網絡安全态勢嚴峻，常見的五大網絡攻擊風險類型
趙偉認為，企業線上服務所面臨的安全風險，主要來自以下五個方面：
- DDoS攻擊
DDoS攻擊類型已有20多年曆史，它攻擊方式簡單直接，通過僞造封包直接擁塞企業上聯帶寬。随着IoT等終端裝置增多，網絡攻擊量也愈發兇猛。根據阿裡雲安全中心報告顯示，在2019年，超過100G的攻擊已經比較常見，而且超過 500G 的攻擊也已經成為常态。一旦企業服務面臨這種情況，上聯帶寬被打滿，正常請求無法承接，就會導緻企業服務無法正常提供線上服務。是以，防禦DDoS 攻擊依然是企業首先要投入去應對的問題。
- CC攻擊
相比于四層DDoS攻擊僞造封包，CC攻擊通過向受害的伺服器發送大量請求來耗盡伺服器的資源寶庫CPU、記憶體等。常見的方式是通路需要伺服器進行資料庫查詢的相關請求，這種情況想伺服器負載以及資源消耗會很快飙升，導緻伺服器響應變慢甚至不可用。
- Web攻擊
常見的 Web 攻擊包括SQL 注入、跨站腳本攻擊XSS、跨站請求僞造CSRF等。與DDoS和CC以大量封包發起的攻擊相比，Web 攻擊主要是利用 Web 設計的漏洞達到攻擊的目标。一旦攻擊行為實施成功，要麼網站的資料庫内容洩露，或者網頁被挂馬。資料庫内容洩露嚴重影響企業的資料安全，網頁被挂馬會影響企業網站的安全形象以及被搜尋引擎降級等。
- 惡意爬蟲
根據阿裡雲安全中心的報告資料顯示，2019年，惡意爬蟲在房産、交通、遊戲、電商、資訊論壇等幾個行業中的占比都超過50%。惡意爬蟲通過去爬取網站核心的内容，比如電商的價格資訊等，對資訊進行竊取，同時也加重伺服器的負擔。
- 劫持篡改
劫持和篡改比較常見，當網站被第三方劫持後，流量會被引流到其他網站上，導緻網站的使用者通路流量減少，使用者流失。同時，對于傳媒、政務網站來說，内容被篡改會引發極大的政策風險。
企業線上業務需要建構多層次縱深防護
面對愈發嚴峻的網絡安全态勢，為了應對以上安全風險，企業在關注線上業務的流暢、穩定的同時，也要建構多層次縱深防護體系，從各個層面建立響應的應對措施和防護機制。
- 在網絡層，需要進行DDoS攻擊的清洗和處理，當造成更嚴重影響需要通過切換IP以及聯合黑洞機制去緩解。
- 在傳輸層，相較于傳統明文傳輸，通過https的支援去進行傳輸層面加密，來避免證書僞造。
- 在應用層，需要進行CC防護、防爬、業務防刷的能力部署，防止惡意攻擊者刷帶寬的情況發生，避免經濟和業務損失。貼近源站的防護方面，需要部署WAF和防篡改，對源站和内容進行防護。
企業需要在網絡層、傳輸層、應用層等多層次建構防護能力，同時在應用層，對于不同場景要有不同防護措施。
基于CDN建構邊緣安全+高防中心防護安全架構
基于對縱深防護的了解，阿裡雲CDN的安全架構是基于CDN分布式節點實作的邊緣安全防護機制，同時關聯高防清洗中心進行防護。
如下圖所示，整體安全架構第一層防護就是建構在全球CDN節點上，将更多安全能力加強在邊緣節點上，通過多層次多元度流量資料統計和攻擊檢測的能力，包括DDoS、HTTP通路資訊等資料彙總到安全大腦，安全大腦再對資料進行綜合分析，針對不同層次的攻擊下發相應的動态防禦政策到邊緣節點。與此同時，邊緣節點自身也會進行自動防禦和清洗。另外，整體安全架構将WAF和防篡改能力部署在回源節點上，對攻擊到達源站之前進行防禦。如果源站希望隻在CDN服務之下，不想暴露在公網上，整體架構也會基于CDN提供源站進階防護能力，避免源站被惡意掃描者被發現。
對于金融、政府等場景，需要具備大流量抗D的能力，CDN有海量邊緣節點通過自己的排程和清洗能力把大部分DDoS攻擊給消化掉。當一旦出現更嚴重的DDoS攻擊時，安全大腦會指導智能排程，将被攻擊的流量切換到進階防護節點去清洗。
阿裡雲CDN安全架構三個核心能力
在以上的CDN安全架構基礎之上，趙偉也對DDoS防護智能排程、Web防護以及機器流量管理三個核心能力進行解讀。
一、DDoS防護智能排程：邊緣節點分布式抗D與高防中心大流量抗D關聯
DDoS防護智能排程的政策是，業務流量預設通過CDN分發，最大程度確定加速效果和使用者體驗，而當檢測到大流量 DDoS 攻擊之後，智能排程會判斷嚴重程度并決策由高防進行 DDoS清洗，同時根據攻擊情況進行區域排程或全局排程，而當DDoS 攻擊停止後，智能排程系統會自動決策将高防服務的業務流量排程回 CDN 邊緣節點，盡最大可能的保證正常加速效果。
DDoS防護智能排程最核心就是邊緣加速、智能排程、T級防護三塊，邊緣加速的基礎上具備充分的DDoS攻擊檢測以及智能排程的能力，決策什麼時候進行高防去清洗，嚴重的攻擊進入T級防護中心進行清洗。目前方案已經在金融行業、傳媒行業沉澱了典型客戶。
二、Web防護——八層安全功能，層層過濾惡意請求
Web防護的政策是通過層層過濾，來抵禦惡意請求。第一層是精準通路控制，指具體對http請求的攔截政策；第二層是區域封禁，對業務無效區或者異常地域請求進行攔截；第三層IP信譽系統，是利用阿裡雲多年積累的網際網路IP大資料畫像，對惡意行為進行分類并對IP進行攔截；第四層是黑名單系統，是對某些UA或者IP進行攔截，以上四層都屬于精确攔截；第五層是頻次控制，對相對高頻且通路異常IP進行攔截；第六層是對于網際網路機器流量進行管理，阻斷惡意爬蟲；第七第八層是WAF和源站進階防護，對于源站進行更深層次的防護。
趙偉認為：CDN邊緣節點是最接近網際網路使用者的，在所有的通路請求中，可能有正常使用者的請求，當然也會存在爬蟲、注入、跨站的通路請求，經過以上逐層的防護政策，過濾掉相應惡意請求，最終可以達到隻有正常請求傳回源站的效果。
三、機器流量管理——識别網際網路Bot流量，阻斷惡意爬蟲
機器流量管理部署在邊緣，當各種網際網路通路進入CDN邊緣節點之後，機器流量管理系統會提取最原始的Client資訊，分析資訊計算Client特征值，并與阿裡雲安全積累的機器流量特征庫進行比對，最終識别結果，正常通路、搜尋引擎、商業爬蟲這些行為是網站期望的行為，會被放行，而惡意爬蟲會被攔截。在處置動作上，機器流量管理相比目前常見嵌入在正常頁面中的行為，侵入性有所降低，支援相對平滑的接入。
下圖是一個實際的案例，在執行機器流量管理政策的時候，首先會對某域名進行流量分析，左側圖是針對某域名開啟機器流量分析後，識别出超過 82% 的請求為惡意爬蟲，然後開啟攔截機器流量中的惡意爬蟲流量後，如右側圖所示，域名峰值帶寬下降超過80%。
CDN目前已經是網際網路流量的主要入口，把安全能力注入CDN邊緣節點，為客戶提供一站式安全加速解決方案成為行業大勢所趨。在釋出會的最後，趙偉分享到：未來，阿裡雲政企安全加速解決方案将在場景化、便捷化、智能化三個方面深耕，為客戶提供更貼近需求的、更快捷省心的、更智能高效的安全政策，讓CDN可以成為每個企業線上服務的第一道防線，來保障企業應用的安全、穩定運作。
點選回顧釋出會詳情活動福利：
2020年6月30日前，CDN加速10Mbps以内帶寬免費試用1個月，30Gbps DDoS防護、進階版WAF試用1周，并贈送一次漏洞掃描服務，總名額限100個，先到先得。
點選填寫表單參與活動答疑釘釘群：34249460