1. 引言
随着企业业务全面上云，网络攻击形态正从单一 DDoS 或单一 Web 攻击，演变为「混合网络攻击」------攻击者往往在同一时间窗口内，同时发起大流量 DDoS 打满带宽、应用层 CC 攻击耗尽连接资源、以及 Web 漏洞利用尝试窃取数据。面对这种复合型威胁，单纯部署 WAF 或单纯依赖流量清洗服务都难以独立应对。本文将从混合攻击的构成与检测难点出发，给出 WAF 与流量清洗协同落地的完整方案，并附上可执行的配置与验证步骤。
2. 混合网络攻击的构成与特征
混合网络攻击并非多种攻击的简单叠加，而是围绕同一目标、在同一时间窗口内协同发起的多维度打击。理解其构成，是设计防御方案的前提。
2.1 常见攻击类型组合
- 大流量 DDoS：通过 UDP Flood、SYN Flood、DNS 反射放大等手段，耗尽带宽或网络设备处理能力。
- 应用层 CC 攻击：模拟真实用户高频请求动态接口，耗尽源站连接池与计算资源。
- Web 漏洞利用：在流量掩护下，尝试 SQL 注入、XSS、命令注入等攻击，窃取数据或植入后门。
- 爬虫与业务滥用：撞库、刷接口、薅羊毛等，干扰正常业务逻辑。
2.2 混合攻击的检测难点
单一防护设备往往存在盲区：流量清洗设备擅长识别大流量型攻击，但对隐藏在正常请求中的慢速 CC 与漏洞利用不敏感；WAF 擅长分析应用层语义，却在带宽被打满时自身链路先于源站瘫痪。攻击者正是利用这种「检测视角割裂」，让每类设备都只看到攻击的一部分，从而绕过整体防护。
3. 整体防护架构设计
要应对混合攻击，需要将流量清洗与 WAF 串联部署，形成「先清洗、再过滤、后溯源」的纵深防御链路。
3.1 推荐部署拓扑
流量入口先经过高防 IP 或流量清洗设备，完成大流量 DDoS 的过滤与黑洞缓解；清洗后的干净流量再进入 WAF 集群，进行应用层语义检测与 CC 防护；最终转发至源站。整体链路如下：
3.2 分层职责划分
| 层级 | 设备 | 核心职责 | 主要防护对象 |
|---|---|---|---|
| 网络层 | 流量清洗 / 高防 IP | 带宽型 DDoS 过滤、流量牵引、黑洞缓解 | UDP Flood、SYN Flood、反射放大 |
| 应用层 | WAF 集群 | 语义检测、CC 限速、漏洞利用拦截 | SQL 注入、XSS、CC、爬虫 |
| 数据层 | 源站加固 | 访问控制、数据加密、日志审计 | 数据泄露、后门驻留 |
4. WAF 与流量清洗的协同策略
设备串联只是第一步，真正的难点在于两者如何共享情报、联动处置，避免各自为战。
4.1 攻击特征联动
当 WAF 检测到某源 IP 在短时间内触发大量 Web 攻击规则时，应通过 API 将恶意 IP 同步至流量清洗设备，由清洗设备在网络层直接丢弃该 IP 的流量，从而在攻击到达 WAF 之前就完成拦截，减轻 WAF 压力。
4.2 清洗阈值动态调整
流量清洗设备通常基于固定阈值触发牵引。在混合攻击场景下，建议结合 WAF 上报的实时攻击态势，动态调整清洗阈值。例如，当 WAF 识别到 CC 攻击高峰时，可临时下调清洗设备的连接数阈值，提前介入。
4.3 会话保持与回源一致性
流量清洗与 WAF 串联后，必须保证同一用户的会话在整条链路上保持一致，避免因清洗设备改写源 IP 导致 WAF 的会话保持失效。建议清洗设备开启源 IP 透传（如 TCP Option 或 X-Forwarded-For），WAF 侧基于透传字段做会话管理。
5. 落地实施步骤
下面以典型云环境为例，给出从接入到验证的完整落地步骤。
5.1 步骤一：接入流量清洗
将业务域名解析至高防 IP，并在清洗控制台配置转发规则，将 80/443 端口流量转发至 WAF 集群入口。建议同时开启弹性防护，以应对突发大流量。
5.2 步骤二：配置 WAF 防护策略
在 WAF 中启用 Web 攻击防护、CC 防护与爬虫管理三类核心策略。Web 攻击防护建议开启「紧急模式」并启用语义引擎；CC 防护需根据业务接口的 QPS 基线设置合理的阈值，避免误伤正常用户。
5.3 步骤三：打通联动接口
通过 WAF 的开放 API，将恶意 IP 黑名单实时同步至流量清洗设备。建议采用消息队列或定时轮询方式，确保联动延迟控制在秒级以内。
5.4 步骤四：验证与压测
使用压测工具分别模拟大流量 DDoS、CC 攻击与 SQL 注入，验证各层防护是否按预期生效。重点检查：带宽型攻击是否在清洗层被拦截、CC 攻击是否触发 WAF 限速、漏洞利用请求是否返回拦截页面。
6. 常见问题与调优建议
6.1 误杀正常用户
CC 防护阈值设置过严会导致正常用户被限速。建议先基于历史访问日志统计各接口的 P95 QPS，再按该值的 1.5 至 2 倍设置阈值，并配合验证码挑战进行二次确认。
6.2 清洗设备成为瓶颈
当攻击流量超过清洗设备性能上限时，需提前规划弹性扩容或启用多区域清洗节点。同时建议将静态资源（如图片、CSS）接入 CDN 分流，降低清洗设备压力。
6.3 联动失效排查
若恶意 IP 未能从 WAF 同步至清洗设备，优先检查 API 鉴权是否过期、消息队列是否积压，以及清洗设备是否支持该同步协议。
7. 总结
混合网络攻击的防御，核心在于打破单点设备的视角局限，通过「流量清洗 + WAF」的纵深协同，实现从网络层到应用层的全覆盖。落地时需重点关注三层协同：攻击特征联动、清洗阈值动态调整、会话一致性保障。建议企业在部署后定期开展红蓝对抗演练，持续验证并优化联动策略，确保防护体系在真实攻击下稳定可用。