網絡安全態勢嚴峻，常見的五大網絡攻擊風險類型
趙偉認為，企業線上服務所面臨的安全風險，主要來自以下五個方面：
DDoS攻擊類型已有20多年曆史，它攻擊方式簡單直接，通過偽造報文直接擁塞企業上聯帶寬。隨着IoT等終端設備增多，網絡攻擊量也愈發兇猛。根據阿里雲安全中心報告顯示，在2019年，超過100G的攻擊已經比較常見，而且超過 500G 的攻擊也已經成為常態。一旦企業服務面臨這種情況，上聯帶寬被打滿，正常請求無法承接，就會導致企業服務無法正常提供線上服務。因此，防禦DDoS 攻擊依然是企業首先要投入去應對的問題。
相比於四層DDoS攻擊偽造報文，CC攻擊通過向受害的服務器發送大量請求來耗盡服務器的資源寶庫CPU、內存等。常見的方式是訪問需要服務器進行數據庫查詢的相關請求，這種情況想服務器負載以及資源消耗會很快飆升，導致服務器響應變慢甚至不可用。
常見的 Web 攻擊包括SQL 注入、跨站腳本攻擊XSS、跨站請求偽造CSRF等。與DDoS和CC以大量報文發起的攻擊相比，Web 攻擊主要是利用 Web 設計的漏洞達到攻擊的目標。一旦攻擊行為實施成功，要麼網站的數據庫內容泄露，或者網頁被掛馬。數據庫內容泄露嚴重影響企業的數據安全，網頁被掛馬會影響企業網站的安全形象以及被搜索引擎降權等。
根據阿里雲安全中心的報告數據顯示，2019年，惡意爬蟲在房產、交通、遊戲、電商、資訊論壇等幾個行業中的佔比都超過50%。惡意爬蟲通過去爬取網站核心的內容，比如電商的價格信息等，對信息進行竊取，同時也加重服務器的負擔。
劫持和篡改比較常見，當網站被第三方劫持後，流量會被引流到其他網站上，導致網站的用户訪問流量減少，用户流失。同時，對於傳媒、政務網站來説，內容被篡改會引發極大的政策風險。
企業線上業務需要構建多層次縱深防護
面對愈發嚴峻的網絡安全態勢，為了應對以上安全風險，企業在關注線上業務的流暢、穩定的同時，也要構建多層次縱深防護體系，從各個層面建立響應的應對措施和防護機制。
企業需要在網絡層、傳輸層、應用層等多層次構建防護能力，同時在應用層，對於不同場景要有不同防護措施。
基於CDN構建邊緣安全 高防中心防護安全架構
基於對縱深防護的理解，阿里雲CDN的安全架構是基於CDN分佈式節點實現的邊緣安全防護機制，同時聯動高防清洗中心進行防護。
如下圖所示，整體安全架構第一層防護就是構建在全球CDN節點上，將更多安全能力加強在邊緣節點上，通過多層次多維度流量數據統計和攻擊檢測的能力，包括DDoS、HTTP訪問信息等數據彙總到安全大腦，安全大腦再對數據進行綜合分析，針對不同層次的攻擊下發相應的動態防禦策略到邊緣節點。與此同時，邊緣節點自身也會進行自動防禦和清洗。另外，整體安全架構將WAF和防篡改能力部署在回源節點上，對攻擊到達源站之前進行防禦。如果源站希望只在CDN服務之下，不想暴露在公網上，整體架構也會基於CDN提供源站高級防護能力，避免源站被惡意掃描者被發現。
對於金融、政府等場景，需要具備大流量抗D的能力，CDN有海量邊緣節點通過自己的調度和清洗能力把大部分DDoS攻擊給消化掉。當一旦出現更嚴重的DDoS攻擊時，安全大腦會指導智能調度，將被攻擊的流量切換到高級防護節點去清洗。
阿里雲CDN安全架構三個核心能力
在以上的CDN安全架構基礎之上，趙偉也對DDoS防護智能調度、Web防護以及機器流量管理三個核心能力進行解讀。
一、DDoS防護智能調度：邊緣節點分佈式抗D與高防中心大流量抗D聯動
DDoS防護智能調度的策略是，業務流量缺省通過CDN分發，最大程度確保加速效果和用户體驗，而當檢測到大流量 DDoS 攻擊之後，智能調度會判斷嚴重程度並決策由高防進行 DDoS清洗，同時根據攻擊情況進行區域調度或全局調度，而當DDoS 攻擊停止後，智能調度系統會自動決策將高防服務的業務流量調度回 CDN 邊緣節點，盡最大可能的保證正常加速效果。
DDoS防護智能調度最核心就是邊緣加速、智能調度、T級防護三塊，邊緣加速的基礎上具備充分的DDoS攻擊檢測以及智能調度的能力，決策什麼時候進行高防去清洗，嚴重的攻擊進入T級防護中心進行清洗。目前方案已經在金融行業、傳媒行業沉澱了典型客户。
二、Web防護——八層安全功能，層層過濾惡意請求
Web防護的策略是通過層層過濾，來抵禦惡意請求。第一層是精準訪問控制，指具體對http請求的攔截策略；第二層是區域封禁，對業務無效區或者異常地域請求進行攔截；第三層IP信譽系統，是利用阿里雲多年積累的互聯網IP大數據畫像，對惡意行為進行分類並對IP進行攔截；第四層是黑名單系統，是對某些UA或者IP進行攔截，以上四層都屬於精確攔截；第五層是頻次控制，對相對高頻且訪問異常IP進行攔截；第六層是對於互聯網機器流量進行管理，阻斷惡意爬蟲；第七第八層是WAF和源站高級防護，對於源站進行更深層次的防護。
趙偉認為：CDN邊緣節點是最接近互聯網用户的，在所有的訪問請求中，可能有正常用户的請求，當然也會存在爬蟲、注入、跨站的訪問請求，經過以上逐層的防護策略，過濾掉相應惡意請求，最終可以達到只有正常請求返回源站的效果。
三、機器流量管理——識別互聯網Bot流量，阻斷惡意爬蟲
機器流量管理部署在邊緣，當各種互聯網訪問進入CDN邊緣節點之後，機器流量管理系統會提取最原始的Client信息，分析信息計算Client特徵值，並與阿里雲安全積累的機器流量特徵庫進行匹配，最終識別結果，正常訪問、搜索引擎、商業爬蟲這些行為是網站期望的行為，會被放行，而惡意爬蟲會被攔截。在處置動作上，機器流量管理相比當前常見嵌入在正常頁面中的行為，侵入性有所降低，支持相對平滑的接入。
下圖是一個實際的案例，在執行機器流量管理策略的時候，首先會對某域名進行流量分析，左側圖是針對某域名開啓機器流量分析後，識別出超過 82% 的請求為惡意爬蟲，然後開啓攔截機器流量中的惡意爬蟲流量後，如右側圖所示，域名峯值帶寬下降超過80%。
CDN目前已經是互聯網流量的主要入口，把安全能力注入CDN邊緣節點，為客户提供一站式安全加速解決方案成為行業大勢所趨。在發佈會的最後，趙偉分享到：未來，阿里雲政企安全加速解決方案將在場景化、便捷化、智能化三個方面深耕，為客户提供更貼近需求的、更快捷省心的、更智能高效的安全策略，讓CDN可以成為每個企業在線服務的第一道防線，來保障企業應用的安全、穩定運行。