腾讯EdgeOne产品测评体验——多重攻击实战验证安全壁垒：DDoS攻击|CC压测|Web漏洞扫描|SQL注入

是Yu欸2024-04-16 20:45

腾讯EdgeOne产品测评体验------实战验证安全壁垒：DDoS攻击|CC压测|Web漏洞扫描|SQL注入


🌈你好呀！我是 是Yu欸 🌌 2024每日百字篆刻时光，感谢你的陪伴与支持 ~ 🚀 欢迎一起踏上探险之旅，挖掘无限可能，共同成长！

写在最前面

在一个阳光明媚的下午，我收到了一个特别的邀请：对腾讯云EdgeOne（简称EO），一款致力于提速和加强网站安全的边缘安全加速平台，进行深度评测。

安全测评来了！对于网络安全方向的学生而言，这是一次绝佳的实战机会。

带着浓厚的兴趣，我迅速投入到资料搜集中，并很快锁定了一份报告------《亚太第一! 腾讯云EdgeOne入选DDoS防护市场报告》。这篇报告不仅展示了EdgeOne在DDoS防护领域的综合实力和专业性，更是体现了腾讯二十多年来抗击网络暗流的智慧与勇气。

为了深入评估其性能，我将重建的个人博客设置为测试载体，并配置了一个月的EO服务。4月，期待您的"安全交流"https://www.lightrain.asia/。

我还召集了实验室的同伴们共同参与这次实战测试，我们小队准备攻防实战，旨在解码EdgeOne背后的真正技术实力和价值所在。之后如果有机会，我们计划设立一个专用"靶场"进行更专项的评测hh

诚邀您阅读我们的实验报告，一同探索腾讯云EdgeOne的核心承诺：它是如何构筑起一道坚固无比的安全防线，保障业务运行的流畅与安全的。

一、产品概述

EdgeOne官网：https://cloud.tencent.com/act/pro/edgeone_promotion_october?from=20421&from_column=20421

边缘安全加速平台 EO 官方文档https://cloud.tencent.com/document/product/1552/69826

1.1 什么是边缘安全加速平台 EO？

边缘安全加速平台 EdgeOne (Tencent Cloud EdgeOne) 结合腾讯强大的边缘计算技术，致力于优化用户体验。

  • 加速：EdgeOne通过部署近用户的边缘节点，有效减少数据访问延迟，同时提供动静态内容加速、跨国加速和智能路由优化等功能，以保障数据传输的高效与稳定。

  • 安全：EdgeOne提供WAF和DDoS防护等服务，利用智能AI和策略引擎阻断各类攻击，确保业务流畅稳定。

相较于传统CDN、ECDN和SCDN服务，EdgeOne以其集成的多功能性和高度优化的性能突破传统边界，为多元化的应用场景如游戏、视频、电商等提供定制化的加速和安全保障，表现出显著的提升和优化，更多功能支持如下表所示：

1.2 EdgeOne产品功能

边缘安全加速平台EO融合了内容加速和安全防护功能，打造了一个一体化的边缘安全加速解决方案。它不仅提升了业务的访问速度，还构建了从第3层到第7层的全方位安全防护体系，为用户带来了全面的安全保障。

二、准备工作

在准备工作的环节，先后尝试了找朋友借的域名、github域名、后面自己购买的域名，因此截图中有多种域名展示。

经验+3：

  1. 需要时域名解析后的网站、即不能是没有绑定域名的网站ip（报错请输入合法的站点）；

注意：需要是域名解析后的网站。例如下方这种就是不可以的，会报错。

域名解析就是将域名(地址)与网站服务器ip地址进行绑定关联。

  1. 最好非已购买其他CDN、EO等服务的子域名（流量计算不方便）；

  2. 必须要是自己拥有的域名（无法验证域名归属权），且不能是github网页域名（文件验证无法实现，如有会的大佬还请指点一二）

2.1 选择：NS（Name Server）接入模式或 CNAME 接入模式

对于想要接入如 EdgeOne 这样的边缘加速安全服务，面临的选择包括 NS（Name Server）接入模式和 CNAME 接入模式。而目标是仅将 `www.lightrain.asia` 子域名接入 EO，而该子域名目前尚未解析任何网站。

CNAME 接入模式

对于单独的子域名接入，CNAME 接入模式往往更加简单和灵活。这种模式不需要改变整个域名的 DNS 解析服务器，只需要为特定的子域名设置一个 CNAME 记录指向 EO 提供的域名。按照你的情况，这可能是最方便的方法。步骤如下：

  1. 设置 EO： 在EO 提供商（如 EdgeOne）的控制台中，创建一个新的接入规则，指定 www.lightrain.asia作为目标域名。

  2. 获取 EO CNAME 地址： 在完成上述步骤后，EO 提供商会给你一个特定的域名（如www.lightrain.asia.eo.dnse2.com），用于 CNAME 目的。

  3. 配置 DNS 记录： 去到你的域名注册商或 DNS 服务提供商处，为 www.lightrain.asia 添加一个 CNAME 记录，指向第二步中提供的 EO 域名。

  4. 等待 DNS 生效： DNS 修改可能需要一些时间（最多48小时）来全球生效。

NS接入模式

特点:

  • NS（Name Server）接入模式适用于希望通过EdgeOne接入整个域名及其所有子域名的场景。

  • 使用此模式需将域名的DNS服务器更改为EdgeOne提供的DNS服务器，这将影响域名下所有服务的DNS解析。

最终选择CNAME接入模式

由于只需接入特定子域名，最终选择CNAME接入模式：

  • 选择CNAME接入模式是为了避免影响到域名lightrain.asia下的其他服务，同时操作更为简便。

  • 通过CNAME接入，仅将https://www.lightrain.asia子域名接入EdgeOne。设置时需指定正确的源服务器地址，以便EdgeOne能从中获取内容进行缓存、分发及提供安全服务。

2.2 从零开始快速接入 EdgeOne

已有一个可供对外访问的服务，可以是云服务器或者是腾讯云 COS 服务。

步骤一：添加站点

完成以上准备工作后，即可开始接入至 EdgeOne 。

  1. 登录 边缘安全加速平台 EO 控制台。

  2. 首次登录控制台时，需要添加一个可用站点，单击添加站点。

  1. 在站点输入框中，输入准备好的待接入站点域名，例如：example.com；单击下一步。

注意，需要添加二级域名。如果想添加实际业务子域名，需要在创建之后再接入。


步骤二：选择套餐

该步骤需要绑定站点接入的套餐规格，以便平台分配对应的服务资源。可以通过选购新套餐 和绑定至已有套餐两种方式进行绑定：

步骤三：选择加速区域和接入模式，完成站点接入

该步骤需要选择符合需求的加速区域和接入模式。

  1. 选择加速区域，加速区域主要用于分配服务当前站点的节点资源，当选择中国大陆可用区及全球可用区时，要求当前域名已完成工信部备案，如果域名未完成工信部备案，请参考 备案流程 完成域名备案。

  2. 选择接入模式，EdgeOne 提供了两种接入模式，分别为 NS 接入模式和 CNAME 接入模式。

步骤四：添加子域名，以及加速域名

根据所选择接入模式不同，添加子域名的步骤也会有所区别，请根据步骤三内所选择的不同接入模式来添加加速域名。

CNAME接入模式：

  1. 单击左侧菜单栏的站点列表，选择所添加的站点，进入站点详情管理。

  2. 单击域名服务 > 域名管理 进入域名管理详情页，单击添加域名，新增加速域名。

  1. 填写需添加的加速域名以及对应的源站信息，单击下一步。

注意，这里的回源协议不要选择 HTTPS，因为如果使用了 EO 回源访问之后，Github 自己是检测不出来的，然后也不会给你自动配置 HTTPS，所以千万不要选 HTTPS！通过 HTTP 才能正常回源访问 Github 源网站。

  1. 这里选择跳过。域名添加完成后，可以前往【规则引擎】自行配置。
  1. 验证归属权。

不同的域名服务商，对应不同的添加方式，具体验证步骤可参考官方文档：https://cloud.tencent.com/document/product/1552/90434

  1. 配置CNAME记录

注意：这个和上一步动作相同，但配置的内容不一样，也是不可省略的一步。

步骤五：如何验证加速域名已经生效

完成 CNAME 配置后，平台将自动检测当前 CNAME 状态是否已生效，如果在域名管理列表的状态一栏显示当前 CNAME 已生效，则当前域名已正确配置并开启加速。

如果已正确配置 CNAME，当前状态仍显示未生效，也可能是域名解析服务商的 CNAME 解析生效延迟。

可以提前手动验证：在 Windows 系统中，打开 cmd 运行程序，以域名 www.example.com为例，您可以在 cmd 内运行：nslookup -qt=cname www.example.com，根据运行的解析结果内，可以查看该域名的 CNAME 信息。若 CNAME 结果为 EdgeOne 内分配的 CNAME 地址，即已切换至 EdgeOne 加速。

步骤六：部署/更新 SSL 托管证书至 EdgeOne 域名

为什么要部署SSL证书？

为网站配置SSL证书，是提升网站安全性和建立用户信任的重要步骤。

官方回答：通过启用HTTPS，可以确保数据在用户与网站之间传输时的加密，从而保护用户信息免受第三方的窥视和篡改。

简单来说：如果没有部署SSL证书，浏览器往往会警告访问者网站的安全性问题，显示"您访问的网站不安全"的提示，这多少有点影响用户体验，也给人一种不专业的印象。

如何部署SSL证书？ （部署付费SSL托管证书，请见官方文档：https://cloud.tencent.com/document/product/1552/88874）

  1. 进入配置页后，先填入你的域名，再选择证书。

  2. 在域名管理页面，选择待配置证书的域名，在 HTTPS 列内单击编辑，弹出 HTTPS 证书配置。

  3. 选择申请免费证书后，单击确定，即可完成免费证书的申请和安装。

  4. 部署完成后，可以在域名管理列表页中，将鼠标悬停于已配置图标上，可展示当前已部署的证书信息。

接入EdgeOne准备工作的小结

咱们其实做的工作，简单来说，就是让网站更快、更安全、更靠谱了。具体来说，分了这么几步：

  1. 添加EdgeOne服务器，将EdgeOne的源指向Github服务器 - 在这一步中，我们将EdgeOne的源头设置为Github服务器。这意味着我们的网站内容能够通过EdgeOne平台快速传递给访客，利用EdgeOne的边缘计算能力，优化内容的分发速度。

  2. DNS配置，将CNAME指向EdgeOne - 紧接着，我们在DNS设置中将CNAME记录指向我们的EdgeOne。这一操作的好处是，当有人尝试访问我们的域名时，DNS会引导他们到EdgeOne上，借此加快访问速度，提高网站的响应能力。

  3. SSL证书发放，并绑定到EdgeOne - 最后，为了网站的安全性，我们为自己的域名颁发了SSL证书，并将该证书绑定到EdgeOne上。通过这个证书，我们的网站能够实现HTTPS加密访问，不仅增强了安全性，还能使浏览器标记我们的网站为"安全网站"。

通过这一系列的设置，我们不仅加速了网站内容的分发，还通过EdgeOne的高级安全功能增强了网站的安全防护，为访客提供了更快速、更安全的访问体验。

2.3 可换绑站点

注意：停用并删除站点，是可以换绑站点ip的

这点感觉非常的人性化 ~

2.4 安全性攻击测试方案

为了测试EdgeOne提供的安全服务，我们拟对受EdgeOne保护的个人博客笔记站点进行攻击。攻击测评方案主要关注于识别和防御可能遭受的安全威胁，包括但不限于暴力破解攻击、注入攻击、跨站脚本（XSS）攻击、跨站请求伪造（CSRF）等。

针对EO安全服务特性，我们先初步设计攻击测评方案，然后在性能测试中给出实际安全测试效果。初步方案设计如下：

DDoS攻击

  • 是什么：分布式拒绝服务攻击（Distributed Denial of Service，DDoS）是指攻击者通过网络远程控制大量僵尸主机向一个或多个目标发送大量攻击请求，堵塞目标服务器的网络带宽或耗尽目标服务器的系统资源，导致其无法响应正常的服务请求。

  • 测试目标：评估EdgeOne对大规模流量攻击的防御能力。

CC攻击压力测试

  • 是什么："CC攻击"通常指的是"DDoS攻击"（分布式拒绝服务攻击）的一种形式。它专注于攻击HTTP（超文本传输协议）协议，即网络浏览器和Web服务器之间的通信协议。CC攻击的目标是使Web服务器或网站无法响应正常的HTTP请求，通常通过向目标发送大量的HTTP请求来实现。这些请求可能是合法的，但是它们的数量和速率超出了目标系统的处理能力，导致服务不可用。

  • 测试目标：评估EdgeOne对大规模流量攻击的防御能力。

Web漏洞扫描

  • 是什么：Web漏洞扫描是指通过自动化工具或手动方式检测网站或网络应用程序中存在的安全漏洞。这些漏洞可能会导致信息泄露、未经授权的访问、拒绝服务攻击或其他安全威胁。作为黑客攻击的先行军，如果能够精确的发现Web漏洞扫描攻击并且有效的阻拦就能够很好的去防护网站免受跨站脚本（XSS）、跨站请求伪造（CSRF）等攻击的威胁。

  • 测试目标：评估EdgeOne对Web漏洞扫描攻击的防御能力

SQL注入攻击

  • 是什么：SQL注入攻击利用了应用程序对用户输入数据的合法性没有判断或过滤不严的漏洞，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。

  • 测试目标：评估EdgeOne对SQL注入攻击的防御能力

三、性能测试

3.1 EdgeOne产品费用

个人版1个月6.8r，基础版1个月288r，熟悉了解的小伙伴可以评论一下性价比------之前没接触过，不了解。

下述测评为基础版套餐的表现能力》

3.2 验证站点加速效果

这一小节，我们测试在站点接入后，对站点是否具有访问加速的提升。

在站点接入前，可以看到该站点在接入前加载总耗时较长，平均为3.735s才能响应。响应状况一片红，原因简单：在这个基本静态的博客中，暂时还没有配置任何有关的加速预览设计。

在站点接入后，设置网页的智能加速方案，通过访问已在 EdgeOne 内接入的加速域名，可以看到国内绝大多数节点1s内即可响应访问,平均响应访问时间1.696s。

（在阅读文档时，注意到腾讯EO产品对动态、动静态结合的资源都能智能加速。但需要注意的是，此功能为收费服务。）

那么这里的原理是什么？为什么加了一个EO之后，网页的访问速度变快了这么多？

带着问题去官方文档中找答案：https://cloud.tencent.com/document/product/1552/96193

站点加速服务是专门针对 HTTP/HTTPS 等应用层协议的互联网内容分发加速服务，尤其适合用于网站、在线应用、流媒体等内容的分发。站点加速可通过丰富的功能配置 ，如缓存优化，文件优化，网络优化等，帮助您实现更高效、更稳定的内容分发，提升业务用户的体验满意度，从而增强您的网站、应用或其他在线服务的竞争力。

关于边缘安全加速平台EO的原理，可以通过一个简单的比喻来理解：你开了一家连锁超市，不仅在全国各地开设了许多分店（EO节点），还在每个分店安装了高级的安全监控系统和提供了专业的顾客服务。这个安全监控系统能够识别并阻止任何试图损坏商品、货架等不合适行为，并且专业的顾客服务保证了每位顾客在购物过程中遇到问题时都能得到快速而有效的帮助。

这样一来，不仅顾客可以在离他们更近的分店购买到想要的商品，享受快速便捷的服务，同时还能在一个安全可靠的环境中购物，大大提高了他们的购物体验。而对于超市（网站）来说，这不仅减轻了总店（原始服务器）的压力，提高了商品（内容）的交付速度，还大大增强了安全性，减少了盗窃（网络攻击）的风险。

图为EO网站所开分店所分摊的流量、请求数和带宽，可以看到：比总店（原始服务器）直接接待的顾客数量要多很多。

并且缓存命中率很高，即分店向总店的提前进货量很大程度覆盖出货产品

简而言之，边缘安全加速平台EO不仅通过在不同地理位置部署多个节点，减少数据传输的距离和时间，提高内容的加载速度，改善用户体验，还通过先进的安全技术和服务，保护网站和用户免受网络攻击和威胁，确保数据安全和隐私保护。

3.3 验证站点安全性

基于安全性攻击测试方案，结合防御措施、功能支持，简单解读一下多重攻击的安全测试结果。

更多EdgeOne安全原理可见：https://cloud.tencent.com/document/product/1552/101094

DDoS防御测试
  • 测试方法：hping3 是 面向命令行的用于生成和解析TCP/IP协议数据包汇编/分析的开源工 具，能够发送自定义 TCP/IP 数据包并显示目标回复。我们使用hping3 工具模拟SYN DDoS攻击消耗目标服务器资源，然后观察EdgeOne如何识别和缓解这些攻击。攻击测试如下：
  • 测试结果：该方法打成了，因为他伪造源了，找不到攻击机，才没有回复

关于是否拦住了，可以测试两次登录之间的时间差，如果时间相差不大，则拦截成功

在DDoS攻击的期间，对攻击页面进行测速，观察：是否能正常访问、访问速度是否有影响

这里贴两张测评前、测评中的访问速度对比图：

可以看到几乎没有影响，说明DDoS攻击拦截成功。

  • 防御措施：EdgeOne利用EO的分布式网络架构吸收和分散攻击流量，配置自动化的流量分析与异常检测机制，快速识别并缓解DDoS攻击。

  • 功能支持：EdgeOne支持的DDoS 防护功能默认使用适中的防护等级，可以自动防护清洗针对四层业务（TCP/UDP 应用）的 DDoS 攻击。例如，在日常防护中使用适中防护等级丢弃具有明显 DDoS 攻击特征的流量；在攻击透传时使用严格防护等级丢弃所有疑似 DDoS 攻击的流量来进行应急恢复。EdgeOne 的DDoS防御功能如下图：

CC攻击防御测试
  • 测试方法：kali linux上有用来做网站压测的工具ab，利用该工具进行cc攻击，测试EdgeOne对cc攻击的防护能力，命令行参数如下：

ab -n（模拟的请求数） -c （模拟并发出数） 动态网站的链接

  • 测试结果：EO成功捕获并拦截 ！

防御措施：

  • 预设的CC攻击防护策略：EdgeOne平台默认开启的预设CC攻击防护策略旨在通过自动识别和拦截潜在的HTTP/HTTPS DDoS攻击，保护网站的可用性。这些策略专为防止攻击者占用Web服务的连接和会话资源，确保服务能够正常响应用户请求。

  • 速率限制和Bot管理：除了基础的CC攻击防护之外，EdgeOne还提供速率限制和Bot管理功能来进一步加强安全防护。这些功能对于处理不会直接导致源站错误或降低站点可用性，但仍可能对资源造成滥用的场景（如盗刷资源、批量登录、自动化购物车操作等）尤为重要。

  • "干净流量"计费模式：EdgeOne采用"干净流量"计费模式，意味着平台只对经过安全防护功能处理并通过的流量和请求进行计费。这个计费模式确保了用户只为实际上对业务有价值的流量支付费用，而不是被安全防护功能拦截的恶意流量。

功能支持：

  • 高频访问请求限制：此策略通过限制来自单一IP源的访问频次，以应对大量并发连接请求的CC攻击。EdgeOne会根据最近7天的请求数据建立请求速率的基线，并结合限制等级来限制客户端访问速率。

  • 慢速攻击防护：面对大量慢速连接请求的CC攻击，此策略允许基于单个会话设置最低连接速率限制，以淘汰慢速连接客户端。

  • 智能客户端过滤：结合速率基线学习、头部特征统计分析和客户端IP情报，智能客户端过滤实时动态生成防护规则。对于来自高危客户端或携带高危头部特征的请求，平台会执行JavaScript挑战以进行人机验证。

通过这些防御措施和功能支持，EdgeOne平台能够有效地防护CC攻击，保护网站的正常运行，同时为网站所有者提供灵活且成本效益高的解决方案。

Web应用层防御测试
  • 测试方法：Nikto 是一个开源的 Web 服务器扫描器，其原理基于发送各种 HTTP 请求并分析返回结果以发现潜在的安全漏洞和配置错误。我们利用Nikto开源扫描器对网站上的漏洞进行扫描，以期发现网站的Web漏洞并进行下一步攻击。攻击测试如下：
  • 测试结果1：在测试中发现，后续的流量被TencentEdge接管然后无法继续扫描。

查询网站可以发现，已经报告了扫描的危险行为

  • 测试结果2：从图中可以看出，sqlmap未能发现SQL注入漏洞，同时EdgeOne报告了SQL注入攻击的危险行为。

  • 防御措施：

    ①WAF配置：启用并正确配置EO提供的WAF，以识别和阻止XSS、SQL注入和CSRF等攻击。这包括设置安全规则，更新防护策略，以及定期审计WAF的效能。

    ②安全策略更新：持续更新安全规则和响应策略，以对抗新出现的漏洞和攻击手法。

  • 功能支持 ：EdgeOne提供对 HTTP/HTTPS 协议的应用层防护的Web 防护功能，EdgeOne 具有预设的安全策略，能够识别并处置有风险的请求，保护用户站点的敏感数据，并确保服务稳定运行，当然EdgeOne也支持用户自己定义安全策略。

    Web 防护可对多种风险进行管控和缓解：
    在漏洞攻击防护方面 ，通过开启EdgeOne的托管规则，可以拦截注入攻击、跨站点脚本攻击等，保护涉及客户数据或敏感业务数据的站点；
    在访问管控方面 ，EdgeOne，可以区分合法和未授权请求，避免敏感业务暴露到未授权的访客。包括外部站点链接管控、合作方访问管控、攻击客户端过滤等；
    在缓解服务滥用方面 ，EdgeOne可以限制会话或者业务维度滥用（如批量注册、批量登录、过度使用 API 等），并强化单一会话（如用户、订阅实例等）的用量限制，确保用户在合理限度内使用服务资源；

    当然，EdgeOne的Web防御还能应对其他的风险，这里就不再一一列举，详细可以看看官方文档。

SQL注入攻击
  • 测试方法：sqlmap是一个自动化的SQL注入渗透工具，它的主要功能包括扫描、发现并利用给定URL的SQL注入漏洞，支持MySQL、Oracle等多种数据库。我们利用sqlmap探测目标网站的SQL注入漏洞，并用其对扫描出来的漏洞进行攻击。攻击测试如下：
  • 测试结果：从图中可以看出，sqlmap未能发现SQL注入漏洞，同时EdgeOne报告了SQL注入攻击的危险行为。
  • 功能支持 ：基于 AI 引擎自动识别 SQL 注入和 XSS 攻击。

3.4 测评结果分析

总体而言，在本次测试中，EO平台在访问加速和安全性方面的表现十分出色，其基本功能测评是"杀鸡用牛刀"，效果非常显著。

多重攻击实战结果，在EO平台上可以看到统计：

  1. 在托管规则处可以看到，EO平台识别了我们小队本次134条攻击
  1. 2次CC攻击
  1. 缓存加速命中率92.74%

写在最后

4.1 参考文献

感谢大佬们清晰的文档，和实用的说明：

  1. 《亚太第一! 腾讯云EdgeOne入选DDoS防护市场报告》（[阅读报告](https://s.tencent.com/activity/news/304)

  2. 腾讯EdgeOne官方文档https://cloud.tencent.com/document/product/1552/69826

  3. 【如何在网页中实现pdf在线预览】10分钟学会如何利用Hexo博客上传本地pdf文件并在线预览pdfhttps://blog.csdn.net/qq_43827595/article/details/104574959

  4. beef-xss详细教程(一文带你学会beef) | Kali下安装beef | beef-xss反射型，储存型利用 | beef实现Cookie会话劫持 | 键盘监听 | 浏览器弹窗，重定向等https://blog.csdn.net/qq_53517370/article/details/128992559

  5. 【kali 对本地的DDOS攻击--hping3】https://mbd.baidu.com/ma/s/R7fynSV2

  6. 【断网攻击 1.局域网 2.广域网】https://mbd.baidu.com/ma/s/3SXo52iQ

  7. 测速网站https://www.17ce.com/

  8. Hexo静态网站托管到腾讯云COS+CDN加速以及缓存自动刷新完美方案https://blog.csdn.net/huzhanfei/article/details/115190469

  9. Github 部署 | CDN 加速网页，速度嗖嗖的快！https://zhuanlan.zhihu.com/p/393779644

  10. 部署hexohttps://hexo.io/zh-cn/docs/one-command-deployment

  11. 腾讯云官方文档https://github.com/tencentyun/qcloud-documents

  12. CSRF自动化测试-CSRFTesterhttp://www.luckysec.cn/posts/a1b686d3.html

4.2 支持定制的防御攻击方案

如果想更好的利用EdgeOne产品，这是我们给出的一些综合性支持定制的防御攻击方案，进一步降低潜在的安全风险。供参考可以选用：

1. 暴力破解攻击防御

  • 限制尝试次数：对连续失败的登录尝试进行限制，例如通过EdgeOne配置，在短时间内超过预设的失败尝试次数后暂时禁止来自该IP的进一步尝试。

  • CAPTCHA验证：在登录尝试失败几次后引入验证码，以防止自动化工具的暴力尝试。

2. 注入攻击防御

  • 输入验证：确保所有输入都经过严格验证，防止SQL注入等攻击。此外，利用EdgeOne提供的Web防护功能，对OWASP TOP 10中的注入风险进行自动防御。

  • 参数化查询：使用参数化查询来避免SQL注入。

3. 跨站脚本攻击（XSS）防御

  • 内容安全策略（CSP）：通过设置CSP来限制资源的获取，防止恶意脚本执行。

  • 输入输出编码：对所有输入内容进行编码处理，并严格控制输出环节，防止恶意脚本注入。

4. 跨站请求伪造（CSRF）防御

  • Token验证：为每个用户会话生成唯一的CSRF Token，并在每次敏感操作请求时验证该Token的有效性。

  • SameSite Cookie属性：设置Cookie的SameSite属性，以减少CSRF攻击的风险。

5. DDoS防御

  • 利用EdgeOne的平台级DDoS防护能力，保护登录界面免受大规模分布式拒绝服务攻击的影响。

6. 智能CC防护

  • 开启EdgeOne的智能CC防护功能，识别并防御对登录界面发起的CC攻击，如频繁的自动化登录尝试。

7. 监测和日志

  • 访问日志：保持详细的访问日志，以便在发生安全事件时进行分析和追溯。

  • 安全监测：利用EdgeOne的边缘计算能力，实时监测和评估登录界面的安全状况，及时发现并响应安全威胁。

通过以上综合性的攻击测评方案，可以有效提升简单登录界面的安全防护能力，降低潜在的安全风险。

4.3 建立全面的安全防御体系，需包含部署EO在内的多种技术和措施

在当今数字化时代，网络安全已成为任何组织都必须直面的关键挑战之一。随着网络攻击技术的不断进化，单一解决方案往往难以提供全面的安全保护。Edge Optimization（EO）平台作为一种综合性的网络服务解决方案，在提供内容交付加速和安全防御方面发挥着重要作用。

EO平台不仅能加速内容交付、降低服务器负载，还能通过先进的安全技术提升网站的安全防护能力，包括缓解分布式拒绝服务（DDoS）攻击、防范SQL注入、文件上传漏洞、跨站脚本攻击（XSS）、跨站请求伪造（CSRF）以及目录遍历等。但随着网络安全威胁的不断演进，单一解决方案往往无法覆盖所有潜在威胁。尽管EO平台提供了比传统CDN更全面的安全保护和性能优化，但它的保护和防御能力也并非绝对可靠。

因此，即使使用了EO平台，也应将其视为多层安全策略的一部分。保护网络安全的最佳实践包括但不限于：定期更新和打补丁、实施强有力的访问控制、对数据进行加密、使用防火墙和入侵检测系统以及教育员工关于网络安全的重要性。此外，对于特别敏感或重要的数据和系统，考虑采取额外的安全措施，如在关键节点部署专业的安全设备或服务，以确保多方面的保护机制，从而构建更为坚固的安全防线。

总的来说，EO平台可以作为安全策略的一部分，帮助缓解某些类型的攻击（如DDoS攻击），但对于需要在应用层面解决的安全问题（如SQL注入、XSS、CSRF等），仍需要通过应用自身的安全设计和附加的安全解决方案（如WAF、IPS等）来实施有效的防御。

综上，建立全面的安全防御体系包含部署EO在内的多种技术和措施。

如果你也对提升你的网站或应用的性能感兴趣，EdgeOne现在有特惠活动，只要4.6元/月起，可以去体验一下：https://cloud.tencent.com/act/pro/edgeone_techoday_promotion?from=22008

相关推荐
Koi慢热9 分钟前
路由基础（全）
linux·网络·网络协议·安全
hzyyyyyyyu2 小时前
内网安全隧道搭建-ngrok-frp-nps-sapp
服务器·网络·安全
网络研究院2 小时前
国土安全部发布关键基础设施安全人工智能框架
人工智能·安全·框架·关键基础设施
Daniel 大东3 小时前
BugJson因为json格式问题OOM怎么办
java·安全
EasyNVR8 小时前
NVR管理平台EasyNVR多个NVR同时管理：全方位安防监控视频融合云平台方案
安全·音视频·监控·视频监控
黑客Ash10 小时前
【D01】网络安全概论
网络·安全·web安全·php
阿龟在奔跑12 小时前
引用类型的局部变量线程安全问题分析——以多线程对方法局部变量List类型对象实例的add、remove操作为例
java·jvm·安全·list
.Ayang12 小时前
SSRF漏洞利用
网络·安全·web安全·网络安全·系统安全·网络攻击模型·安全架构
.Ayang12 小时前
SSRF 漏洞全解析（概述、攻击流程、危害、挖掘与相关函数）
安全·web安全·网络安全·系统安全·网络攻击模型·安全威胁分析·安全架构
热门推荐
01(欧拉)openEuler系统添加网卡文件配置流程、(欧拉)openEuler系统手动配置ipv6地址流程、(欧拉)openEuler系统网络管理说明02PyTorch机器学习实现液态神经网络03【HarmonyOS】HUAWEI DevEco Studio 下载地址汇总04玄机平台应急响应—webshell查杀05Coze扣子平台完整体验和实践（附国内和国际版对比）06Ubuntu 20.04使用Livox mid 360 测试 FAST_LIO07【目标跟踪】相机运动补偿08Unity中PICO实现 隔空取物 和 接触抓取物体09RAG 实践- Ollama+RagFlow 部署本地知识库10量化方法怎么选？如何评估量化后的大模型LLM？