阿里云WAF CC攻击防护规则配置完全指南：从入门到精通

1. CC攻击：Web应用面临的持续威胁

Challenge Collapsar攻击，简称CC攻击，是一种专门针对Web应用层的分布式拒绝服务攻击手段。与传统DDoS攻击消耗网络带宽不同，CC攻击通过操控大量傀儡机或代理服务器，向目标网站发起大量看似合法的HTTP请求，旨在耗尽服务器的应用层资源——包括数据库连接池、CPU计算能力、内存资源等，最终导致正常用户无法访问。

CC攻击的狡猾之处在于，攻击流量中的每一个请求都符合HTTP协议规范，来源IP分散且请求内容与正常用户几乎无异，传统基于特征码的防护规则难以识别。攻击者可能针对登录接口发起高频撞库尝试，也可能对搜索、下单等高资源消耗的API接口持续施压，导致服务器负载飙升、响应延迟甚至服务中断。

面对这一威胁，阿里云Web应用防火墙提供了多层次、可定制的CC攻击防护方案。本文将从基础配置到高级调优，系统性地介绍如何利用WAF有效防御CC攻击。

需要先登录阿里云控制台，点击：阿里云控制台

2. WAF CC防护体系概览

阿里云WAF的CC防护能力主要通过两条路径实现：一是开箱即用的"CC安全防护"功能，二是高度灵活的"自定义防护策略"。两者相辅相成，适用于不同的防护场景。

2.1 CC安全防护：一键启用的基础防线

CC安全防护是WAF中最基础的CC防御模块，网站接入WAF后默认开启。它提供两种防护模式：

• 防护模式（正常模式）：仅拦截特征显著的异常请求，误杀率较低，适用于日常业务运行平稳的场景。
• 防护-紧急模式：高效拦截CC攻击，但可能造成较多误杀。当网站出现响应缓慢、流量异常、CPU飙升等明显被攻击迹象时，可启用此模式进行紧急处置。

需要注意的是，防护-紧急模式主要适用于网页或H5页面，不建议对原生App或API环境开启，否则会造成大量误拦截。

2.2 自定义防护策略：精细化控制的进阶武器

对于需要更精细控制的场景，WAF提供了自定义防护策略功能。自定义规则分为ACL访问控制规则和CC攻击防护规则两大类。其中CC攻击防护规则在精确匹配条件的基础上，进一步定义访问频率限制条件，能够针对性过滤异常请求。

不同版本的WAF实例对自定义规则的支持能力有所不同。高级版、企业版及旗舰版均支持频率设置功能，而旗舰版及以上还支持使用除IP和Session外的自定义统计对象字段，实现更细粒度的限速。

3. 配置CC安全防护：快速上手指南

对于大多数中小型网站而言，CC安全防护的默认配置已经能够提供基本的防护能力。以下是详细的配置步骤：

3.1 操作步骤

登录Web应用防火墙控制台后，在顶部菜单栏选择WAF实例的资源组和地域。在左侧导航栏中进入防护配置页面，切换到需要设置的域名，单击"访问控制/限流"页签，定位到"CC安全防护"区域。

在CC安全防护区域完成以下配置：

• 状态开关：开启或关闭CC安全防护功能。网站接入WAF后默认开启。
• 模式选择：根据业务情况选择"防护"或"防护-紧急"。

配置完成后，WAF即开始对选定域名的请求进行CC攻击检测与拦截。

3.2 两种模式的适用场景

选择哪种模式取决于当前的业务状态。在网站无明显流量异常时，建议使用"防护"模式，避免因过于严格的策略导致正常用户被误拦截。当发现"防护"模式无法有效拦截CC攻击，且网站已出现响应缓慢、流量异常、CPU或内存指标飙升时，应立即切换至"防护-紧急"模式。紧急模式会降低判定CC攻击的频率和周期阈值，对超过阈值的访问请求一律拦截，从而在极端情况下保障业务的可用性。

4. 自定义防护策略：精细化CC防护的核心

当默认的CC安全防护无法满足业务需求，或需要针对特定URL、特定参数进行差异化防护时，自定义防护策略是最佳选择。

4.1 创建自定义防护规则

在WAF控制台的"访问控制/限流"页签中，定位到"自定义防护策略"区域，开启状态开关并单击"前去配置"。在自定义防护策略页面，单击"新建自定义防护策略"开始创建规则。

每条自定义规则包含以下核心配置项：

• 规则名称：为规则命名，便于识别和管理。
• 匹配条件：定义规则的检测逻辑，只有命中匹配条件的请求才会触发频率统计。支持设置最多5个条件，多个条件之间为"且"的关系。匹配字段包括客户端IP、请求URL、请求头等。
• 频率设置：开启后，系统对命中匹配条件的请求进行频率统计。需配置统计对象、统计时长、阈值等参数。
• 处置动作：当请求频率超过阈值时执行的动作，包括观察、拦截、滑块验证等。
• 超时时间：触发处置后的生效持续时间。

4.2 频率设置参数详解

频率设置是CC防护规则中最核心的部分，各参数的合理配置直接决定了防护效果。

统计对象：决定以什么维度进行频率统计。最常用的是客户端IP，也可以选择Session或自定义Cookie。对于存在大量NAT出口的场景，基于IP的封禁可能误伤大量正常用户，此时可以考虑使用Cookie中业务自带的用户ID作为统计对象。

统计时长：频率统计的时间窗口，单位为秒，取值范围通常为5至1800秒。时间窗口越短，对突发流量的响应越灵敏；时间窗口越长，越能反映持续性的异常行为。

统计阈值：在统计时长内允许的最大请求次数。阈值设置过低容易误拦截正常用户，设置过高则可能漏过攻击流量。需要根据业务正常访问量进行合理估算。

响应码过滤：可选配置，支持按数量或百分比设置。例如，可以配置当某个IP在5秒内请求超过900次且502响应占比超过80%时触发处置。这种配置能够更加精准地识别那些导致源站异常的恶意请求。

处置动作：可选动作包括观察、拦截、滑块验证、严格滑块验证、JS验证等。不同动作的优先级由高到低依次为：拦截、严格滑块验证、普通滑块验证、JS验证。滑块和严格滑块验证用于校验请求是否来自真实浏览器，适用于网页和H5场景，但不适用于原生App和API环境。

超时时间：触发处置后的封禁时长，范围从10秒到24小时。对于高频攻击源，建议设置较长的封禁时间；对于可能存在误判的场景，可以设置较短的封禁时间以便快速恢复。

4.3 典型配置示例

以下是一些经过实践检验的CC防护规则配置示例，可直接参考使用。

示例一：中小型站点基础防护

配置一个IP在30秒内访问当前域名下任意路径的次数超过1000次时，封禁该IP的请求10个小时。该规则适用于一般中小型站点的预防性配置。具体参数为：统计对象选择IP，统计时长设为30秒，阈值设为1000次，处置动作选择封禁，超时时间设为36000秒。

示例二：登录接口防撞库

针对登录接口的恶意高频撞库攻击，可以配置登录接口地址的精确匹配规则。例如，使用前缀匹配逻辑符将匹配内容设置为/login.php，统计时长设为60秒，阈值设为20次，一旦超过即进行封禁。由于登录接口的正常用户访问频率极低，较低的阈值即可有效防御自动化攻击。

示例三：基于Cookie的用户级限速

对于旗舰版WAF实例，可以使用自定义Cookie作为统计对象。假设业务中标记用户的Cookie格式为uid=12345，可以配置统计对象选择自定义Cookie，Cookie名称设置为uid，按uid值分别统计请求频率。阈值可设为60秒内10次，处置动作选择滑块验证。这种方式避免了对共享IP的误封禁，精准定位到具体用户。

示例四：全站高频拦截

配置当某个客户端IP在5秒内命中匹配条件的次数超过3000次时，对该IP触发黑名单处置，黑名单超时设为300秒。这种配置适用于应对大流量突发攻击，能够在短时间内快速封禁高频请求源。

5. 典型攻击场景的针对性防护

CC攻击的形式多种多样，不同场景需要采取不同的防护策略。以下是几种常见攻击场景及对应的WAF配置方案。

5.1 大流量高频CC攻击

在大规模CC攻击中，单台傀儡机的请求速率远超正常用户。针对这种场景，最有效的手段是直接对请求源设置限速规则。推荐使用WAF自定义防护策略的频率设置功能，配置基于IP的限速策略。实际配置时，需要根据自身业务需求调整防护路径和触发阈值。

5.2 攻击源来自海外或公有云

CC攻击中经常出现攻击源主要来自海外IP、公有云IP或IDC机房IP的情形。对于面向中国用户的站点，可以通过封禁海外访问来缓解攻击压力。推荐使用WAF的地域级IP黑名单功能，在地域级IP黑名单配置页面选择"中国境外"页签，将所有中国境外的国家和地区加入封禁列表。

5.3 API与原生App防护

API和原生App环境无法执行滑块验证或JS挑战，因此处置动作必须设置为阻断（拦截）。同时，不应在这些环境开启CC安全防护的"防护-紧急"模式。对于API业务，建议使用自定义防护策略，基于IP或API密钥等维度设置精确的频率限制规则。

5.4 低频CC攻击

低频CC攻击通过模拟真实用户行为，以较低请求频率持续访问高资源消耗的接口，如登录、搜索、下单等。这类攻击的单个请求频率不高，但长期持续会导致服务器资源逐渐耗尽。针对低频CC攻击，需要结合业务特点设置相对较低的阈值，并配合较长的统计时长来识别持续性异常行为。

6. 访问控制/限流白名单：避免误拦截

在配置CC防护规则时，误拦截是不可避免的挑战。合法用户可能因网络波动、共享IP、VPN等原因被误判为攻击源。WAF提供了访问控制/限流白名单功能来解决这一问题。

白名单允许满足特定条件的请求忽略指定模块的检测，包括CC安全防护、IP黑名单、扫描防护、自定义防护策略等。可以通过设置白名单放行因触发访问控制/限流相关规则而被误拦截的业务请求。

常见的白名单配置场景包括：

• 将公司办公网络的出口IP加入白名单，避免内部员工访问时被误拦截。
• 将可信的第三方服务商IP加入白名单，确保API调用不被阻断。
• 将搜索引擎爬虫的IP段加入白名单（需谨慎评估），保证SEO效果不受影响。

配置白名单时应当遵循最小必要原则，只加白确实可信的IP或请求特征，避免过度宽松导致防护失效。

7. 防护模板管理：多场景精细化管控

WAF 3.0引入了防护模板的概念，使得CC防护规则的管理更加灵活和高效。

7.1 模板类型

防护模板分为默认防护模板和自定义防护模板两种类型。包年包月高级版、企业版及旗舰版WAF提供一个初始的默认防护模板。默认模板在创建时自动对没有关联自定义模板的防护对象生效，后续新增的防护对象也自动加入。自定义模板需要手动指定生效的防护对象或对象组，适用于针对特定业务部署精细化防护规则的场景。

7.2 模板创建与生效

在WAF 3.0控制台的CC防护区域，单击"新建模板"即可开始创建。创建时需要配置模板名称、是否设置为默认模板、规则配置以及生效对象。一个防护对象或对象组仅能关联一个防护模板。当某防护对象加入自定义模板时，系统会自动将其从默认模板中移出。

通过合理运用默认模板与自定义模板的组合，可以实现对不同业务域名的差异化CC防护策略，既保证了核心业务的高强度防护，又不影响其他业务的正常运行。

8. 日志监控与持续优化

CC防护的配置不是一劳永逸的，需要基于实际运行数据进行持续调优。

8.1 日志分析与监控

WAF日志服务帮助采集并存储WAF防护域名的请求日志，供查询与分析。通过分析攻击日志，可以识别被拦截的请求模式、判断是否存在误拦截、发现新的攻击特征。建议定期查看WAF安全报表，集中查看已接入防护资源的防护数据统计及日志信息。

基于日志服务，还可以配置自定义监控图表和告警服务。当检测到异常流量模式或攻击特征时，系统自动发送告警通知，帮助安全团队及时响应。

8.2 误拦截率评估与规则调优

在运营过程中，建议持续监控误拦截率——即误拦截数占总拦截数的比例。如果误报率较高，说明规则阈值可能过严，需要逐步放宽阈值。具体可以从增加统计阈值或延长统计时长两个方向进行调整。反之，如果漏报率较高，说明规则过于宽松，需要收紧参数或增加新的规则。

9. 综合防护策略：多层次防御体系

单一的CC防护规则难以应对复杂多变的攻击手法。建议构建多层次的防御体系：

• 基础防护层：开启WAF的规则防护引擎，防御SQL注入、XSS跨站、WebShell上传等常见Web攻击。
• CC防护层：启用CC安全防护与自定义防护策略，针对高频请求进行频率限制。
• 访问控制层：配置IP黑白名单、地域封禁，从源头阻断恶意流量。
• Bot管理层：识别和拦截恶意爬虫流量。
• 智能语义层：利用AI语义分析识别变形攻击和未知威胁。

各层级之间相互补充、协同工作，才能构建起真正有效的Web应用安全防线。

10. 总结与最佳实践建议

阿里云WAF提供了从开箱即用到高度定制的完整CC防护能力体系。在实际配置中，建议遵循以下最佳实践：

首先，在业务上线初期或规则调整初期，优先使用"观察"模式运行一段时间，通过分析日志了解业务流量特征，再逐步切换到拦截模式。这能有效避免因规则不当导致的业务中断。

其次，针对核心业务接口配置专项防护规则。登录、支付、下单等高价值接口应设置更严格的频率限制。不同接口的正常访问频率差异巨大，一刀切的规则往往效果不佳。

第三，合理利用白名单机制。将可信IP和可信请求特征加入白名单，避免误拦截影响正常业务。但白名单的范围应当严格受限，不可过度宽松。

第四，对于API和App环境，禁用滑块验证类处置动作，统一使用拦截。同时避免在这些环境启用"防护-紧急"模式。

第五，建立持续的监控与调优机制。定期分析WAF日志，评估防护效果，根据攻击态势的变化及时调整规则参数。

第六，充分利用WAF不同版本的能力差异。旗舰版及以上支持自定义统计对象，可以实现基于Cookie或业务参数的精细限速。如果业务对防护精度有较高要求，建议升级到相应版本。

通过以上方法的综合运用，可以有效抵御各类CC攻击，保障Web业务的稳定运行与用户体验。

常见问题解答

问1：CC安全防护的"防护"模式和"防护-紧急"模式有什么区别？

"防护"模式仅拦截特征显著的异常请求，误杀率较低，适用于日常业务运行平稳的场景。"防护-紧急"模式则高效拦截CC攻击，但可能造成较多误杀，适用于网站已遭受攻击、出现响应缓慢或CPU飙升等异常情况时的紧急处置。

问2：如何避免CC防护规则误拦截正常用户？

可以通过三种方式降低误拦截风险：一是使用访问控制/限流白名单将可信IP加入白名单；二是适当放宽频率阈值或延长统计时长；三是对于旗舰版及以上实例，使用自定义Cookie等更精准的统计对象代替IP。

问3：API接口应该如何配置CC防护？

API环境无法执行滑块验证或JS挑战，处置动作必须设置为拦截（阻断）。同时不应开启CC安全防护的"防护-紧急"模式。建议使用自定义防护策略，基于IP或API密钥设置精确的频率限制规则。

问4：自定义防护策略中的统计对象有哪些选择？各有什么特点？

统计对象可以选择IP、Session或自定义Cookie。IP是最常用的统计维度，但在NAT出口场景下容易误伤大量用户。Session适用于需要跟踪会话的场景。自定义Cookie（旗舰版及以上支持）可以实现基于业务用户ID的精细限速，精准度最高。

问5：配置CC防护规则时，统计时长和阈值应该如何确定？

统计时长和阈值需要基于业务正常访问量来确定。一般建议先通过WAF日志分析业务流量基线，了解正常用户的访问频率分布，然后在此基础上设置略高于正常值的阈值。对于敏感接口（如登录），阈值应设置得更低；对于公开内容页面，阈值可以相对宽松。

问6：WAF的CC防护与DDoS防护有什么区别？

DDoS防护主要工作在网络层和传输层，防御大流量攻击。WAF的CC防护工作在应用层（HTTP/HTTPS），针对的是看似合法但高频的恶意请求。两者互补使用才能构建完整的DDoS与CC防御体系。