如何构建企业出海的＂免疫力＂?深入解读阿里云CDN安全能力

• 对于拥塞有限带宽入口这类攻击，本质上要在流量上Hold住。CDN天然具有丰富的节点资源，使用分布式的网络将攻击分散到不同的边缘节点，同时在近源清洗后返回服务端。

• 对于耗尽有限资源这类攻击，本质上要做到攻击的快速可见，并且能够把相应特征进行阻断。单纯依靠CDN不能特别有效的解决问题，需要通过CDN节点上的配置，完成智能精准检测DDoS攻击，并自动化调度攻击到DDoS高防进行流量清洗，这时候需要用户购买高防抗DDoS的产品。

边缘安全防护

1. DDoS缓解

   CDN与DDoS高防产品可以实现联动，在分发场景中可以通过CDN进行分发。在DDoS攻击发生时，可以将发生DDoS攻击区域的流量调度到DDoS高防去清洗，有效保护业务的服务质量。通过联动方案可以有效清洗海量DDoS攻击，完美防御SYN、ACK、ICMP、UDP、NTP、SSDP、DNS等Flood 型攻击。同时，基于阿里云飞天平台的计算能力和深度学习算法，智能预判DDoS攻击，平滑切换为DDoS高防，且不影响业务运行。

2. 机器流量管理

   面对网络爬虫的恶意爬取，CDN平台基于阿里巴巴集团业务沉淀的恶意IP库、恶意指纹库等，通过贴近业务风险的机器学习能力和定制化爬虫模型进行精准对抗，降低爬虫、自动化工具对网站业务的影响，保障企业的数据安全，维护企业的核心商业价值。

3. 频次控制

   当网站遭受恶意CC攻击并响应缓慢时，通过频次控制功能，可以秒级阻断访问该网站的请求，提升网站的安全性。频次控制保护您的网站 URL免受超出设定阈值的可疑请求的影响。它支持丰富的监测对象，并配以自定义规则，来定义合适的访问阈值。一旦达到设定的请求阈值，就会触发自定义响应，通过多样化的手段（如阻断或者质询）来处理过于频繁的访问请求。

4.  IP/区域封禁

   配置IP黑白名单来实现对访客身份的识别和过滤，从而限制访问CDN资源的用户，提升CDN的安全性。另外还能配置国家的黑白名单，帮助您一键阻断来自指定区域的访问请求，解决部分地区高发的恶意请求问题。

5.  精准访问控制

   允许自定义匹配条件，实施精准的访问控制。匹配条件能够检查常见的HTTP字段（如IP、URL、header等），来满足业务场景的定制化需求。该功能通过支持丰富的请求字段，定义多样化的匹配条件，来描述所要捕获的访问请求。一旦请求被匹配，就会触发规则所定义的操作，如质询、观察、阻断等，做到精准的访问准入。

6.  WAF

   由于CDN的分布式架构，用户通过访问就近边缘节点获取内容，通过这样的跳板，有效地隐藏源站IP，从而分解源站的访问压力。当大规模恶意攻击来袭时，边缘节点可以做为第一道防线，不仅大大分散攻击强度，还可以通过上述的多种安全能力完成边缘的防护。

防篡改能力

资源独享 提升企业安全系数

• 支持客户通过安全加速节点实现物理隔离，完全单独构建，深度集成安全功能，提供单节点高级高防能力；

• 提供独享IP资源，保证业务安全风险隔离，不会在别人受到攻击时被影响；

• 支持单用户独立调度域，用户之间DNS攻击互不影响，百万QPS的DNS Flood防护。

坚守内容与平台的“生产”安全底线

阿里云基于人工智能及海量样本集，深度学习训练识别模型，精准识别通过CDN加速的图片中的涉黄场景，并可根据用户实际的管控需求，提供多层次的识别与灵活管控方案。整体鉴黄准确率超过99%，可替代90%以上的人工审核，大幅度降低违规风险。

通过简化安全加速架构，让运维人员更便捷地进行一站式自助配置与API管控，实现日常攻击的监控告警、全链路排查、自动防护与实时全景数据日志查看。同时大型活动期间的护航与重保响应制度，可以辅助企业应用一起抵御安全风险，保护系统平稳。

阿里云CDN平台还通过了国家信息安全等级保护2.0三级、ISO9001、PCI-DSS等合规认证，在网络安全、数据安全、服务安全等方面测评获得世界权威认可。

行业应用案例

企业网站-航空大促

游戏公司-游戏出海

往期推荐