比如以下图中第一个流量图，我们能够自动识别出来它的周期性波动并生成它的频率基线，虽然峰值 QPS 非常高，但是它符合历史频率基线，所以我们判定它是正常行为 。第二个图，虽然峰值 QPS 不高，但是它不符合历史基线，所以判定存在攻击行为 。
文章插图
整个过程需要基于数据自动完成，因为在存在大量不同业务的情况下，人工标注是不现实的 。同时，倘若网站历史上存在攻击，也需要自动剔除攻击时的数据，避免干扰 。
难点二：如何在攻击第一时间发现异常并作出处置？
发现流量存在异常仅仅是第一步，最重要的是识别出来哪些流量是异常的，并且自动生成策略把它阻断掉 。每个业务的流量都不一样，攻击方式也千变万化，显然不能用一个固定的特征去区分出攻击流量和正常流量 。同样的，找出攻击流量的关键是要知道正常流量长什么样，我们从几十个维度，在业务正常的时候学习出流量的基线画像，精细到每个域名、每个端口、每个 URL，同样也是千人千面 。当发生攻击时，流量分析引擎可以根据当前流量和基线的对比，自动生成拦截攻击流量的策略 。
3. 降维打击的协同防御
在阿里云我们每天防御了海量的攻击，每一次防御都是可以输出有价值的信息用于保护更多的其他客户 。
就像免疫系统一样，一个客户遭受过一种类型的攻击，该攻击情况就会进入威胁情报系统中，自动分析出攻击手法和攻击源 IP 特性，并生成多维度的针对性方案 。下次再发生这种攻击时，所有客户都可以受到保护 。
五、应用层 DDoS 攻防的发展
DDoS 防御需要争分夺秒，能快一分钟，业务中断就少一分钟，整个防御系统要足够实时 。在流量的采集、分析和拦截都要做到实时化，特别是攻击流量大的时候，实时分析对整个链路的性能都有很大挑战 。要做到足够快，人工分析一定是来不及的，必须要足够自动化、智能化，通过离线的基线画像计算，加上实时的智能策略，我们现在做到了 95%以上的应用层 DDoS 攻击都可以在 3 分钟内自动防御成功，将业务恢复，因为整个分析决策链路长，其中还是有很大改进空间 。
应用层 DDoS 还有很多挑战等着我们去解决，误杀问题是其中一个，当业务有促销、秒杀活动时，短时间内流量激增，部分秒杀场景中大量 IP 集中访问一个页面，甚至此时正常业务就已经受到影响，服务端响应过慢了，此时各个维度都跟正常基线相关非常大，攻击检测系统很容易将这种行为误判为 DDoS 攻击 。
另外一个难题是，防御系统非常依赖业务的基线画像做防御策略，如果一个新上线的业务就遭受攻击，或者业务刚接入防御系统，此时防御系统缺少该业务的画像，并不知道它正常流量是怎样的，防御效果就会大打折扣 。另外一个问题也发生过多次，在一些业务中客户端有重连的逻辑，或者出错后重传的逻辑，如果客户端逻辑设置不当，当服务端发生异常时不断重连或重传，也容易误判为攻击行为，导致整个 IP 被封禁 。针对这些防御缺陷，我们也在设计新的技术方案，包括访问源、客户端的信誉评分，尽量减少对正常用户的误杀 。
从历史发展来看，DDoS 的攻防技术一直在发展，但是攻击和防御从来都没有哪一方是占据绝对优势的，双方的技术总是在螺旋上升 。只要有利益存在，黑客就会不断挑战我们的防御方案，虽然今天我们做了大量防御技术上的创新，但是道高一尺，魔高一丈，黑客一定会研究新的攻击技术绕过我们的防御系统，从简单、粗暴的攻击方式往精细化、智能化方向发展，进而迫使我们研究新的防御技术，未来攻击和防御技术都会迈上一个新的台阶 。
【黑客“借刀杀人”，阿里 14 年经验安全大佬教你如何防御 DDoS 攻击】作者简介：叶敏，阿里云资深安全专家，在系统、应用、网络安全领域有14年研究经验，阿里反钓鱼、云盾反入侵、网络安全产品技术负责人，在网络安全攻防方面有丰富的经验，其主导建设的多项安全技术保护了阿里云百万级客户 。
作为“百万人学AI”的重要组成部分，2020 AIProCon 开发者万人大会将于6月26日通过线上直播形式，让开发者们一站式学习了解当下 AI 的前沿技术研究、核心技术与应用以及企业案例的实践经验，同时还可以在线参加精彩多样的开发者沙龙与编程项目 。参与前瞻系列活动、在线直播互动，不仅可以与上万名开发者们一起交流，还有机会赢取直播专属好礼，与技术大咖连麦 。
推荐阅读
- 华佗教你睡觉四个“戒律”，让你越来越年轻
- 夏日试试“天然止痒方”，再也不怕蚊虫叮咬了
- 睡眠中十个可怕小动作，再不“扔掉”你的身体迟早要遭殃
- 哪些景物被称为天下奇观？
- 胃病越来越严重，三种水果是“帮凶”
- 午睡给你的健康“充充电”，几类人却睡不得
- 点按穴位缓解“空调病”不适症状，人人都该学起来
- 男女养生有六个差别，别再傻傻分不清
- 十个遗传特征被称为“最糟的”，你有吗？
- 清燥解热是夏季养生关键，记住8个“最佳”就好