一、混合攻击暴露的防护盲区
在当前面向公网的游戏、直播和在线交易业务中，攻击者很少再使用单一的大流量SYN Flood或UDP反射，而是将容量耗尽型DDoS与针对业务逻辑的CC攻击组合使用。高防CDN的核心价值并不只是带宽储备，而在于能否在边缘节点完成粗粒度清洗后，继续在七层识别并阻断低速但精准的请求。很多重大事故中，带宽占用尚未触及供应商阈值，源站却因数据库连接耗尽而不可用，原因正是七层CC攻击被忽视。
这种混合攻击通常表现为两个阶段。第一阶段用大流量DDoS压垮云厂商或数据中心入口，迫使运维开启黑洞或把流量切换至高防线路；第二阶段在流量被高防节点稀释后，攻击者转向HTTP Flood、慢速连接或针对动态接口的精确请求，以低频、随机化URL和Cookie的方式消耗源站资源。如果高防CDN只做网络层过滤，就会漏掉第二阶段，导致源站仍然被打穿。
二、边缘清洗与源站隐藏的协同
2.1 网络层清洗的触发与回注
高防CDN通常依赖BGP Anycast或DNS调度将业务流量牵引至清洗节点。清洗设备在入口处对IP分片、TCP标志位异常、UDP反射源端口等特征进行丢弃，并将正常TCP三次握手流量回注到CDN缓存节点。这里的关键指标是清洗时延与回注链路的稳定性。实际调优中，SYN Cookie的开启阈值需要和业务RTT匹配，否则移动网络下高延迟客户端会大量重传，导致误杀。
对于基于UDP的游戏业务，高防节点还需要识别私有协议。简单的深度包检测可能无法覆盖加密或自定义协议，此时需要结合源IP信誉库、包速率和会话行为进行限速。误杀率高会影响玩家体验，因此清洗策略必须保持可观测和可回滚。
2.2 隐藏源站与最小暴露面
源站一旦暴露，攻击者可以绕过CDN直接发起DDoS，高防能力形同虚设。专业做法包括：源站仅允许高防CDN节点回源IP段访问，其他来源一律丢弃；关闭源站ICMP响应；使用私有DNS或CNAME链，避免A记录直接指向源站；对非Web业务采用转发规则并限制源端口。针对HTTPS站点，证书不应长期绑定源站IP，避免通过证书透明日志或历史DNS记录反查。
攻防对抗中，攻击者还会通过邮件、历史监控、第三方API等方式收集源站信息。因此源站IP需要定期轮换，并与高防供应商建立应急变更流程。仅靠防火墙规则不够，必须配合云资源隔离和权限收敛。
三、七层CC防护的检测与策略设计
3.1 频率控制与行为建模
不同于大流量DDoS，CC攻击的请求通常完全合法，单IP请求速率可能只有每秒几次。有效的检测依赖行为建模而非简单阈值。高防CDN可以在边缘采集URL路径、User-Agent、Cookie会话、TLS指纹、HTTP头顺序等特征，通过滑动窗口统计访问熵值、路径集中度和会话存活时间。对高频访问同一动态接口、但Cookie缺失或UA高度一致的请求，可执行JS挑战或验证码。
在策略配置上，静态资源、API、登录支付等不同路径应建立差异化模板。例如登录接口可以启用验证码和账户锁定，行情接口则通过签名校验和设备指纹识别。攻击期间业务高峰自动调整阈值，防止活动期误伤正常用户。
3.2 慢连接与低速率攻击
Slowloris、慢读攻击利用HTTP/1.1持续占用连接资源。高防CDN需要在节点侧限制请求头读取超时、单连接最大存活时长、慢速传输速率，并在回源侧使用连接池隔离异常源。对于HTTP/2，需要防范HPACK压缩炸弹和PING Flood，建议限制单连接并发流数量和优先级切换频率。
针对HTTP/3和QUIC业务，高防节点还应对连接迁移、地址验证令牌和0-RTT请求进行校验，防止攻击者利用0-RTT放大请求或消耗CPU。
四、回源收敛与缓存治理
高防CDN在攻击期间最容易被忽视的问题是回源流量放大。攻击者请求大量未命中缓存的动态URL或随机查询参数，边缘节点不得不回源，导致源站压力骤增。解决思路包括：对无公共参数的动态接口做路径归一化；对非必要参数剥离后缓存；对带签名请求在边缘校验签名，无效请求直接丢弃。配合Redis或边缘KV存储会话状态，可以减少回源认证次数。
此外，突发攻击时，CDN节点可能产生海量日志。需要将访问日志实时投递到分析平台，提取攻击特征并生成自动拦截规则。闭环时间越短，业务受损越小。日志中还应保留TLS指纹和边缘处理动作，便于事后复盘。
五、容量规划与容灾切换
5.1 弹性容量与节点治理
高防CDN的可用性取决于调度系统和节点冗余。单节点或单线路的防护容量有限，需要通过Anycast将攻击流量分散到多个清洗中心。购买服务时不能只看标称防护峰值，还要关注清洗中心的数量、单节点处理能力、以及攻击时是否会被强制切换至备用IP导致业务中断。
5.2 多CDN与故障逃生
关键业务应配置主备两条高防CDN线路，并通过健康检查、API拨测或DNS智能调度实现自动切换。在源站侧还可保留专线或高防IP作为逃生通道。一旦主CDN节点被针对或证书、配置出现问题，能够在不改变业务代码的情况下切走流量。
高防CDN的最终效果取决于架构设计、策略运营和应急响应能力的结合。只堆叠带宽无法解决七层威胁，只有将网络层清洗、七层行为分析、回源收敛和容灾切换纳入同一套体系，才能在攻击对抗中维持业务连续性。
