当攻击者把请求频率压到每IP每秒一次以下，传统WAF的频率限制就形同虚设。低频协同CC攻击正是利用这个盲区：大量IP以看似正常的速率发起请求，但合在一起足以拖垮源站。要抓住这种攻击，WAF边缘节点需要从“看单点频率”转向“看整体行为”——这正是慢分析（Slow Analysis）的核心思路。
低频协同CC攻击的运作机制
低频协同CC攻击的关键在于“协同”。攻击者控制大量分散的IP（可能是僵尸网络或代理池），每个IP的请求速率都低于常见阈值（如每秒1-2次），但目标集中在同一资源上，如登录接口、搜索接口或某个动态页面。由于单IP行为看似正常，基于频率的防护规则很难触发。
更隐蔽的是，攻击者会模拟真实用户行为：添加随机延迟、更换User-Agent、甚至携带合法Cookie。这类攻击的持续时间也可能很长，从几十分钟到数天，逐步消耗源站连接池和数据库连接，导致服务响应变慢甚至不可用。
传统WAF的局限性在于：它通常只统计单IP在固定时间窗口内的请求次数，一旦低于阈值就放行。而低频协同攻击恰恰利用了这种统计粒度，让每个IP都“合法”地通过检测。
WAF边缘节点的慢分析：从频率到行为
慢分析的核心是改变检测维度。它不是简单计数，而是对请求序列进行建模，寻找异常模式。具体来说，边缘节点可以采集以下特征：
- 请求间隔分布：真实用户的请求间隔呈自然分布（如指数分布），而协同攻击的请求间隔可能过于均匀或存在周期性。
- 资源访问模式：攻击者通常集中请求少数几个URL，而真实用户会分散访问多个路径。
- 会话行为：攻击者可能不执行完整的用户流程（如不点击页面内的其他资源），导致会话内请求数异常少。
基于这些特征，慢分析可以构建“正常行为基线”。例如，Cloudflare的DDoS防护系统就是通过持续学习流量模式来识别异常，其托管规则集会自动调整检测阈值，以适应不同站点的正常流量特征。
滑动窗口与动态基线
静态阈值无法应对不断变化的攻击。慢分析通常采用滑动窗口（如5分钟、15分钟）来动态计算基线：每隔一段时间重新计算正常请求速率的平均值和标准差，一旦当前流量偏离基线超过一定倍数（如3σ），就触发告警。这种方法能适应业务波动，避免误报。
协同检测：关联多个IP的行为
单IP的行为可能正常，但多个IP同时出现相似模式就是危险信号。边缘节点可以将所有IP的请求进行聚类分析，例如：
- 相同的时间窗口内，多个IP集中访问同一URL。
- 请求间隔的变异系数（CV）异常低（说明请求过于规律）。
- IP的地理分布与真实用户不符（如全部来自数据中心IP段）。
Cloudflare的边缘网络天然具备全局视角，其DDoS防护系统可以关联跨数据中心的请求模式，从而识别出这种协同行为。
慢分析的实现路径：边缘计算与缓存
慢分析需要处理海量请求数据，传统源站服务器难以承受。WAF边缘节点利用分布式架构，可以在靠近用户的位置进行实时分析。
利用边缘计算（如Cloudflare Workers）
Cloudflare Workers允许开发者在边缘节点运行代码，可以自定义请求处理逻辑。例如，可以在Workers中实现一个简单的滑动窗口计数器，对每个IP的请求间隔进行统计，并将异常数据上报给中心分析系统。这种方案灵活且可定制，适合有特殊需求的场景。
Workers还可以与缓存结合：对于静态资源，直接由边缘缓存返回，根本不回源，从而减少攻击对源站的影响。Cloudflare的缓存服务默认缓存图片、CSS等静态文件，这本身就是一种防护。
缓存策略的辅助作用
即使没有复杂的分析，合理的缓存也能缓解低频CC攻击。如果攻击目标是静态资源，边缘缓存可以直接命中，源站压力为零。对于动态请求，可以设置较短的缓存时间（如几秒），或使用“缓存穿透”保护。Cloudflare支持通过Cache Rules精细控制哪些资源缓存、缓存多久，这有助于在攻击时保持源站可用。
慢分析的检测步骤与配置实践
以Cloudflare为例，启用DDoS防护后，系统会自动应用托管规则集。但为了更精准地捕捉低频协同攻击，建议按以下步骤调整：
- 开启DDoS防护：在Cloudflare控制台启用“DDoS Protection”，默认会启用HTTP DDoS攻击防护。
- 自定义规则：在“WAF > Custom Rules”中创建规则，针对特定路径或IP设置更严格的速率限制（即使单IP速率低，但若命中特定URL模式也可触发）。
- 利用“挑战”动作：当怀疑是攻击时，可以返回“挑战”页面，要求客户端通过JavaScript验证，这能有效过滤非浏览器请求。
- 监控与分析：使用Cloudflare Analytics查看请求模式，尤其关注“Top URLs”和“Top IPs”，如果出现异常集中，可手动临时封禁。
- 调整缓存规则：对于频繁被请求的动态资源，可设置“Cache Everything”并指定TTL，但需确保内容可缓存，否则可能导致数据不一致。
这些步骤需要根据实际业务调整。例如，如果攻击针对登录接口，可能需要更短的滑动窗口（如1分钟）和更低的阈值；如果攻击针对搜索接口，则可能需要结合查询参数的行为分析。
慢分析的局限性与失败条件
慢分析并非万能。以下情况可能导致检测失败：
- 攻击者模拟真实行为：如果攻击者能完全模拟真实用户的请求间隔分布、访问路径和会话流程，慢分析难以区分。
- 基线本身被污染：如果攻击持续时间长，基线可能被逐渐拉高，导致后续攻击被当作正常流量。这时需要定期人工审查基线。
- 误报风险：对于新兴业务或促销活动，流量激增可能被误判为攻击。因此，慢分析需要结合业务场景，设置合理的灵敏度。
- 资源消耗：在边缘节点进行复杂分析会增加计算和存储成本，对于小规模站点可能不划算。Cloudflare的免费版提供了基础防护，但高级分析功能需要付费。
此外，慢分析主要针对应用层（Layer 7）攻击，对于网络层（L3/4）攻击，需要配合其他防护手段，如Cloudflare的网络层DDoS防护。
常见误区与注意事项
在部署慢分析时，常见误区包括：
- 只依赖频率限制：如前所述，频率限制对低频攻击无效，必须结合行为分析。
- 忽视缓存的作用：缓存不仅能提升性能，还能在攻击时保护源站，应优先配置。
- 过度依赖单一指标：慢分析应综合多个特征，而不是只依赖某一个。
- 忽略边缘计算能力：Workers等边缘计算可以定制防护逻辑，但需要开发能力。
总之，低频协同CC攻击隐蔽性强，但通过WAF边缘节点的慢分析，结合行为建模、协同检测和缓存策略，可以显著提高检测率。实际部署时，应根据业务特点调整参数，并持续监控效果。
参考资料
延伸阅读