网站突然卡顿、CPU飙到100%、带宽被占满——大概率不是你的网站火了，而是被恶意爬虫或CC攻击盯上了。传统手段靠封IP、改UA黑名单，面对换IP、改UA的自动化攻击几乎无效。百度云防护WAF的防爬虫和防CC体系，从智能拦截到自定义规则，形成了完整的分层防御。
一、 CC攻击防护：智能+精准，双管齐下
CC攻击的本质是用海量合法请求耗尽服务器资源。百度云防护WAF在CC防护上提供两层能力：
智能CC防护：基于内置通用CC防护算法，自动识别并拦截高频请求（HTTP Flood）。提供宽松、严格、超级严格三种模式，处置动作支持拦截、观察、JS挑战。JS挑战可过滤不支持JS的脚本类工具，对正常用户无感知。
精准自定义CC防护：不依赖固定阈值，灵活设置匹配条件和统计维度。支持IP、JA3、JA4、URI PATH、自定义Header、自定义Query参数、自定义Cookie等多种统计维度。可为登录接口、短信接口等敏感路径配置独立限频规则，灵活度远超同类产品。
二、 爬虫防护：从“封IP”到“锁工具”的升维打击
百度云防护在Bot管理方面提供四层能力：
1. 风险识别：基于手机号信誉数据库，防范垃圾账号注册、营销作弊等行为。
2. Bot行为识别：基于AI智能防护引擎，对访问流量自动分析和学习，生成针对性防护规则。
3. 自定义Bot策略：支持IP地域情报库、IP动态情报库、设备情报库、Referer、Cookie、User Agent、IP等多种条件组合。
4. Bot特征识别：支持JavaScript校验和动态令牌挑战，过滤非浏览器类工具流量。
三、 JA3/JA4指纹识别：爬虫的“身份证”
这是百度云防护防爬虫的核心武器。JA3是基于TLS握手特征生成的客户端指纹，同一种攻击工具无论怎么换IP、换UA，JA3指纹几乎不变。配置时在自定义规则中选择“JA3”或“JA4”匹配字段，填入从攻击日志中提取的恶意指纹，处置动作选择“拦截”即可。专业版即支持此功能。一条规则封杀所有换IP攻击，真正从“识别IP”升级到“识别工具”。
四、 流量防护：低频大流量攻击的克星
百度云防护还提供了流量防护功能，按IP、UA、JA3、JA4等多维度统计实际传输流量，超过阈值自动触发处置。专门对付视频盗链、大文件恶意下载等“低频大流量”攻击，填补了传统CC防护的盲区。
五、 自定义规则：精准定义，灵活防护
内置的通用规则虽然覆盖面广，但总有覆盖不到的业务场景。百度云防护WAF的自定义规则功能，让你可以像写“安全剧本”一样，针对特定的攻击场景进行精准防护。
5.1 匹配条件：灵活组合，精准命中
自定义规则支持丰富的匹配字段和逻辑符：
| 匹配字段 | 说明 |
|---|---|
| IP | 客户端IP，支持CIDR网段（如 1.1.1.1/24） |
| URI / URI Path | 请求路径，支持包含、前缀、后缀、正则 |
| User-Agent | 客户端标识，常用于识别恶意爬虫 |
| Referer | 来源页面，常用于防盗链 |
| Query String Parameter | URL参数 |
| Header / Cookie | 自定义HTTP头部和Cookie |
| JA3 / JA4 | TLS握手指纹，识别自动化攻击工具 |
一个规则最多可添加5个“且”条件，请求必须同时满足所有条件才能命中。
5.2 优先级：规则执行顺序的“指挥棒”
优先级范围为0-200，数值越小优先级越高。当多个规则同时命中同一个请求时，系统会执行优先级最高的规则。建议白名单规则设为 10-20，紧急封禁规则设为 1-10，常规防护设为 50-100。
5.3 生效模式与处置动作
支持永久生效、按时间段生效、按周期生效三种模式。处置动作包括观察、拦截、拦截并追加封禁、JS挑战、回源标记等。
5.4 自定义规则典型场景
| 场景 | 配置方式 | 处置动作 |
|---|---|---|
| 封禁恶意IP段 | IP 属于 123.45.67.0/24 | 拦截并追加封禁 |
| 拦截空UA请求 | User-Agent 等于空 | 拦截 |
| 防盗链 | Referer 不属于 yourdomain.com | 拦截 |
| 封锁攻击工具 | JA3 等于 8ab05683... | 拦截并追加封禁 |
配置路径：登录百度云WAF控制台 → 防护配置 → Web防护 → 自定义规则 → 添加规则。
六、 套餐差异与部署方式
Bot管理功能仅企业版支持。专业版即支持智能CC、精准自定义CC（含JA3/JA4指纹统计）、自定义规则（含JA3/JA4匹配）、区域封禁等核心能力。采用SaaS接入方式，通过CNAME接入即可生效，5分钟完成部署。
百度云防护WAF通过智能CC + 精准自定义CC + Bot管理 + JA3/JA4指纹 + 流量防护 + 自定义规则的完整体系，实现了从高频CC到低频大流量、从UA黑名单到工具指纹锁定的全场景覆盖。无论攻击者换IP、改UA还是换工具，都能在流量层面精准拦截。
主机吧 | 百度云防护官方合作伙伴
提供WAF接入、高防CDN、高防IP、SSL证书一站式服务
