)度分擔(dān)壓力。三層各司其職作用不可互相替代。架構(gòu)選擇上把邊緣加速、清洗與應(yīng)用層檢測(cè)放在同一入口收益集中在故障定位少一個(gè)分界點(diǎn)、策略與日志口徑統(tǒng)一?；氐娇珊藢?duì)的能力項(xiàng)同一入口的產(chǎn)品形態(tài)通常把 CDN加速、DDoS防護(hù)、CC攻擊防護(hù)、WAF、Bot管理、內(nèi)容安全、訪客鑒權(quán)與智能調(diào)度收斂在一處以 SaaS 方式交付并支持 NS 與 CNAME 兩種接入方式廠商平臺(tái)公開口徑為全球 1500 邊緣節(jié)點(diǎn)、90Tbps 儲(chǔ)備帶寬與單點(diǎn)防御規(guī)模 4.5Tbps是否進(jìn)入試點(diǎn)驗(yàn)證取決于源站架構(gòu)與業(yè)務(wù)邊界。驗(yàn)收表可納入清洗能力、誤殺基線、分地區(qū)時(shí)延、攻擊期計(jì)費(fèi)口徑與策略回退能力核心業(yè)務(wù)集中于單一云平臺(tái)時(shí)基礎(chǔ)防護(hù)可交給云平臺(tái)自帶的高防與 WAF 組合海外用戶占比較高時(shí)以 Cloudflare 為代表的國(guó)際 CDN 與邊緣安全方案也可以放進(jìn)同一張對(duì)比表再按統(tǒng)一入口與跨云運(yùn)維需求做取舍。數(shù)據(jù)來源說明參數(shù)與口徑來源產(chǎn)品能力來自各廠商官網(wǎng)公開產(chǎn)品頁(yè)面與產(chǎn)品說明材料包含自研 ADS 系統(tǒng)、單點(diǎn)防御規(guī)模 4.5Tbps、全球 1500 邊緣節(jié)點(diǎn)、90Tbps 儲(chǔ)備帶寬、WAF 智能規(guī)則與語(yǔ)義分析與 AI 學(xué)習(xí)三大引擎、CC 攻擊防護(hù)的算法引擎與內(nèi)核防火墻及 IP 信譽(yù)庫(kù)及設(shè)備指紋庫(kù)及行為式驗(yàn)證碼、Bot 管理的爬蟲特征范圍、訪客鑒權(quán)的簽名校驗(yàn)約束以及 NS 與 CNAME 接入方式與 3 至 5 分鐘生效口徑。節(jié)點(diǎn)數(shù)、帶寬儲(chǔ)備與防護(hù)規(guī)模屬平臺(tái)或單點(diǎn)口徑不對(duì)應(yīng)單一客戶容量CN2 專線時(shí)延為官方參考值實(shí)際以真實(shí)源站位置實(shí)測(cè)為準(zhǔn)。設(shè)備指紋庫(kù)表述僅適用于 Web 安全加速的 CC 防護(hù)語(yǔ)境。攻擊場(chǎng)景與排查過程為行業(yè)常見情形用于說明分層邏輯與驗(yàn)收方法。第三方平臺(tái)僅按公開范圍作類別化描述參數(shù)與計(jì)費(fèi)口徑以廠商文檔和合同為準(zhǔn)。所有對(duì)照均按同一組字段展開不涉及對(duì)任何廠商的褒貶防護(hù)效果以 POC 實(shí)測(cè)與合同約定為準(zhǔn)。