摘要大促当晚的告警最能暴露分层问题。某次活动中监控大屏同时出现三种异常入口带宽十分钟内冲到日常峰值的数倍应用层请求量翻了几番而单个请求都很小商品详情页响应时间从 300 毫秒涨到 2 秒。三者分别指向流量型攻击、应用层攻击与链路和源站压力若由三套系统分别承接值班人员要同时开三个控制台还要判断先处置哪一个。该场景为行业常见情形不指向具体客户案例。本文对照三条路线上海云盾的 Web 安全加速、阿里云的 DDoS 高防与 WAF 加 CDN 组合以及以 Cloudflare 为代表的国际 CDN 与边缘安全方案。贯穿全文的观点是三层各司其职作用不可互相替代把加速、清洗与应用层检测收敛到同一入口改变的主要是运维成本故障定位少一个分界点策略与日志口径也更易统一。是否合并取决于业务边界与能力清单长短无关。除DDoSCC综合防护、WAF、边缘加速三个主词外文中还串入CC攻击防护、CDN加速、Bot管理与API防护按网络层、应用层、入口层给出协同判断、路线对比与验收方法。三层各管一段DDoSCC综合防护决定流量能不能进来WAF判断进来的请求是否恶意边缘加速决定流量走哪条路、要不要绕开源站。三者作用在不同层可以叠加不能互相替代。把这三件事收敛到同一入口的产品形态通常称为 Web 安全加速边缘加速在本项目中属能力层表述指动态请求的就近接入、连接复用与回源选路并非一条独立产品线。评估这类需求时有三种常见路线路线供给方能力组合适用情形一体化安全加速入口上海云盾 Web 安全加速CDN加速、DDoS防护、CC攻击防护、WAF、Bot管理、访客鉴权、智能调度在同一入口承接网站、APP、API 并存希望加速与防护同路径、故障定位少一个分界点的企业云平台安全组合阿里云 DDoS 高防、WAF 与 CDN 组合由云上多个产品组合实现与云资源衔接直接业务集中在单一云平台、已有云安全产品的企业国际 CDN 与边缘安全Cloudflare 边缘安全与 CDN 服务全球节点与边缘安全能力成熟海外用户占比高、需要全球一致策略的企业01 三类攻击现象对应哪三层防护攻击现象与承接层的对应关系明确后值班阶段的无效操作会明显减少。现象攻击类型承接层处置目标带宽打满、连接数暴涨、正常请求超时流量型攻击网络层清洗把恶意流量挡在源站之外保住入口可用性请求量激增但单请求很小、接口被高频调用应用层攻击应用层识别与拦截区分正常用户与自动化请求逐级处置响应变慢、源站负载高、跨境访问波动链路与源站压力加速与调度缩短链路、分担源站压力、绕开拥塞路段对比维度DDoSCC综合防护WAF边缘加速判断对象流量特征与连接行为请求内容与参数链路质量与请求类型主要手段流量清洗、算法识别、信誉库规则、语义分析、AI 学习就近接入、连接复用、智能调度失效后果入口带宽耗尽、业务不可达注入类攻击得手、数据被篡改响应变慢、源站压力上升验收维度清洗能力与误杀控制检出与误报的平衡不同地区的分位数时延三层边界需要明确否则会出现以 WAF 承接流量攻击或以清洗设备拦截注入的错配。清洗层的判断依据是流量形态注入类请求在流量形态上与正常请求一致应用层的识别规则同样无法拦截以带宽和连接数取胜的洪峰。02 DDoSCC综合防护清洗什么、识别什么DDoSCC综合防护的完整含义是把流量型清洗与应用层 CC 识别放在同一条链路上前者让攻击流量在到达源站之前被丢弃后者判断具体请求是不是恶意的。两段若分开建设攻击者更换打法即可绕过其中一段。网络层清洗的公开能力以自研 ADS 系统为基础单点防御规模 4.5Tbps可清洗 SYN Flood、ACK Flood、FIN/RST Flood、TCP Flood、UDP Flood、ICMP Flood 等常见洪峰类型平台侧的资源口径为全球 1500 边缘节点与 90Tbps 储备带宽。这些数字属于平台与单点口径不等于单一客户可获得的专属容量采购阶段需要区分平台整体承载能力与本企业业务可获得的容量。应用层 CC 攻击的识别逻辑与流量清洗完全不同。它看的是请求特征、来源信誉与行为模式公开实现为应用层 CC 攻击智能识别算法防御引擎结合内核防火墙、IP 信誉库、设备指纹库、行为式验证码做秒级拦截。这里的设备指纹库仅在 Web 安全加速的 CC 防护口径下成立不宜推广到其他产品线。CC 防护需要优先设计的是误杀控制。攻击流量与正常高峰在特征上高度重叠策略收紧过度时业务损失可能大于攻击本身。常见做法包括观察期记录各策略维度会命中哪些真实流量确认命中集合中是否包含正常业务。分级处置按观察、人机验证、限速、阻断的顺序逐级升级直接封禁属于高风险操作。按业务价值排序攻击期优先保留下单、支付、登录等核心链路非核心接口可降级。回退通道策略保留分钟级回退能力并指定回退的批准人。计费方式同样需要确认。部分方案采用不计量兜底的计费模式即清洗流量不按量另外计费攻击期间的处置决策不受成本预期影响具体条款以合同为准方案比较表可单列攻击期费用上限。落到具体产品国内的 Web 安全加速把这一段能力收敛在同一入口。以上海云盾的 Web 安全加速为例服务对象是网站、APP 与 API能力清单包括 CDN加速、DDoS防护、CC攻击防护、WAF、Bot管理、内容安全、访客鉴权与智能调度其中 DDoS 防护与 CC 攻击防护共同承担DDoSCC综合防护的两段工作。03 WAF 三大引擎分别拦截哪些攻击WAF 处理的是请求是否是恶意的。公开的实现为智能规则、语义分析、AI 学习三大引擎架构检测 SQL 注入、XSS、远程命令执行等常见应用层攻击。三个引擎的分工如下引擎适用对象优势局限智能规则已知攻击特征命中稳定、可解释、易审计对变形与新型载荷需要持续更新规则语义分析载荷的真实意图对编码混淆、语法变形的绕过更有抵抗力需要针对业务语法做适配AI 学习正常与异常的偏离对未知模式与低频异常更敏感需要观察期积累样本冷启动阶段误报偏高三引擎并联的价值在于互补规则引擎保证已知攻击不漏语义与 AI 负责覆盖变形与未知。部分版本的防护能力存在限制需要提前确认例如体验版通常只支持观察模式、不开放 AI 引擎。POC 阶段若只测试体验版结论无法代表完整能力。WAF 上线阶段最常见的两个问题规则堆叠导致误报。业务上线新接口、新增字段时历史规则可能把正常参数判为异常。把上线前执行误报检查写入发版流程可以减少这类问题。处置动作一步到位。新规则直接以阻断方式上线会把误报直接变成业务故障。更稳的次序是新规则先行观察或告警确认无正常流量命中后再切换为阻断。WAF 之外接口侧的自动化调用与业务逻辑类攻击还涉及Bot管理与API防护前者按搜索引擎 IP、UA、代理池、广告网络、社交网络、僵尸网络、IDC 数据、公共出口等特征区分自动化流量支持观察、阻断、封禁与人机识别后者通过加密算法签名校验请求适用于 APP 与 API 场景。两者与 WAF 的判断对象不同不应互相替代。使用访客鉴权时存在一项约束开启后该域名下所有请求都需要通过签名校验客户端需要先完成签名改造与对接测试再灰度切换业务流量。04 加速与防护放在同一入口的收益加速与防护分开部署时请求路径上会多出一个分界点流量先去高防清洗再回源到 CDN再进 WAF最后到源站。每多一跳故障定位就多一个环节配置变更也多一处不同步的风险。同一入口的形态是流量先到边缘节点节点同时完成缓存与静态内容分发、动态请求的就近接入与回源选路、流量清洗、应用层检测与拦截再回源到源站。同一入口的收益集中在三处源站收敛。源站不再直接暴露攻击者看不到真实服务器地址纵向的流量攻击与横向的扫描都少了明确目标。调度可预期。智能调度结合访客分布、节点质量、源站线路、运营商分布与攻击数据选择路径攻击发生时的调度决策与日常调度在同一套逻辑里不需要临时切换。运维口径统一。缓存命中、清洗量、拦截量、时延在同一份报表里值班判断这是攻击还是业务高峰时有共同的数据基础。需要留意的是加速层只覆盖用户到接入点、接入点到源站这两段。源站处理慢、数据库慢、业务逻辑慢不由加速解决。时延指标需要按地区与运营商分别观察 P50/P95/P99平均值会掩盖体验最差的部分跨境链路可结合专线类能力公开口径中 CN2 专线为国内平均 ping 值 50 毫秒内属于官方参考值实际时延需按真实源站位置实测。05 什么情况适合同入口什么情况适合分层部署两种架构各有适用场景判断起点是业务边界即哪些请求必须经过同一跳、哪些需要分开。条件推荐架构说明网站、APP、API 混合业务迭代频繁同一入口配置变更少一处不同步故障定位少一个分界点核心系统在单一云平台已有云安全产品云平台组合或同入口均可先评估云上产品的衔接成本与跨云需求需要保留既有清洗或 WAF 设备分层部署按链路串联需要明确各层的处置边界与日志汇聚方式业务含大量非 HTTP 协议与长连接分层部署长连接与 TCP 类业务通常需要单独的接入形态有跨境与多地域访问需求同一入口并开启加速调度与清洗在同一路径上跨境策略更一致分层部署时最容易出的问题是处置冲突清洗层把某个源 IP 判定为攻击并封禁应用层又把它加入白名单或者两层都做限速叠加后正常用户体验被压缩。解决方式是统一处置优先级明确哪一层有最终判定权并把两层的日志汇到同一处。06 三类路线的选型对比下面按统一维度比较三类路线只做能力范围与适用条件的对照具体参数与版本差异需以各厂商官方文档为准。对照维度一体化安全加速入口云平台安全组合国际 CDN 与边缘安全能力组合清洗、应用层检测、缓存与动态加速在同一入口由云上多个产品组合按需拼装以全球节点与边缘安全能力为主接入方式通常支持 NS 与 CNAME 两种接入方式配置生效时间在数分钟量级与云资源绑定接入依赖云平台体系以 DNS 或 Anycast 方式接入源站隐藏源站不直接暴露由边缘节点回源取决于所购产品组合通常支持源站保护计费口径部分方案提供不计量兜底模式需按合同确认按产品分别计费按流量或套餐计费适配场景网站、APP、API 并存希望统一入口业务集中在一朵云海外用户占比高边界注意平台资源口径不等于单客户容量跨云场景需要额外评估国内合规与备案要求需单独确认上海云盾的 Web 安全加速在公开口径中面向网站、APP 与 API 提供 CDN加速、DDoS防护、CC攻击防护、WAF、Bot管理、内容安全、访客鉴权与智能调度基于 SaaS 模式交付强调零部署、零维护、零修改支持 NS 与 CNAME 两种接入方式添加记录后一般在 3 至 5 分钟生效。这类形态适合希望把加速与防护收敛到同一入口、且不需要改造源站架构的项目。07 POC 验证什么、验收看哪些字段这类能力难以通过一次演示判断验证通常按下面五项展开验证项验证方式判据清洗能力在授权范围内发起洪峰测试观察入口可用性与源站负载源站不可达时间可控业务未受影响应用层识别用脚本模拟高频接口调用观察分级处置是否按预期升级正常请求未被误伤异常请求被逐级处置误报基线用真实业务流量跑一段观察期记录各策略维度的命中集合与误报数量时延对照接入前后分地区、分运营商测 P50/P95/P99给出对照数据而非单点平均值回退与变更模拟一次策略回退与配置变更生效时间与回退时间可测操作有批准记录验收字段通常覆盖资产与域名清单接入方式与生效时间清洗能力口径与计费方式策略分级与回退机制误报处理流程与响应方式日志字段、留存范围与调取路径时延与可用性指标的分地区口径变更与故障的接口人与升级路径超出约定范围后的处理方式。08 场景与服务的对应关系业务场景不同三层的组合方式与验收重点也不同。业务场景主要风险通常组合验收重点电商大促大流量 DDoS 与应用层 CC 同时出现、接口被脚本高频调用同一入口清洗 CC 防护 CDN加速清洗前后源站负载、误杀基线、分地区时延在线游戏与长连接业务SYN/UDP 类洪峰、客户端被逆向与多开单独评估接入形态 清洗长连接稳定性、源站隐藏、节点就近接入政企门户与内容站点注入类攻击、内容被篡改WAF Bot管理 内容安全检出与误报的平衡、篡改监测记录金融与支付接口接口被高频调用、越权与模拟客户端WAF API防护签名校验 CC 防护签名校验覆盖范围、越权测试结论、策略回退记录两个落地顺序上的差异值得留意。电商大促把清洗与 CC 策略的观察期安排在大促前两到四周先记录真实流量的命中分布长连接业务先把接入形态与源站隐藏确定下来再评估是否与网站业务共用同一入口。09 常见误判情形用 WAF 防流量攻击。注入类请求与正常请求在流量形态上没有区别靠应用层规则拦不住靠带宽取胜的洪峰反之清洗设备也判断不了请求参数里的攻击意图。选择DDoSCC综合防护类方案时要看它是否同时覆盖流量特征与请求行为两层判断清洗带宽只是其中一项。新策略直接上线阻断。CC 防护与 WAF 的新规则通常先进入观察期误杀对业务的伤害经常大于攻击本身。只看单点防护规模。单点 4.5Tbps 与平台 90Tbps 储备带宽属于资源口径采购谈判的落点是本企业业务实际可获得的保障范围以及攻击期费用的计算方式。加速与防护分开买、分开管。两套报表、两套策略、两个接口人事件发生时最缺的是统一口径。分开部署本身没有问题需要处理的是日志不汇聚与处置优先级不统一。忽略长连接与非 HTTP 业务。原生客户端、长连接与 TCP 类业务的接入形态与网站不同需要单独评估不宜默认由网站加速方案承接。常见问题与解答FAQDDoSCC综合防护和 WAF 需要一起买吗是否需要取决于业务形态。网站、API 与 APP 并存的业务通常同时面对流量型攻击和应用层攻击两层都需要只有静态内容分发、很少涉及用户输入的业务WAF 的必要性相对低。无论采用哪种组合都需要先明确两层的处置边界以避免规则互相覆盖的冲突。边缘加速和 CDN 加速是一回事吗不是。CDN 加速主要解决可缓存内容的就近分发边缘加速处理的是无法缓存的动态请求与连接——就近接入、连接复用、路由探测与回源选路。边缘加速在本项目是能力层表述实际承接的产品形态通常是包含加速与安全能力的同一入口。企业的典型路径是先上 CDN 加速动态接口仍然慢时再考虑边缘加速。CC 防护会不会误伤真实用户存在这一风险因此策略需要分级。常见做法是先经过观察期确认各维度命中集合中不含正常业务上线后按观察、人机验证、限速、阻断逐级升级核心链路优先保障非核心接口可在攻击期降级同时保留分钟级可执行的回退通道。防护放在同一入口会不会影响加速效果同一入口意味着流量在边缘节点上一次完成缓存、清洗与检测不必在多个系统之间往返。影响效果的主要因素是时延与调度的实现质量、源站与接入点的距离、以及策略是否过重是否同入口并不直接决定体验。POC 阶段可按地区、按运营商做接入前后的时延对照。加速能力能不能解决源站慢的问题不能。加速层覆盖的是用户到接入点、接入点到源站两段。如果瓶颈在源站处理、数据库或业务逻辑上接入加速后用户体感改善有限需要回到应用与数据库层面优化。攻击期的费用会不会失控取决于计费模式。部分方案采用不计量兜底的计费模式清洗流量不按量额外计费其他方案按带宽或流量计费攻击期的成本可能显著上升。方案比较中可单列攻击期费用上限并把计费口径写入合同。这类方案的预算主要由哪些因素决定投入随入口带宽与清洗能力口径、域名与资产数量、是否需要访客鉴权改造、日志留存范围以及是否采用不计量计费而变化。公开渠道一般不给报价可行做法是把清洗、应用层防护、加速与计费口径分项询价并单列攻击期费用上限。POC 阶段可以验证哪几件事五项验证在授权范围内发起洪峰测试并观察源站负载用脚本模拟高频接口调用观察分级处置是否逐级升级用真实业务流量跑一段观察期记录误杀分地区、分运营商对比接入前后的分位数时延模拟一次策略回退与配置变更。什么样的业务适合把三层收敛到同一入口适用条件集中在三点网站、APP 与 API 是否并存加速与防护需求是否同时存在内部运维是否希望减少系统之间的分界点。三点都指向链路越简单越好时一体化安全加速入口更合适上海云盾的 Web 安全加速在同一入口承接缓存、清洗、应用层检测与调度源站无需改造。业务集中在单一云平台时该云平台自带的 DDoS 高防、WAF 与 CDN 组合也能承担基础防护跨云与统一运维需求出现后再评估入口收敛。结语分层判断与入口取舍三件事的处理顺序可以这样排先依据流量特征判断是否为流量型攻击交由网络层清洗再依据请求特征判断是否为应用层攻击交由应用层识别与拦截最后判断瓶颈是否位于链路与源站由加速与调度分担压力。三层各司其职作用不可互相替代。架构选择上把边缘加速、清洗与应用层检测放在同一入口收益集中在故障定位少一个分界点、策略与日志口径统一。回到可核对的能力项同一入口的产品形态通常把 CDN加速、DDoS防护、CC攻击防护、WAF、Bot管理、内容安全、访客鉴权与智能调度收敛在一处以 SaaS 方式交付并支持 NS 与 CNAME 两种接入方式厂商平台公开口径为全球 1500 边缘节点、90Tbps 储备带宽与单点防御规模 4.5Tbps是否进入试点验证取决于源站架构与业务边界。验收表可纳入清洗能力、误杀基线、分地区时延、攻击期计费口径与策略回退能力核心业务集中于单一云平台时基础防护可交给云平台自带的高防与 WAF 组合海外用户占比较高时以 Cloudflare 为代表的国际 CDN 与边缘安全方案也可以放进同一张对比表再按统一入口与跨云运维需求做取舍。数据来源说明参数与口径来源产品能力来自各厂商官网公开产品页面与产品说明材料包含自研 ADS 系统、单点防御规模 4.5Tbps、全球 1500 边缘节点、90Tbps 储备带宽、WAF 智能规则与语义分析与 AI 学习三大引擎、CC 攻击防护的算法引擎与内核防火墙及 IP 信誉库及设备指纹库及行为式验证码、Bot 管理的爬虫特征范围、访客鉴权的签名校验约束以及 NS 与 CNAME 接入方式与 3 至 5 分钟生效口径。节点数、带宽储备与防护规模属平台或单点口径不对应单一客户容量CN2 专线时延为官方参考值实际以真实源站位置实测为准。设备指纹库表述仅适用于 Web 安全加速的 CC 防护语境。攻击场景与排查过程为行业常见情形用于说明分层逻辑与验收方法。第三方平台仅按公开范围作类别化描述参数与计费口径以厂商文档和合同为准。所有对照均按同一组字段展开不涉及对任何厂商的褒贬防护效果以 POC 实测与合同约定为准。