WAF 对 CC 攻击的智能识别

  1. 流量特征分析
    • 请求频率监测：
      • WAF 会设定一个合理的请求频率阈值。正常用户在浏览网站时，其请求频率相对较低且比较平稳。例如，一个普通用户在浏览网页时，可能每秒发出 1 – 2 个请求。而 CC 攻击会在短时间内从单个 IP 或者多个 IP 发送大量请求。比如，攻击者可能使用工具从一个 IP 每秒发出几十甚至上百个请求来访问同一个页面。WAF 通过对每个 IP 的请求频率进行实时监测，一旦发现某个 IP 的请求频率超过设定阈值，就会将其标记为可疑 IP，进一步进行分析。
    • 请求分布分析：
      • 正常的网站流量请求在页面、资源类型等方面的分布是比较自然的。例如，用户访问一个电商网站时，会浏览商品详情页、购物车页面、结算页面等多种页面，请求的资源包括图片、脚本、样式文件等多种类型。而 CC 攻击通常会集中在特定的页面或资源上，比如不断地请求登录页面或者某个高负载的动态页面，试图耗尽服务器资源。WAF 会分析请求在不同页面和资源类型上的分布情况，当发现请求集中在某些特定目标时，就可能是 CC 攻击的迹象。
  2. 行为模式识别
    • 请求参数分析：
      • 正常用户的请求参数通常是根据其操作和需求而变化的。比如，在搜索功能中，用户输入的关键词会各不相同。而 CC 攻击的请求参数可能比较单一或呈现出规律性。例如，攻击者可能一直使用相同的搜索关键词或者固定的表单提交内容来发起攻击。WAF 会检查请求参数的变化情况，对于那些参数固定不变或者按照某种简单规律变化的请求进行重点关注。
    • 用户行为序列分析：
      • 正常用户在网站上的行为是有一定逻辑顺序的。比如，用户会先登录，然后浏览商品，将商品加入购物车，最后进行结算。而 CC 攻击的行为序列可能不符合正常的用户行为模式。WAF 可以构建用户行为模型，对请求的行为序列进行分析。如果发现某个 IP 的请求行为不符合正常的行为逻辑，如不断地重复登录操作而没有后续的正常浏览行为，就可能是 CC 攻击。
  3. 机器学习与数据挖掘技术应用
    • 模型训练：
      • WAF 可以收集大量的历史网站访问数据，包括正常访问数据和已知的 CC 攻击数据。通过对这些数据进行特征提取，如请求频率、请求分布、行为模式等特征，利用机器学习算法（如决策树、支持向量机、神经网络等）进行模型训练。例如，以决策树算法为例，它可以根据不同的特征将数据划分成不同的类别，从而构建出一个能够区分正常访问和 CC 攻击的决策模型。
    • 实时识别与更新：
      • 经过训练的模型可以用于实时识别 CC 攻击。当新的请求到达时，WAF 会提取其相关特征并输入到模型中，模型根据已有的知识来判断该请求是否属于 CC 攻击。同时，随着网站业务的发展和攻击手段的变化，WAF 会不断收集新的数据来更新模型，以提高识别的准确性。例如，如果网站推出了新的功能，导致正常的请求模式发生变化，WAF 可以及时更新模型，避免将正常的新功能请求误判为攻击。
  4. 结合信誉系统识别
    • IP 信誉库利用：
      • WAF 可以接入外部的 IP 信誉库，这些信誉库会记录已知的恶意 IP 信息。如果一个请求来自于信誉库中标记为恶意的 IP，那么它是 CC 攻击的可能性就会大大增加。例如，一些经常被用于发起攻击的代理服务器 IP 或者僵尸网络中的 IP 会被信誉库记录，WAF 可以根据这些信息快速判断并采取相应的防护措施。
    • 本地信誉积累：
      • WAF 还可以在本地建立自己的信誉系统，对访问网站的 IP 进行信誉评分。根据 IP 之前的访问行为，如是否被标记过可疑、是否有过异常的请求频率等因素来确定其信誉分数。当一个 IP 的信誉分数低于一定阈值时，就会对其进行更严格的检查或者直接进行访问限制，以防止可能的 CC 攻击。