一、CC攻击：Web应用最顽固的"牛皮癣"
CC攻击（Challenge Collapsar）本质上是一种应用层DDoS攻击。它不像流量型攻击那样粗暴地灌满带宽，而是模拟正常用户行为，以极高的频率向目标发送看似合法的HTTP请求，耗尽服务器的连接池、CPU和内存资源。
这种攻击之所以难防，核心原因有三个：
第一，流量特征不明显。 单个请求的频率可能只比正常用户高出2-3倍，传统基于阈值的防火墙很难区分"高频正常用户"和"低频攻击者"。
第二，请求内容合法。 攻击者使用真实的User-Agent、完整的Cookie、甚至模拟完整的浏览路径，让基于规则的过滤几乎失效。
第三，攻击源分散。 借助代理池和僵尸网络，攻击请求可能来自数百甚至数千个不同IP，IP封禁策略形同虚设。
正因如此，CC攻击被称为Web应用安全领域最顽固的"牛皮癣"——杀不死、封不完、挡不住。而解决这个问题的关键，在于从"基于特征的被动防御"转向"基于行为的主动识别"。
二、传统WAF防御CC攻击的三大困局
在深入自定义规则引擎和AI行为分析之前，有必要先看清传统WAF在面对CC攻击时的结构性短板。
困局一：静态规则的滞后性。 传统WAF依赖预置规则库，规则更新周期通常以天甚至周为单位。而CC攻击的手法迭代极快，今天用单URL高频访问，明天就变成多URL轮询，后天又改为随机延迟访问。静态规则永远追不上动态攻击。
困局二：误杀率居高不下。 为了提高检出率，管理员往往把阈值设得很低，结果正常的高并发场景（如秒杀活动、爬虫抓取）被大量误拦截，业务可用性反而受损。
困局三：缺乏上下文理解能力。 传统WAF逐条分析请求，不具备"会话级"的行为建模能力。它看到的是孤立的HTTP包，而不是一个完整的用户行为序列。
这三个困局，恰恰是自定义规则引擎和AI行为分析要解决的核心问题。
三、自定义规则引擎：把防御逻辑交给业务
自定义规则引擎的核心价值在于：让最了解业务的人，写出最精准的防御逻辑。
3.1 规则设计的三层架构
在实战中，我建议将自定义规则分为三层：
第一层：基础频率层。 这是最粗粒度的过滤，针对单个IP在单位时间内的请求次数设定阈值。但关键不在于阈值本身，而在于"动态阈值"——根据当前业务的实时QPS自动调整基线。例如，凌晨时段基线可能只有50次/分钟，而高峰期可能是5000次/分钟。固定阈值在这种场景下必然失效。
第二层：路径关联层。 CC攻击往往集中在少数高成本接口（如搜索接口、登录接口、查询接口）。自定义规则可以设定：当某个IP在短时间内访问超过N个不同的高成本路径时，直接触发告警或拦截。这比单纯看频率更精准，因为正常用户即使访问频繁，通常也会集中在1-2个页面上。
第三层：行为指纹层。 这是最精细的一层。通过组合多个请求特征构建"行为指纹"，例如：请求间隔是否过于均匀（机器特征）、是否携带完整的Referer链路（正常浏览特征）、是否按顺序访问页面（人类特征）。任何一个维度不符合正常用户模式，就可以提升风险评分。
3.2 规则引擎的关键：不是写得多，而是写得准
很多管理员犯的错误是一次性写入上百条规则，结果规则之间互相冲突，导致正常流量被误杀。
正确的做法是：少量核心规则 + 动态评分机制。 先用3-5条高置信度规则过滤掉80%的明显攻击流量，剩余的模糊流量交给评分系统做二次判断。规则不在多，在于每一条都有明确的业务依据。
四、AI行为分析：让系统学会"识别异常"
如果说自定义规则引擎是"告诉系统什么是攻击"，那么AI行为分析就是"让系统自己学会什么是攻击"。
4.1 行为分析的核心逻辑
AI行为分析不看单次请求，而是看行为序列。它会为每个访问者建立一个行为模型，包含以下维度：
- 访问节奏模型： 正常用户的点击间隔是不规则的，有快有慢，有时会停留阅读。而CC攻击的请求间隔往往高度均匀，或者呈现固定的延迟模式。
- 路径遍历模型： 正常用户的浏览路径是有逻辑的，比如"首页→列表页→详情页→返回"。而CC攻击往往直接命中详情页，或者随机跳转，缺少合理的导航逻辑。
- 资源消耗模型： 同样是访问一个页面，正常浏览器会加载CSS、JS、图片等静态资源，而CC攻击通常只请求HTML接口，不加载任何静态资源，服务器端的资源消耗比完全不同。
4.2 AI分析的两个关键能力
能力一：基线学习。 系统需要在业务正常运行期间持续学习，建立"正常行为基线"。这个基线不是固定值，而是一个动态范围。比如，某个接口的正常响应时间基线是50-200ms，如果突然出现大量请求的响应时间都集中在10ms以内（说明是直接调用接口而非完整页面访问），系统就会标记异常。
能力二：异常检测。 当新的访问行为偏离基线超过设定的置信度时，系统不会立即拦截，而是进入"观察模式"——继续收集该访问者的行为数据，如果连续多个周期都偏离基线，才执行拦截。这种"先观察后决策"的机制，大幅降低了误杀率。
4.3 AI分析的实战优势
在一次真实的CC攻击防御中，我们遇到了这样的场景：攻击流量来自500多个不同IP，每个IP的请求频率只比正常用户高1.5倍，且使用了真实的浏览器指纹。传统规则完全无法识别。
但AI行为分析在15分钟内就锁定了异常：这500多个IP虽然来源不同，但它们的访问路径完全一致——都是直接调用搜索接口，不经过首页，不加载任何静态资源，且请求间隔的标准差极小（正常用户的间隔标准差通常是攻击流量的3-5倍）。基于这个行为指纹，系统在不误杀任何正常用户的情况下，精准拦截了全部攻击流量。
五、规则引擎 + AI分析：1+1>2的协同防御
自定义规则引擎和AI行为分析不是替代关系，而是互补关系。
规则引擎负责"快"： 对于特征明显的攻击（如单IP超高频访问、已知攻击工具的User-Agent），规则引擎可以在毫秒级完成拦截，不需要等待AI模型的判断。
AI分析负责"准"： 对于特征模糊的攻击（如低频慢速、高度拟真的请求），AI分析通过行为序列建模，弥补规则引擎的盲区。
最佳实践是建立"规则初筛 + AI精判"的双层架构：
- 所有流量先经过规则引擎，命中高置信度规则的直接拦截；
- 未被拦截的流量进入AI分析层，进行行为评分；
- 评分超过阈值的流量执行拦截或人机验证；
- 所有拦截决策记录日志，定期回溯分析，反向优化规则。
这套架构的核心优势在于：既保证了响应速度，又保证了检测精度，同时具备持续进化的能力。
六、实战中容易踩的三个坑
坑一：过度依赖AI，忽视规则。 AI模型需要足够的数据才能准确判断，在攻击初期数据量不足时，AI的判断可能不如一条精心设计的规则靠谱。
坑二：规则和AI的阈值设得太死。 业务是动态变化的，周末和工作日的流量模式完全不同，促销期和平常期的基线也不一样。所有阈值都应该支持按时间段动态调整。
坑三：只防不看。 防御策略上线后不做持续监控和优化，等于把门关上就不管了。建议每周至少review一次拦截日志，分析误杀和漏杀的案例，持续迭代规则和模型。
七、总结
CC攻击的防御，本质上是一场"攻击手法"与"防御策略"的持续博弈。没有一劳永逸的方案，只有不断进化的体系。
自定义规则引擎让防御策略贴近业务实际，AI行为分析让系统具备识别未知攻击的能力。两者结合，才能在"不误杀正常用户"和"精准拦截攻击流量"之间找到最佳平衡点。
最后一个建议：不要等到被攻击了才开始配置WAF策略。 在业务上线初期就建立行为基线、预设核心规则，才能在攻击来临时做到快速响应，而不是手忙脚乱地临时救火。
