&nbsp;
<ul>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">流量模式异常检测</div>
<ul class="auto-hide-last-sibling-br">
<li>原理：正常的网站流量通常具有一定的模式和规律，如访问频率、请求路径分布、请求头和请求体的大小等。通过对历史流量数据的分析，可以建立一个流量模式的基线。当出现与基线差异较大的流量时，可能表示存在攻击行为。</li>
<li>配置策略：
<ul class="auto-hide-last-sibling-br">
<li>流量频率分析：
<ul class="auto-hide-last-sibling-br">
<li>配置 WAF 来统计不同 IP 地址或用户会话的请求频率。例如，对于一个普通的博客网站，正常情况下单个 IP 在一分钟内可能只会有几次页面访问请求。可以在 WAF 中设置一个阈值，如每分钟超过 50 次请求视为异常。当检测到某个 IP 的请求频率超过这个阈值时，WAF 可以采取相应的措施，如暂时封锁该 IP 或者要求进行验证码验证。</li>
<li>同时，考虑不同类型的请求频率。比如，注册或登录请求的频率通常会低于普通的内容浏览请求。对于注册和登录功能，可以设置更严格的频率限制，如每分钟不超过 3 次请求，以防止暴力破解攻击。</li>
</ul>
</li>
<li>请求路径分布监测：
<ul class="auto-hide-last-sibling-br">
<li>分析网站正常访问时的请求路径分布。例如，一个电商网站，大部分流量集中在产品页面、购物车页面和结账页面。WAF 可以记录每个路径被访问的比例作为基线。当出现大量请求集中在一些不常见的路径（如后台管理路径或者包含敏感信息的路径）时，视为异常。</li>
<li>利用机器学习算法（如聚类分析）来动态调整请求路径的正常范围。例如，随着业务的发展，新的页面或功能上线，WAF 可以自动更新请求路径的分布模型，以适应新的流量模式。</li>
</ul>
</li>
<li>请求头和请求体大小监控：
<ul class="auto-hide-last-sibling-br">
<li>确定正常请求头和请求体的大小范围。对于普通的网页浏览请求，请求头通常在几百字节到几 KB 之间，请求体大小也有一定的范围（如 HTML 页面请求体较小，文件上传请求体则根据允许上传的文件大小而定）。WAF 可以设置上下限来检测异常大小的请求。</li>
<li>当检测到异常大小的请求头或请求体时，进一步检查内容是否包含可疑的攻击特征。例如，一个异常大的请求体可能是包含恶意代码的 SQL 注入尝试或者是大量垃圾数据的 DDoS 攻击。</li>
</ul>
</li>
</ul>
</li>
</ul>
</li>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">用户行为异常检测</div>
<ul class="auto-hide-last-sibling-br">
<li>原理：每个用户在网站上的行为也有一定的模式。通过分析用户的行为序列、操作时间间隔、操作类型等，可以发现异常的用户行为，这可能是攻击者在进行恶意操作。</li>
<li>配置策略：
<ul class="auto-hide-last-sibling-br">
<li>行为序列分析：
<ul class="auto-hide-last-sibling-br">
<li>记录用户在网站上的操作序列，如登录、浏览页面、添加商品到购物车、结账等操作。利用马尔可夫链等模型来建立正常的用户行为序列模式。例如，正常用户在登录后通常会先浏览一些商品页面，然后可能会将商品添加到购物车，最后进行结账。如果检测到一个用户的行为序列不符合这个正常模式，如登录后直接尝试访问系统管理页面，WAF 可以判定为异常行为。</li>
<li>对于具有复杂业务逻辑的网站（如金融交易平台），可以根据具体的业务流程来细化行为序列模型。例如，在证券交易平台，正常的交易行为序列包括查看行情、下单、确认订单等步骤，WAF 可以对这些步骤的顺序和时间间隔进行监控，以发现异常交易行为。</li>
</ul>
</li>
<li>操作时间间隔监测：
<ul class="auto-hide-last-sibling-br">
<li>分析用户不同操作之间的时间间隔。例如，正常用户在填写注册表单时，各个字段的填写时间间隔可能比较均匀，而攻击者使用自动化工具填写表单时，时间间隔可能会非常短或者几乎为零。WAF 可以设置一个时间间隔阈值，如在填写表单时，两个相邻字段的填写时间间隔小于 0.1 秒视为异常。</li>
<li>对于一些需要用户仔细阅读和操作的功能（如阅读并同意用户协议），可以设置较长的时间间隔下限。如果检测到用户在极短的时间内完成这些操作，可能表示存在自动化攻击的嫌疑。</li>
</ul>
</li>
<li>操作类型异常检测：
<ul class="auto-hide-last-sibling-br">
<li>确定每个用户角色或用户组正常的操作类型。例如，普通用户在内容管理系统中通常只会进行内容浏览和评论操作，而管理员会进行内容发布、审核等操作。WAF 可以根据用户的权限和角色来监测操作类型是否异常。</li>
<li>当检测到用户进行与其角色不相符的操作时，如普通用户尝试执行管理员权限的操作（如删除其他用户的评论），WAF 可以立即拦截该操作，并可能触发警报，通知管理员进行进一步调查。</li>
</ul>
</li>
</ul>
</li>
</ul>
</li>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">内容异常检测</div>
<ul class="auto-hide-last-sibling-br">
<li>原理：除了流量和用户行为，请求内容本身也可能存在异常。这包括数据格式、编码方式、语言特征等方面的异常，这些异常可能是攻击的迹象。</li>
<li>配置策略：
<ul class="auto-hide-last-sibling-br">
<li>数据格式异常检查：
<ul class="auto-hide-last-sibling-br">
<li>对于网站接受的各种数据格式（如 JSON、XML、表单数据等），建立正常的数据格式模型。例如，对于一个接受 JSON 数据的 API 接口，正常的 JSON 数据应该符合一定的结构和数据类型要求。WAF 可以使用 JSON Schema 等工具来验证数据格式。当检测到不符合正常格式的 JSON 数据时，如缺少关键字段或者字段数据类型错误，视为异常。</li>
<li>对于文件上传功能，检查上传文件的格式是否符合预期。除了检查文件扩展名，还可以通过检查文件头的二进制签名来确定文件的真实格式。例如，对于声称是 JPEG 图片的文件，检查其文件头是否符合 JPEG 文件的标准签名，否则可能是攻击者试图上传恶意文件。</li>
</ul>
</li>
<li>编码方式异常监测：
<ul class="auto-hide-last-sibling-br">
<li>分析正常请求中使用的编码方式。例如，在网页请求中，通常使用 UTF &#8211; 8 编码来表示文本内容。WAF 可以检查请求头中的编码声明与实际请求内容的编码是否一致。如果检测到不一致或者使用了不常见的编码方式（如一些攻击者可能会使用自定义编码来隐藏恶意内容），视为异常。</li>
<li>对于 URL 编码，监控是否存在过度编码或者恶意编码的情况。例如，正常的 URL 参数可能只会有适度的编码，但攻击者可能会使用多次编码来绕过简单的过滤机制。WAF 可以对 URL 编码进行解码和检查，以发现潜在的攻击特征。</li>
</ul>
</li>
<li>语言特征异常检测：
<ul class="auto-hide-last-sibling-br">
<li>利用自然语言处理（NLP）技术来分析请求内容中的文本部分。例如，对于一个博客网站的评论功能，正常的评论应该具有自然语言的语法和词汇特征。WAF 可以通过建立语言模型（如使用词袋模型或者深度学习语言模型）来检测评论内容是否包含异常的语言特征。</li>
<li>异常的语言特征可能包括大量无意义的字符组合、不符合语法的句子结构或者包含特定的恶意词汇（如与网络攻击相关的词汇）。当检测到这些异常语言特征时，WAF 可以采取措施，如阻止评论发布或者将评论标记为需要人工审核。</li>
</ul>
</li>
</ul>
</li>
</ul>
</li>
</ul>
&nbsp;

&#160; 流量模式异常检测 原理：正常的网站流量通常具有一定的模式和规律，如访问频率、请求路径分布、请求头 [&#8230;]

基于异常检测的 waf 策略配置

&nbsp;
<ul>
<li>理论基础
<ul class="auto-hide-last-sibling-br">
<li>SSL 证书用于在客户端和服务器之间建立安全的加密连接。当网站启用 SSL 证书时（通过 https:// 访问），数据传输过程中的加密和解密操作会消耗一定的计算资源。这主要涉及到非对称加密算法（如 RSA）在握手阶段交换密钥，以及对称加密算法（如 AES）在后续数据传输阶段的加密和解密。</li>
<li>从网络层面看，使用 https 协议可能会增加额外的 TCP 连接建立的时间开销。因为在传统的 http 连接基础上，https 还需要进行 SSL/TLS 握手过程。这个握手过程包括客户端向服务器发送支持的加密算法列表、服务器选择加密算法并返回数字证书、客户端验证证书合法性、双方协商生成会话密钥等步骤。</li>
</ul>
</li>
<li>实际影响因素
<ul class="auto-hide-last-sibling-br">
<li>服务器性能：
<ul class="auto-hide-last-sibling-br">
<li>如果服务器的硬件配置较低，例如 CPU 性能差、内存不足，那么处理 SSL 证书相关的加密和解密操作会比较吃力。例如，在老旧的单核服务器上，启用 SSL 后，处理加密任务可能会使 CPU 使用率大幅上升，导致网站响应时间明显增加。</li>
<li>高性能的服务器能够更高效地处理加密和解密工作。像配备多核高性能 CPU 和充足内存的服务器，可以利用多核心并行处理加密任务，减少 SSL 证书对加载速度的影响。</li>
</ul>
</li>
<li>证书类型和质量：
<ul class="auto-hide-last-sibling-br">
<li>不同类型的 SSL 证书（如 DV &#8211; 域名验证型、OV &#8211; 组织验证型、EV &#8211; 扩展验证型）在验证过程中的复杂程度不同。DV 证书验证相对简单，主要验证域名所有权，其对加载速度的影响相对较小。而 EV 证书除了验证域名所有权外，还对企业的合法性等进行严格验证，这个过程可能会稍微复杂一些，在一定程度上影响加载速度。</li>
<li>证书的质量也很重要。一些由知名权威机构颁发的高质量证书，其算法优化较好，在加密和解密过程中效率较高。相反，质量差的证书可能会导致兼容性问题或者加密效率低下，从而影响网站加载速度。</li>
</ul>
</li>
<li>网站内容大小和复杂度：
<ul class="auto-hide-last-sibling-br">
<li>对于内容简单、页面较小的网站，如只有少量文本的静态页面，SSL 证书对加载速度的影响相对较小。因为加密和解密的数据量少，即使有额外的 SSL 开销，在整体加载时间中所占比例也不大。</li>
<li>然而，对于内容丰富、包含大量图片、视频等多媒体元素的复杂网站，SSL 证书的影响可能会更明显。因为有更多的数据需要加密和解密，而且这些多媒体元素本身加载就需要一定的时间，SSL 加密操作会在这个基础上进一步增加加载时间。</li>
</ul>
</li>
</ul>
</li>
<li>具体的影响程度
<ul class="auto-hide-last-sibling-br">
<li>在理想情况下，对于配置良好的服务器和简单的网站，启用 SSL 证书可能只会使网站加载速度降低 5 &#8211; 10% 左右。例如，一个原本加载时间为 1 秒的简单网站，启用 SSL 后可能会增加到 1.05 &#8211; 1.1 秒。</li>
<li>但如果服务器性能差且网站内容复杂，加载速度可能会降低 30 &#8211; 50% 甚至更多。比如一个复杂的电商网站，原本加载时间为 5 秒，启用 SSL 后可能会增加到 7.5 &#8211; 10 秒。不过，随着技术的不断进步，如 HTTP/2 协议的应用（它在 https 下也能高效工作）、服务器端优化（如硬件加速卡用于加密运算）等，可以在很大程度上减少 SSL 证书对加载速度的不利影响。</li>
</ul>
</li>
</ul>
&nbsp;

&#160; 理论基础 SSL 证书用于在客户端和服务器之间建立安全的加密连接。当网站启用 SSL 证书时（通 [&#8230;]

如何查看网站是否正确安装了 SSL 证书

根据中国《非经营性互联网信息服务备案管理办法》、《互联网信息服务管理办法》等法律法规要求，未备案等不符合中国大陆相关法律法规的网站不得在大陆境内开展业务。知道创宇目前仅针对大陆境内合法合规的网站可提供免费服务，针对大陆境内未备案的网站，无法提供服务（如DNS解析、CDN、网站服务器抗D、网站防黑客入侵）；由于法律法规差异，针对海外客户，我们在海外建立了数个数据中心，可支持海外网站加速防护，若有相关需求请联系在线客服咨询。

根据中国《非经营性互联网信息服务备案管理办法》、《互联网信息服务管理办法》等法律法规要求，未备案等不符合中国大陆相关法律法规的网站不得在大陆境内开展业务。

没有ICP备案的网站/域名能使用云安全吗？

知道创宇云防御会对长时间没有将DNS解析接入云防御的域名做清理（包含DNS解析），因此您需要重新激活域名并完成域名归属验证。 <div class="media-wrap image-wrap"><img src="http://help.yunaq.com/wp-content/uploads/2021/01/1.png" alt="" srcset="http://help.yunaq.com/wp-content/uploads/2021/01/1.png 1522w, http://help.yunaq.com/wp-content/uploads/2021/01/1-300x37.png 300w, http://help.yunaq.com/wp-content/uploads/2021/01/1-768x96.png 768w, http://help.yunaq.com/wp-content/uploads/2021/01/1-1024x128.png 1024w, http://help.yunaq.com/wp-content/uploads/2021/01/1-60x7.png 60w, http://help.yunaq.com/wp-content/uploads/2021/01/1-150x19.png 150w" sizes="(max-width: 1522px) 100vw, 1522px" class="alignnone size-full wp-image-2623"/></div><div class="media-wrap image-wrap"><img src="http://help.yunaq.com/wp-content/uploads/2021/01/2.png" alt="" srcset="http://help.yunaq.com/wp-content/uploads/2021/01/2.png 1543w, http://help.yunaq.com/wp-content/uploads/2021/01/2-300x167.png 300w, http://help.yunaq.com/wp-content/uploads/2021/01/2-768x427.png 768w, http://help.yunaq.com/wp-content/uploads/2021/01/2-1024x569.png 1024w, http://help.yunaq.com/wp-content/uploads/2021/01/2-60x33.png 60w, http://help.yunaq.com/wp-content/uploads/2021/01/2-150x83.png 150w" sizes="(max-width: 1543px) 100vw, 1543px" class="alignnone size-full wp-image-2624"/></div><div class="media-wrap image-wrap"><img src="http://help.yunaq.com/wp-content/uploads/2021/01/3.png" alt="" srcset="http://help.yunaq.com/wp-content/uploads/2021/01/3.png 1531w, http://help.yunaq.com/wp-content/uploads/2021/01/3-300x133.png 300w, http://help.yunaq.com/wp-content/uploads/2021/01/3-768x341.png 768w, http://help.yunaq.com/wp-content/uploads/2021/01/3-1024x454.png 1024w, http://help.yunaq.com/wp-content/uploads/2021/01/3-60x27.png 60w, http://help.yunaq.com/wp-content/uploads/2021/01/3-150x67.png 150w" sizes="(max-width: 1531px) 100vw, 1531px" class="alignnone size-full wp-image-2625"/></div> 若激活域名时提示“已存在相同的激活域名”，请联系在线客服。

知道创宇云防御会对长时间没有将DNS解析接入云防御的域名做清理，因此您需要重新激活域名并完成域名归属验证。 &#038; [&#8230;]

热门搜索词

热门文章

如何查看网站是否正确安装了 SSL 证书

没有ICP备案的网站/域名能使用云安全吗？

为什么以前添加过的域名需要重新激活？

关注知道创宇云安全

完善信息下载白皮书

热门搜索词

热门文章

如何查看网站是否正确安装了 SSL 证书

没有ICP备案的网站/域名能使用云安全吗？

为什么以前添加过的域名需要重新激活？

关注知道创宇云安全