CDN已经成为了大部分网站和应用优化性能的必备工具，尤其是对于静态内容（如图片、视频、JS 和 CSS 文件）的加速。然而，随着 CDN 的广泛使用，恶意请求、DDoS 攻击、以及不正当的滥用也成为了越来越严重的问题。使用AWS CloudFront 遭遇恶意请求导致高额费用的情况，揭示了一个普遍的挑战：虽然 CDN 提供了流量加速，但并非自动意味着可以防御所有形式的攻击。下面将详细探讨如何防御这些攻击并控制相关费用。
1. 问题分析：恶意请求与费用暴涨
问题是一个常见的恶意请求攻击，即恶意爬虫或DDoS攻击，它们通过大量无意义的请求向你的网站或服务发起攻击，导致你遭遇的费用激增。这个问题尤其在使用 AWS CloudFront 时显得尤为突出，因为它是基于请求计费的，而恶意流量的增加直接导致了高额的费用。以下是问题的几个关键要素：
- 恶意请求：恶意攻击者通常使用自动化脚本（例如爬虫、DDoS 工具等），对单个文件或一组文件进行重复请求，这类请求不带任何实际的业务价值。
- CDN 流量计费：CDN 的计费大多是基于请求数量和带宽消耗，即便是缓存命中，也会因大量请求而增加费用。
2. 恶意请求的防御策略
面对 CDN 上的恶意请求，防御策略往往需要从多个层面出发，包括请求限流、访问控制、攻击检测与过滤等。下面我们详细探讨几种常见的防御方法：
2.1 基于请求速率的限制（Rate Limiting）
CDN 级别的速率限制是一种有效的防御策略，它可以限制来自单个 IP 地址的请求次数，防止恶意爬虫在短时间内发起大量请求。AWS CloudFront 提供了 AWS WAF (Web Application Firewall) 功能，允许你设置请求速率规则。例如，你可以设置每秒请求次数（RPS，Requests Per Second）的限制来阻止高频率请求。
实现方法：你可以在 AWS WAF 中定义一个速率限制规则，例如对来自同一 IP 的请求数限制为每秒不超过 10 次。超过此次数的请求将被自动阻断。
{
"RateLimit": 10,
"Period": 1
}
2.2 基于 IP 黑名单和 IP 白名单
可以通过 AWS WAF 结合 IP 地址进行更细粒度的访问控制。对于频繁发起恶意请求的 IP 地址，动态维护一个黑名单（blocklist）。这可以显著减少恶意流量对资源的消耗。
- 黑名单配置：你可以在 AWS WAF 中配置规则，直接将恶意 IP 地址列入黑名单，或通过 AWS Lambda 函数定期更新黑名单。
- 白名单配置：通过允许可信的客户端或服务器直接访问资源，而对于不在白名单中的 IP 地址限制访问，可以有效减少风险。
2.3 验证码与挑战响应机制
验证码（如 Google reCAPTCHA）或挑战响应机制也可以作为一种防御手段。在恶意攻击的情况下，可以要求每次请求都通过验证（比如图片识别或者其他形式的挑战）才能访问网站资源。这种方式通常适用于动态内容或者关键资源的保护。
2.4 流量监控与报警
实时监控 CDN 流量是关键，尤其是你已经察觉到恶意请求的存在时。AWS CloudFront 与 AWS CloudWatch 集成，可以让你监控特定 URL、特定区域的请求数量。如果请求量异常剧增，AWS CloudWatch 可以自动触发警报，及时采取应对措施。
3. WAF 与 DDoS 防御：如何应对不同比例的攻击
AWS 提供了 AWS Shield 和 AWS WAF 两个服务，可以帮助你保护应用免受 DDoS 攻击和 Web 应用攻击。特别是在 DDoS 攻击流量极大的情况下，AWS Shield Advanced 提供的高级保护是必不可少的。
3.1 AWS WAF 与 Shield Advanced 的区别
- AWS WAF：AWS 的 Web 应用防火墙，可以帮助你设置多种访问控制规则，如 SQL 注入防护、XSS 防护、IP 黑名单和白名单、请求速率限制等，适用于常见的 Web 攻击防御。
- AWS Shield Standard：提供免费的 DDoS 基本保护，防止常见的大流量攻击，但如果流量达到一定程度，可能仍然无法完全防御。
- AWS Shield Advanced：针对大规模、复杂的 DDoS 攻击提供全面保护，包括流量清洗、攻击检测等。如果你经常遭遇大流量攻击，可以考虑开启该服务，尽管费用较高。
3.2 如何优化 WAF 配置：防御恶意请求
AWS WAF 提供了规则集，可以利用它来检测并阻止恶意流量。你可以使用 AWS 提供的 OWASP Top 10 规则集来防护常见的 Web 安全问题。此外，结合自定义规则（如基于请求 URL、请求头等字段），可以有效防止恶意流量对资源的攻击。
{
"Name": "AllowOnlyImages",
"Predicates": [
{
"Negated": false,
"DataId": "YourDataIdHere",
"Type": "ByteMatch",
"FieldToMatch": {
"Type": "URI"
},
"TextTransformation": "NONE",
"TargetString": "/images/"
}
]
}
4. 如何降低 CDN 成本并确保安全
AWS CloudFront 的费用主要基于请求数、带宽使用量等。若不加防护，恶意请求直接导致费用暴涨。为了避免这种情况，你可以采用以下措施来降低费用：
缓存优化：合理配置缓存策略，确保尽可能多的请求都能够命中缓存。通过合理设置缓存过期时间（TTL）和内容分发策略，减少对源站的请求。
更换 CDN 服务商：如果 AWS CloudFront 成本过高且安全防护效果不理想，考虑其他 CDN 服务商。例如，A5 数据的 CDN 服务提供高性价比的方案，同时具备强大的流量防护能力。
5. 其他 CDN 供应商的比较
A5 数据：作为本地服务商，A5 提供的 CDN 服务在中国内地具有明显的性能优势，特别是在动态加速和安全防护方面。A5 数据在抗 DDoS、防爬虫等方面的解决方案非常灵活，支持灵活配置 IP 黑白名单、流量监控等。
Cloudflare：Cloudflare 提供强大的 DDoS 防护能力，并且具有较为经济的定价，尤其适合中小型网站。Cloudflare 提供丰富的安全规则和防御措施，在防御恶意请求方面表现优异。
CDN 被恶意请求攻击后导致的费用暴涨，并非个别现象，确实是当前网络安全和流量计费的挑战之一。为了应对这种情况，您需要采取多种防御手段，包括但不限于：速率限制、IP 黑白名单、WAF 配置、以及实时流量监控。同时，合理的 CDN 配置和选择合适的供应商也能帮助降低成本。
对于 AWS CloudFront 用户，考虑结合 AWS WAF 和 Shield Advanced 以加强防护，同时关注如何优化缓存和减少不必要的请求。如果费用过高，可以尝试切换到性价比更高的本地 CDN 服务商，如 A5 数据，或者选择 Cloudflare 等具有强大安全防护和流量管理能力的 CDN 服务商。
