企业网站被攻击的常见方式是什么，该如何去做防护

随着互联网的普及和人们对网络使用的增加，网站安全问题变得越来越突出。无论是个人还是企业，都需要了解并采取措施来保护自己的网站和用户数据的安全。本文介绍常见的网站安全攻击方式、潜在危害及其预防措施，帮助全面了解网站安全的各个方面，提高安全意识和应对能力，HTTP Flood攻击

一.什么是HTTP Flood攻击

HTTP Flood攻击 DDoS的一种,别称叫做CC攻击(CC是Challenge Collapsar的缩写，而Collapsar是国内一家著名安全公司的DDoS防御设备) ，是针对Web服务在第七层协议发起的攻击，重点在于突破前端的cache,通过HTTP头中的字段设置直接到达Web Server本身.第七层主要是应用层，是一些终端的应用，比如（各种文件下载）、浏览器、QQ等，可以将其理解为在电脑屏幕上可以看到的东西，也就是我们常说的终端应用。HTTP Flood攻击的巨大危害性主要表现在三个方面：发起方便、过滤困难、影响深远。一般的攻击者会选择搜索之类需要做大量数据查询的页面作为攻击目标，可以消耗服务器尽可能多的资源。攻击时尽量选择正常用户也通过APP访问的页面，一般来说就是各种Web API。正常用户和恶意流量都是来源于APP，人机差别很小，基本融为一体难以区分

二.HTTP Flood攻击原理

攻击者通过端口扫描程序在互联网上寻找匿名的HTTP 代理(代理是一种比较丰富的资源，花几天时间获取代理并不是难事，因此攻击容易发起而且可以长期高强度的持续)或者SOCKS代理或僵尸主机向目标服务器发起大量的 HTTP报文请求，请求涉及数据库操作的URI（Universal Resource Identifier）或其它消耗系统资源的URI，并且攻击在HTTP层发起，极力模仿正常用户的网页请求行为，与网站业务紧密相关，安全厂商很难提供一套通用的且不影响用户体验的方案,从而造成服务器资源耗尽，无法响应正常请求,这个攻击类型和一种网络攻击有点像，就是 CC攻击（Challenge Collapsar），两者区别就在于一个是消耗系统资源，一个是发送大量数据包消耗服务器资源，都是打的持续仗，最终使服务器无法响应正常请求为止.HTTP Flood攻击会引起严重的连锁反应，不仅仅是直接导致被攻击的Web前端响应缓慢，还间接攻击到后端的业务层逻辑以及更后端的数据库服务，增大它们的压力，甚至对日志存储服务器都带来影响。例如门户网站经常受到的HTTP Flood攻击，攻击的最大特征就是选择消耗服务器CPU或内存资源的URI，如具有数据库操作的URI

三.HTTP Flood攻击的防御原理

1.URI监测

URI监测是HTTP源认证防御的补充功能，当通过HTTP源认证的流量还是超过阈值时，可以启用URI监测。Anti-DDoS设备对HTTP源认证过程中加入白名单的源IP也会进行URI监测。

在指定的时间内，某一个URI的访问量要是过高，Anti-DDoS就会针对这种情况启动URI行为检测，如果检测出来的访问数超过规定的阈值，超出的IP访问数就会被判定加入动态黑名单。所以在配置URI监测时，可将消耗内存或计算资源多、容易受攻击的URI加入“重点监测URI”列表。

2.URI源指纹学习功能

适用于攻击源访问的URI比较固定。因为如果要形成攻击效果，攻击者一般都事先探测，找到容易消耗系统资源的URI作为攻击目标，然后一个攻击源的一个会话上会有多个针对该URI的请求，最终呈现为该源对选定的URI发送大量的请求报文。动态指纹学习正是基于这个原理，Anti-DDoS设备对源访问的URI进行指纹学习，找到攻击目标URI指纹，如果对该URI指纹的命中次数高于设置的阈值就将该源加入黑名单。

3.HTTP源统计

HTTP源统计是在基于目的IP流量异常的基础上，再启动针对源IP流量进行统计。Anti-DDoS设备首先对到达目的IP的流量进行统计，当目的IP流量触发告警阈值时，再启动到达这个目的IP的每个源的流量进行统计，判定具体某个源流量异常，并对源IP的流量进行限速。HTTP源统计功能可以更准确的定位异常源，并对异常源发出的流量进行限速。

4.HTTP Flood源认证

源认证防御方式是防御HTTP Flood最常用的手段，这种防御方式适用于客户端为浏览器的HTTP服务器场景，因为浏览器支持完整的HTTP协议，可以正常回应重定向报文或者是验证码。源认证防御主要包含以下三种方式：基本模式（META刷新）、增强模式（验证码认证）、302重定向模式。

5.基本模式（META刷新）

该模式可有效阻止来自非浏览器客户端的访问，如果僵尸工具没有实现完整的HTTP协议栈，不支持自动重定向，无法通过认证。而浏览器支持自动重定向，可以通过认证，处理过程如图所示，该模式不会影响用户体验，但防御效果低于增强模式当网络中有HTTP代理服务器时，只要有一次源认证通过，Anti-DDoS设备就会将代理服务器IP地址加入白名单，后续僵尸主机通过使用代理服务器就会绕开源认证，导致防御失效。在这种有代理服务器的网络中，建议开启代理检测功能，检测HTTP请求是否为通过代理发出的请求。如果是，Anti-DDoS设备会从HTTP报文中获取请求者的实际IP地址，将通过认证的真实IP地址和代理服务器IP地址加入白名单，后续只有此实际源IP地址发送的报文才能直接通过，其他源IP发送报文时，Anti-DDoS设备会对其进行源认证，达到防御效果。

6.增强模式（验证码认证）

有些僵尸工具实现了重定向功能，或者攻击过程中使用的免费代理支持重定向功能，导致基本模式的防御失效，通过推送验证码的方式可以避免此类防御失效。此时通过让用户输入验证码，可以判断HTTP访问是否由真实的用户发起，而不是僵尸工具发起的访问。因为僵尸网络攻击依靠自动植入PC的僵尸工具发起，无法自动响应随机变化的验证码，故可以有效的防御攻击。为避免防御对正常用户体验的影响，此防御方式仅对超过源访问阈值的异常源实施。具体处理过程如图所示

7.302重定向模式

基本模式中的重定向功能只能对整个网页进行重定向，不能针对网页中的内嵌资源进行重定向。当用户请求的页面与页面内嵌资源不在同一个服务器上，内嵌资源所在服务器发生异常时，可以对嵌套资源服务器启动302重定向防御，探测访问源是否为真实浏览器。真实浏览器支持重定向功能，可以自动完成重定向过程，不会影响客户体验,如果在允许的认证时间周期内，对同一源IP地址的认证次数大于最大值时，则将该源IP地址判定为攻击源，加入动态黑名单

四.防御方法

使用德迅云安全的安全加速SCDN

安全加速（Secure Content Delivery Network，SCDN）是德迅云安全推出的集分布式DDoS防护、CC防护、WAF防护、BOT行为分析为一体的安全加速解决方案。已使用内容分发网络（CDN）或全站加速网络（ECDN）的用户，购买服务后可为加速域名一键开启安全防护相关配置，全方位保障业务内容分发。

1.Web攻击防护

OWASP TOP 10威胁防护

----有效防御 SQL注入、XSS攻击、命令/代码执行、文件包含、木马上传、路径穿越、恶意扫描等OWASP TOP 10攻击。专业的攻防团队7*24小时跟进0day漏洞，分析漏洞原理，并制定安全防护策略，及时进行防护。

2.AI检测和行为分析

----通过对德迅云积累海量日志进行学习和训练输出多种Web安全防护模型，对用户多请求的多元因子进行智能分析，有效提高检出率，降低误报率；通过信息孤岛、行为检测分析，识别恶意攻击源，保护网站安全。

智能语义解析引擎

----提供智能语义解析功能，在漏洞防御的基础上，增强SQL注入和XXS攻击检测能力。

3.应用层DDoS防护

CC、HTTP Flood攻击防御

----威胁情报库：通过大数据分析平台，实时汇总分析攻击日志，提取攻击特征并进行威胁等级评估，形成威胁情报库。 ----个性化策略配置：如请求没有命中威胁情报库中的高风险特征，则通过IP黑白名单、访问频率控制等防御攻击。 ----日志自学习：实时动态学习网站访问特征，建立网站的正常访问基线。 ----人机校验：当请求与网站正常访问基线不一致时，启动人机校验(如JS验证、META验证等)方式进行验证，拦截攻击。

慢连接攻击防御

----对Slow Headers攻击，通过检测请求头超时时间、最大包数量阈值进行防护。 ----对Slow Post攻击，通过检测请求小包数量阈值进行防护。

4.合规性保障

自定义防护规则

----用户可以对HTTP协议字段进行组合，制定访问控制规则，支持地域、请求头、请求内容设置过滤条件，支持正则语法。

访问日志审计

----记录所有用户访问日志，对访问源进行TOP N，提供趋势分析，可以根据需要提供日志下载功能。

网页防篡改

----采用强制静态缓存锁定和更新机制，对网站特定页面进行保护，即使源站相关网页被篡改，依然能够返回给用户缓存页面。

数据防泄漏

对response报文进行处理，对响应内容和响应进行识别和过滤，根据需要设置数据防泄漏规则，保护网站数据安全。

5.HTTP流量管理