面对慢速CC攻击，传统基于请求频率的CC防护常常束手无策。攻击者并不追求高频，而是利用海量慢速连接或低频但流量巨大的请求来耗尽服务器资源。百度云防护提供的流量防护功能正好填补了这一防御盲区。这篇文章将详细介绍慢速CC攻击的防御原理，并辅以实战配置步骤与场景案例。

一、 为什么慢速CC攻击让传统WAF防不住？

传统的CC防护主要基于请求频率（如每秒请求数）。这种机制对高频、小包攻击非常有效，但面对慢速CC攻击时却存在致命的“盲区”。

• 慢速连接攻击（Slowloris）：攻击者建立大量连接，却极其缓慢地发送数据（如每隔数秒发送一个字节），长时间占用服务器连接池。这种攻击下，每秒请求数极低，传统频率阈值不会被触发，但服务器线程很快被耗尽，最终导致拒绝服务。

• 低频大流量攻击：攻击者使用慢速请求（例如每秒只发一个请求），但每个请求都拉取大文件（如50MB的安装包或高清视频）。虽然请求频率低，但累积流量却极为可观，会迅速耗尽带宽和服务器CPU。

这些攻击的本质特点是：“频率低、流量大”。单纯的频率统计已无法覆盖所有攻击链路，这正是百度云防护新增“流量防护”功能的初衷。

二、 从“频率限速”到“流量限速”：功能升级详解

百度云防护新上线的流量防护功能，是WAF在“Web防护”模块下新增的一项独立能力。它直接统计一定时间窗口内的实际传输字节数（总流量），而非仅计数请求次数。当满足匹配条件的请求累积流量超过设定的阈值时，即可自动执行处置动作。

相比于传统CC防护，它的优势在于：

• 可以设定极长的时间窗口（例如300秒），从而有效捕获和压制慢速攻击行为。

• 防御目标直接面向带宽消耗，适合保护视频/文件下载服务、大型API响应等场景。

• 处置动作丰富，支持拦截、JS挑战、人机识别、滑块验证等多种方式。

以下以防御下载目录的“低频大流量”攻击为例，演示完整配置流程。

第一步：进入流量防护配置页面

登录百度云防护控制台 → 防护配置 → Web防护 → 流量防护，点击 “添加规则” 按钮。

第二步：填写基本信息与匹配条件

• 规则名称：建议写清楚用途，如“限速下载目录流量”。

• 匹配条件：

  • 选择“URI”，操作符设置为“包含”或“正则匹配”，匹配值填 ^/download/ 或 .*.(mp4|zip|rar|exe)$，精准锁定受保护的资源路径。

• 流量阈值：

  • 统计特征：选IP或者JA3、JA4指纹

  • 流量值在：建议设置为 300 秒（5分钟），以捕获慢速且持续的攻击行为。

  • 流量超过阈值：填写 500（MB）。即，5分钟内针对 /download/ 路径的请求产生的总流量超过500MB时触发处置。

• 生效模式：选择“永久生效”即可。

第三步：设置处置动作

• 处置动作：建议选择“拦截”或“JS挑战”。攻击者往往使用自动化脚本，JS挑战能有效过滤掉不带JS执行能力的恶意工具。

• 处置时长：填写 1800（秒），即触发后该IP会被封禁30分钟。

最后选择需要防护的站点域名，保存规则。

⚠️ 注意事项与进阶技巧

1. 阈值不宜过低：正常用户合法下载大文件也可能触发，建议先通过日志分析用户行为，设置合理阈值。如果不确定，可以先设置“观察”模式运行一段时间，观察攻击日志确认无误后再改为“拦截”。

2. 配合白名单：将可信IP（如公司出口、重要合作伙伴）加入IP地址簿，并在匹配条件中排除，避免误伤。

3. 组合防御：结合“智能CC”功能，构建频率+流量双重防线。

四、 流量防护的更多应用场景

除了抵御慢速CC攻击，流量防护功能还特别适用于以下场景：

1. 防止视频/大文件盗链：配置URI包含 /video/ 或文件后缀 .mp4，流量阈值设为10秒内超过200 MB，处置动作选拦截，能有效遏制盗链行为。

2. 保护API接口不被滥用：对返回数据量较大的导出接口（如 /api/export）设置流量阈值，防止恶意轮询消耗服务器资源。

3. 源站带宽有限时的紧急保护：如果源站带宽只有50Mbps，可将流量阈值设置为5秒内超过30 MB，超过即拦截，防止突发流量打垮源站。

五、 总结

流量防护功能让百度云防护WAF的防御体系从“频率限速”扩展到了“流量限速”，有效补上了传统CC防护的短板。对于长期受慢速攻击困扰的站长来说，通过简单配置即可实现精准拦截，让威胁无处遁形。

如果您对流量防护配置还有任何疑问，或想为网站定制专属的防护策略，欢迎随时联系 主机吧，我们提供免费安全评估和配置指导。

主机吧 | 百度云防护官方合作伙伴
提供 WAF 接入、高防 CDN、高防 IP、高防服务器、SSL 证书一站式服务
让慢速攻击无处遁形，让网站业务畅通无阻。