本文介绍了搭建基于多云CDN的流量盗刷防护体系的实践，帮助您从“预防、分析、处置”这三个方面制定全面的防范策略，还介绍了借助多云CDN“流量检测”功能快速应对盗刷攻击的方法。

什么是流量盗刷

流量盗刷是指攻击者用不正常的手段，在没有得到授权的情况下，大量获取并消耗 CDN 资源的恶意行为。攻击者常常通过伪造请求特征来绕过常规的访问限制，从而盗取资源。
流量盗刷会给 CDN 用户带来多方面的不良影响：

• 直接经济损失：攻击产生的高额带宽流量费用会让账单金额大幅增加，在一些例子里，用户一天的损失能达到数万元。

• 服务稳定性风险：异常流量可能会占用正常的带宽，导致网站访问不流畅或者服务中断。

• 数据安全威胁：盗刷过程中可能会顺带窃取敏感数据，造成额外的危害。

常见盗刷手段如下表：

防范策略与工具

预防-分析-处置

要有效防止盗刷攻击，建议从预防、分析、处置三个方面制定策略：

• 预防：流量盗刷会让流量成本变高，还会影响服务的稳定。主动查看资产使用情况，能早点发现异常并做好应对；通过限制访问速度和频率，可减少异常请求占用资源，降低盗刷造成的资产损失。

• 分析：盗刷的手段多样但往往有迹可循。分析盗刷期间的请求统计数据和日志，能找出盗刷请求的特征，为精准封禁恶意请求提供依据。

• 处置：仅仅识别出盗刷还不够，要处理恶意请求。设置访问黑白名单可以直接封禁恶意请求，开启访问鉴权能从根本上提高安全性，防止盗刷发生。

多维能力矩阵

多云CDN提供了多种工具，帮助用户防范盗刷攻击。

开箱即用：流量检测

多云CDN流量检测服务具备“预防 - 分析 - 处置”的一体化能力，能高效、精准且快速地识别盗刷情况。它会汇总全网刷量行为的分析结果，再结合单域名的非正常请求行为分析，自动实时识别和处理盗刷问题。最快能在刷量行为发生后的 10 分钟内完成识别与处置。

处置动作

开启流量检测后，多云CDN会自动实时分析域名访问行为，找出行为可疑的 IP 地址或 IP 地址段，然后根据你的需求对可疑 IP 采取以下处理措施：

• 观察模式：只记录可疑 IP 的访问行为，不进行任何处理。

• 自动封禁：在一段时间内禁止可疑 IP 发出的新请求。

• 自动限速：在一段时间内对可疑 IP 发出的新请求进行限速。

防护案例

下面的波形对比图展示了流量检测功能帮真实客户防御盗刷的效果。

• 防护效果示例 - 自动限速模式

  

• 防护效果示例 - 自动拦截模式

  

CDN加速防盗刷实践

本章节介绍如何使用多云CDN - 内置CDN加速的相关功能来防范盗刷。

前提条件

• 开通多云 CDN。相关操作，请参见开通多云 CDN。

• 将域名添加到内置CDN加速。相关操作，请参见添加您的域名。

快捷防范

1. 提交工单，申请使用“流量检测”功能。

2. 前往多云CDN控制台，在“CDN 加速” > “流量检测”页面点击“添加策略”，然后完成策略配置。

   

   可以为单个加速域名设定预警带宽；在检测时间段内，当带宽达到预警值时，系统会自动进行限速或封禁操作。

   注意

   限速和封禁只针对系统识别出的异常访问者 IP，而且只对这些 IP 发出的新请求起作用，正常访问者的 IP 不受影响。

功能说明：

• “策略配置”标签页展示了所有防护策略。

  

• “检测记录”标签页展示了防护结果，如识别的异常 IP、当前生效的处置动作等。

  

多维度全面防范

预防手段 - 开启可用余额预警

1. 前往火山引擎费用中心，在“账户总览”页面打开可用余额预警开关。

2. 设置余额阈值。

账户余额达到指定阈值时，火山引擎账号联系人将收到通知。

预防手段 - 配置阈值告警策略

1. 前往多云CDN控制台，在“监控告警”页面创建告警策略。

2. 配置告警策略：

   • 监控类型：加速域名

   • 资源范围：选择域名

   • 触发条件：指标阈值。添加以下三个指标条件，任一条件满足触发告警：

     • 访问流量：连续 5 个数据点大于指定阈值（建议设为日常流量的 2～3 倍）
     • 访问带宽：连续 5 个数据点大于指定阈值（建议设为日常带宽的 2～3 倍）
     • 访问 QPS：连续 5 个数据点大于指定阈值（建议设为日常 QPS 的 2～3 倍）

     说明

     相邻数据点的时间间隔是一分钟。

   • 告警通知：开启并设置通知方式。支持的方式有：短信、站内信、电话以及 Webhook（飞书、钉钉、企业微信、金山）。

   • 其他：按需配置。

   

   更多配置说明可参见创建告警策略。

预防手段 - 开启限速限频

1. 前往多云CDN控制台，在“CDN 加速” > “域名管理”页面点击域名。
2. 点击“编辑配置”，在“访问控制”标签页配置以下功能。

分析方法 - 使用热点统计分析异常行为

收到监控数据异常告警时，通过以下方法分析是否遭受盗刷攻击。

1. 前往多云CDN控制台，在“数据中心 > 实时统计”页面查询热点统计数据。

2. 配置查询条件：

   • 选择内置CDN加速域名
   • 统计类型可选择：热点 URL、热点 Referer、热点 UA、热点 IP
   • 统计方式可选择：按流量、按请求次数
   • 查询时间设置为告警发生时段

   

根据返回结果，判断热点 URL、Referer、UA、IP 有无异常。

异常情形示例：

• 不常见的 UA 突然变成热点 UA
• 陌生或空的 Referer 突然变成热点 Referer
• 某个热点 IP 的流量、请求次数远远超出正常情形

分析方法 - 获取离线日志进行深入分析

为进一步发现盗刷请求特征，需对告警发生时段的离线日志深入分析，从源 IP、URL 路径、请求参数、User-Agent、Referer 来源等多维度描绘盗刷请求画像，为制定精准应对措施提供依据。

1. 前往多云CDN控制台，在“数据中心 > 日志管理”页面查询请求日志。
2. 选择内置CDN加速域名，设置查询时间为告警发生时间。
3. 下载获取的日志数据包。
4. 使用专业日志分析工具，对告警期间的日志进行分析。

在通过离线日志分析盗刷迹象时，可以重点关注下面这些日志字段：

应对措施 - 配置访问控制

1. 前往多云CDN控制台，在“CDN 加速” > “域名管理”页面点击域名。
2. 点击“编辑配置”，在“访问控制”标签页配置以下功能。

功能	配置说明	操作截图
地域访问控制	打开“状态”开关，选择黑名单规则，设置要封禁的地域（恶意 IP 集中的非业务服务区域）。
IP 黑白名单	打开“状态”开关，选择黑名单规则，将分析出的恶意 IP 或 IP 段添加到黑名单。
Referer 黑白名单	打开“状态”开关，选择黑名单规则，在规则内容中添加可疑 Referer 的值（常规名单）或者模式（正则名单），同时勾选 “空 Referer”（阻止 Referer 为空的请求）。
UA 黑白名单	打开“状态”开关，选择黑名单规则，在规则内容中添加可疑 User-Agent 的值或者模式。 此外，建议将以下常见盗刷 User-Agent 添加到黑名单： 空 User-Agent（取消勾选 “允许空 User-Agent 访问 CDN 资源”） 针对 App 场景，正常业务为空 User-Agent，则无需使用该策略。 *curl* *Wget* *ApacheBench* *python-requests*
Origin 黑白名单	打开“状态”开关，选择黑名单规则，在规则内容中添加可疑 Origin 的值或者模式。 建议取消勾选 “允许空 Origin 访问 CDN 资源” 以加强安全。
自定义拦截规则	打开“状态”开关，添加拦截规则，拦截满足指定条件组合的请求。

应对措施 - 开启访问鉴权

对下载/点播类型的域名进行访问鉴权配置，能增加盗刷者的破解难度，在一定程度上拦截盗刷行为。
CDN 加速支持以下访问鉴权功能：

• URL 鉴权

  支持多种访问鉴权配置方式。业务方在发起请求的 URL 路径或参数里带上鉴权信息。CDN 加速服务端根据这些鉴权信息，用和业务方约定好的签算密钥来识别身份。同时，在签算时加入时间校验，防止请求被抓取后反复使用，让盗刷者难以构建合法请求。使用 URL 鉴权，业务方需要做一些改造。具体算法说明可以查看 URL 鉴权配置。

• 远程鉴权

  CDN 加速具备远程鉴权配置功能，借助业务方搭建的鉴权服务器，对符合指定条件的用户请求进行合法性检查，拦截非正常用户的请求。如果业务方已经有鉴权服务器，并且有一定的用户身份识别和拦截能力，就可以直接进行配置。具体配置方法可查看 远程鉴权。