# 配置智能限速防护规则动态防御CC攻击 在日常Web应用防护中，为了限制恶意请求的频率，通常需要手动配置CC攻击防护规则，以防止服务器因大量恶意请求而过载。然而，手动配置的限速阈值往往难以适应业务流量的动态变化，尤其是在业务高峰期或低谷期，固定的限速阈值可能导致防护效果不佳或误拦截正常请求。为避免该类情况，可配置智能限速防护规则。配置后，压力学习模型会根据源站返回的HTTP状态码和时延等来实时地感知源站的压力状态，从而识别源站是否被CC攻击了，WAF再根据异常检测模型实时地检测源站在HTTP协议上的特征的异常行为，然后基于这些异常特征，自动为每个域名配置合适的限速阈值，从而简化配置过程，提升防护效果。 #### 实现原理 配置智能限速防护规则后，所有访问防护域名的请求都会经过该规则检测。 智能限速防护规则需要设置一个最小限速频率，即5秒的限速周期内允许的最小访问次数。以该最小访问次数为标准，动态调整限速阈值： - 如果WAF学习到的基线阈值 x 限速周期＜最小访问次数，则限速阈值为**最小访问次数**。 - 如果WAF学习到的基线阈值 x 限速周期≥最小访问次数，则限速阈值为**学习到的基线阈值 x 限速周期**。 #### CC攻击防护与智能限速防护功能对比 表1CC攻击防护与智能限速防护功能对比 | 功能 | CC攻击防护 | 智能限速防护 | |:---|:---|:---| | 防护维度 | 源限速、目的限速 | 高频源IP限速 | | 触发条件 | 自定义配置的限速条件和阈值 | 异常于正常流量的高频源IP访问 | | 动作类型 | 拦截、动态拦截、人机验证、仅记录、JS挑战 | 仅记录、拦截 | | 适用场景 | 需要精细化控制、已知特定攻击特征的业务场景 | 不确定正常流量基线、需要简化配置的业务场景 | | 功能说明 | 需要用户自定义配置基于源（IP限速、用户限速）、目的等维度的限速规则 | 通过学习正常业务流量，自动识别异常于正常流量的异常访问进行限速。 | #### 约束条件 | 类别 | 约束说明 | |:---|:---| | 版本限制 | 仅云模式**专业版** 、**企业版**支持该功能。 | | 接入方式限制 | 仅**云模式-CNAME接入**支持该功能。 | | 地域限制 | 仅**华北-北京四** 、**华东-上海一** 、**华南-广州** 、**中国-香港** 、**亚太-新加坡** 、**亚太-曼谷**支持该功能。 | | 规则生效条件 | 开启智能限速防护前，需开启[CC攻击防护规则](https://support.huaweicloud.com/usermanual-waf/waf_01_0009.html)开关。否则该规则不会生效。 开启CC攻击防护开关即可，无需配置规则。若已配置，其检测优先级高于智能限速防护，开启后后者不影响前者。 | | 规则生效时间 | 添加或修改防护规则后，规则生效需要等待几分钟。规则生效后，您可以在"防护事件"页面，[查询防护事件](https://support.huaweicloud.com/usermanual-waf/waf_01_0156.html)。 | | 基线约束 | - 基线为允许单个IP在单位时间内访问某个防护域名的次数。当源站处于压力状态时，不会进行基线学习；待源站恢复至无压力状态后，将继续沿用压力触发前的基线，并恢复自学习。 - 命中了**黑白名单设置**规则，且防护动作为拦截、放行的IP，不会影响到基线学习。 - Bypass场景下，无法学习到基线。恢复后，沿用触发Bypass前的基线，继续自学习。 - 基线数值会受压力影响，在有压力的情况下，阈值会降低。 - 基线粒度：泛域名（如 \*.example.com）被合并为一个域名进行统计；明细域名（如a.example.com、b.example.com）被合并为一个域名进行统计。 | | 域名数量 | 每个租户只能开启10个域名。 | #### 前提条件 [已通过"云模式-CNAME接入"将网站接入WAF](https://support.huaweicloud.com/usermanual-waf/waf_01_0002.html)。 #### 配置智能限速防护规则 1. [登录Web应用防火墙控制台](https://console.huaweicloud.com/waf/?locale=zh-cn)。 2. 在控制台左上角，单击![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000002304713360.png)图标，选择区域或项目。 3. 在左侧导航栏，选择"防护策略 \> WAF核心防护"。 4. 在防护策略列表，单击目标策略名称，进入目标策略的防护规则配置页面。 您也可以在"资产管理 \> 防护对象"页面，单击目标域名"防护策略"列的"已开启防护项"后的数字，进入网站绑定的防护策略的规则配置页面。 5. 单击"CC攻击防护"配置框，确认已开启CC攻击规则。 ![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000001761737873.png)：开启状态。 6. 单击"智能限速防护"配置框，开启智能限速防护规则。 ![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000001761737873.png)：开启状态。 7. 在规则列表左上角，单击"添加规则"。 8. 在"添加规则"面板，添加智能限速防护规则，详细参数说明如[表2]所示。 表2智能限速防护参数说明 | 参数 | 参数说明 | 取值样例 | |:---|:---|:---| | 防护域名 | 选择要开启智能限速防护的域名。该域名已绑定规则所属防护策略，否则无法选中。 | www.example.com | | 防护动作 | 设置请求频率超过限速阈值后，执行的处置动作。 说明： 选择防护动作前，需综合考虑当前防护规则的检测优先级，避免高优先级规则因防护动作配置不当，影响低优先级规则的检测。 - **仅记录**：请求频率超过限速阈值后，不进行任何处置，仅记录该事件。 - **拦截**：请求频率超过限速阈值后，拦截当前请求，并停止后续规则的检测。 | 拦截 | | 防护等级 | 设置处置对应请求的等级。可根据实际业务，调整防护等级。 - 宽松：对业务的误报率降低，但漏报率可能会增高。 - 正常：默认防护等级，可满足大多数业务场景。 - 严格：对业务的误报率可能会增高，但漏报率降低。当发现防护规则拦截了您的正常业务时，可调整防护等级。 | 正常 | | 源IP拦截时长 | 设置访问次数在限速周期（固定为5秒）内达到限速阈值后，被拦截的时长。仅"防护动作"设置为"拦截"时，配置该参数。 - 取值范围：0到86,400之间。 - 配置建议：建议拦截时长大于限速频率时长。 | 10 | | 最小限速频率 | 设置限速周期5秒内允许的最小访问次数。取值范围为1到100,000之间。 智能限速防护的限速阈值，与该值相关。 - 如果WAF学习到的基线阈值 x 限速周期＜最小访问次数，则限速阈值为**最小访问次数**。 - 如果WAF学习到的基线阈值 x 限速周期≥最小访问次数，则限速阈值为**学习到的基线阈值 x 限速周期**。 | 10 | 9. 输入完成后，单击"确定"。 完成以上配置后，您还可以执行以下操作： - **查看规则状态**：在防护规则列表，查看已添加的规则。此时，"规则状态"默认为"已开启"，即规则开始学习中。 - **关闭规则**：如果您暂时不想使该规则生效，可在目标规则"操作"列，单击"关闭"。 - **删除或修改规则**：您也可以在目标规则"操作"列，单击"删除"或"修改"，删除或修改已添加的防护规则。 - 关闭智能限速防护开关：如果开启该功能后，业务产生异常情况，可关闭智能限速防护开关。当智能限速防护状态关闭后，所有智能限速规则都将会被同步删除。