CC防护中请求间延迟分布分析检测低频慢速攻击行为

CC防护的常规手段在面对洪水般的海量请求时表现尚可，但一旦攻击者将频率降低、节奏放慢，把恶意请求隐藏在正常请求的时间间隔里，传统基于固定阈值或速率的检测规则就很容易失效。真正有效的对抗思路，不是盯着“请求多不多”，而是分析“请求与请求之间的时间间隔分布是否异常”。低频慢速CC攻击的本质，是利用合法的请求节奏，拖垮服务器资源，比如慢速POST、慢速读取、间隔性发送HTTP Header等。这类行为在流量图上几乎是一条平缓的直线，但在请求间延迟的统计分布上，会呈现出与正常用户截然不同的特征。

传统的CC防护通常依赖两个核心指标：每秒请求数和并发连接数。当攻击者控制单个IP或少量IP，以每秒1到3次的频率发送请求，或者建立连接后每隔10到20秒才发送一小段数据，这两个指标都不会触发告警。更棘手的是，攻击者会模拟浏览器的正常行为，在请求之间加入随机延迟，使得单从请求内容或频率上看，与真实用户无异。但问题在于，真实用户的访问行为受页面结构、用户阅读速度、交互操作等多重因素影响，其请求间延迟分布具有高度离散性和长尾特征。而慢速攻击工具为了维持连接并消耗服务器资源，其请求间隔往往集中在某个狭窄的区间内，或者在长时间尺度上表现出极强的规律性。这种统计层面的差异，正是我们检测的突破口。

要分析请求间延迟分布，首先需要明确数据采集的粒度。对于每个源IP，我们需要记录其最近N次请求的时间戳，计算相邻请求的时间差，形成一个延迟序列。假设某个IP在时间窗口内发起了请求序列，其时间戳为t1、t2、t3...tn，那么请求间延迟就是d1=t2-t1，d2=t3-t2，以此类推。这个延迟序列的统计特征包括但不限于：均值、中位数、标准差、变异系数、偏度、峰度，以及更高级的分位数比值。正常用户的延迟分布通常呈现重尾特征，即大部分请求间隔较短，但存在少量很长的间隔，这对应着用户点击页面后阅读内容、填写表单或离开电脑等行为。而慢速攻击工具的延迟分布往往集中在某个预设值附近，比如攻击脚本设定每15秒发送一次keep-alive数据包，那么延迟序列的变异系数就会极低，峰度极高，呈现出尖锐的单峰分布。

变异系数是标准差与均值的比值，它能够消除尺度影响，反映数据的离散程度。在实际部署中，我们可以为每个IP维护一个滑动窗口，窗口内包含最近30到50个请求间延迟样本。计算该窗口内延迟序列的变异系数，如果变异系数低于预设阈值，比如0.2，就意味着该IP的请求节奏过于均匀，极有可能是自动化脚本。但单纯依赖变异系数存在误判风险，因为某些API调用或移动端轮询也会产生较为规律的请求。因此需要引入第二个维度的判断：延迟序列的分布形状。我们可以将窗口内的延迟数据绘制成直方图，计算其与均匀分布或正态分布的拟合优度，或者直接使用Kolmogorov-Smirnov检验来比较该分布与基准正常分布的差异。正常用户的延迟分布通常近似对数正态分布或威布尔分布，而慢速攻击的延迟分布更接近狄拉克δ函数，即几乎所有延迟都集中在某个极窄的区间内。

另一个极其有效的指标是分位数比值。正常用户行为产生的延迟序列，其P99分位数通常远大于P50分位数，比值可能达到10倍甚至更高。这是因为用户可能会在某个页面上停留几分钟，然后再点击下一个链接。而慢速攻击为了维持稳定的资源消耗速率，其延迟序列的P99与P50分位数非常接近，比值往往小于2。我们可以设定一个分位数比值阈值，比如P99/P50小于3即判定为可疑。更进一步，可以计算P90/P10、P95/P50等多组分位数比值，构建一个多维特征向量，输入到轻量级的异常检测算法中。这种方法对慢速POST攻击尤其有效，因为攻击者需要在规定时间内持续发送数据，其发包间隔被严格控制，长尾部分几乎完全缺失。

信息熵可以衡量延迟序列的混乱程度。将延迟值离散化到若干个区间后，计算每个区间出现的概率，进而得到熵值。正常用户的浏览行为受页面内容、个人习惯、网络波动等多重随机因素影响，其请求间延迟的熵值较高。而脚本化攻击的延迟序列熵值明显偏低，因为攻击程序通常使用固定的sleep函数或定时器，即使加入了少量随机抖动，其熵值仍然远低于真实用户。在实际应用中，我们可以设定一个滑动时间窗口，持续计算每个IP的延迟熵值，当熵值持续低于基线时触发告警。需要注意的是，熵值计算对离散化的区间划分敏感，建议根据实际业务场景的延迟分布特性，动态调整区间宽度，例如采用等频离散化而非等宽离散化，以增强对不同流量模式的适应能力。

慢速攻击工具为了维持连接或持续消耗资源，往往内置了周期性的心跳或数据发送机制。这种周期性在延迟序列的自相关函数中会表现为显著的峰值。计算延迟序列的自相关系数，如果发现在某个滞后期数上存在远高于噪声水平的相关系数，则说明该IP的请求行为具有周期性。例如，攻击脚本每隔30秒发送一个HTTP请求来保持会话，那么延迟序列在滞后1阶的自相关系数可能不高，但在原始时间序列上做等间隔采样后会暴露出周期性。具体做法是对延迟序列进行傅里叶变换或计算其功率谱密度，观察是否存在突出的频率分量。正常用户的访问不存在固定的频率分量，其频谱是平坦的噪声状，而周期性的慢速攻击则会在特定频率上出现尖峰。这种方法对于检测那些伪装成正常间隔但实际受时钟驱动的攻击流量非常有效。

单一指标在实际生产环境中都难以做到零误报零漏报，因此需要将上述多个统计特征融合起来。一个实用的架构是：在边缘节点或日志处理层，实时计算每个IP的延迟序列，提取变异系数、分位数比值、熵值、自相关峰值等特征，然后将这些特征输入到一个预先训练好的轻量级分类器中。这个分类器可以是基于规则的决策树，也可以是一个小型的孤立森林模型。规则层面，我们可以设置组合条件：变异系数低于0.25且P99/P50小于2.5且熵值低于某个动态阈值，则标记为慢速攻击。动态阈值通过统计全量正常流量的特征分布来实时更新，比如取过去一小时所有IP特征值的第5百分位数作为下限。这样即使业务流量模式发生变化，检测阈值也能自适应调整。对于判定为攻击的IP，可以采取渐进式处置，比如先注入验证码，若持续异常再限制其连接速率或加入黑名单。

在实际部署请求间延迟分析系统时，有几个工程细节决定了方案的成败。首先是时间戳的精度，必须使用毫秒级甚至微秒级的时间记录，因为秒级精度会掩盖掉很多细微的节奏差异。其次是对HTTP长连接和短连接的区别处理，对于短连接，请求间延迟就是两次TCP握手的时间间隔；对于长连接内复用，延迟是同一连接上两次请求的间隔，这两者的统计特性不同，需要分开建模。另外，NAT网关或代理后面可能隐藏着多个真实用户，同一个IP的延迟序列实际上是多个用户行为的叠加，这会使得分布特征趋向正常。针对这种情况，可以引入额外的指纹维度，如TLS指纹、HTTP Header顺序、Cookie值等，将同一个IP的流量拆分成多个逻辑实体，再分别计算延迟分布。最后，延迟序列的窗口长度选择需要在检测灵敏度和计算开销之间权衡，窗口太短则统计特征不稳定，太长则攻击已经造成影响后才触发告警，建议窗口大小在30到100个样本之间，并配合衰减因子让近期数据权重更高。

请求间延迟分布分析并非要取代现有的CC防护机制，而是作为其有力补充。传统的速率限制仍然负责拦截高流量洪水攻击，而延迟分布分析专门捕捉那些速率限制之下的隐蔽慢速攻击。两者可以串联工作：流量先经过速率检测，未触发阈值的请求进入延迟分析模块，计算其节奏异常度。同时，延迟分析的结果可以反馈给速率限制模块，动态调整其阈值。例如，当某个IP的延迟变异系数持续走低但速率未超标时，可以临时降低该IP的速率上限，使其无法造成实质伤害。这种联动机制能够在不增加误拦率的前提下，显著压缩慢速攻击的生存空间。此外，延迟分布数据还可以用于事后溯源，通过分析攻击流量的节奏特征，反推攻击者使用的工具类型和脚本参数，为安全团队提供情报支撑。

上线延迟分布检测后，需要通过A/B测试或影子模式来评估其效果。核心指标包括：慢速攻击的检出率、对正常用户的误拦率、以及服务器资源消耗的下降幅度。一个典型的优化路径是：先使用离线数据回放，标注出已知的慢速攻击样本和正常流量样本，计算各特征的区分能力，选择Top特征组合。然后在线以低灵敏度运行，收集误报反馈，逐步收紧阈值。值得关注的是，攻击者也会进化，他们可能会在脚本中加入更复杂的随机延迟算法，使得延迟分布更接近真实用户。对抗这种高级慢速攻击，需要引入更深层的特征，比如请求内容的语义相关性、鼠标移动轨迹、页面停留时间的上下文关联等，但请求间延迟分布分析始终是成本最低、见效最快的基线检测手段。只要攻击者的目标是消耗服务器资源，其请求行为就必然存在某种程度的规律性，而这种规律性终将在延迟分布的统计特征中露出破绽。