> For the complete documentation index, see [llms.txt](https://www.axisnow.io/zh/docs/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://www.axisnow.io/zh/docs/edge/architecture/security.md).
# 纵深安全防护
AxisNow 团队具备 15 年以上的大厂一线安全经验，包括大规模 DDoS、CC 攻击、Web 应用渗透等攻防实践。基于此我们提炼出一套纵深防护模型，构建全方位的防攻击安全能力。
### 为什么需要纵深防护
现实中的攻击从来不是单一形态的。一次针对业务的攻击，可能同时包含数百 Gbps 的流量洪泛、伪装成正常用户的 CC 请求，以及针对应用漏洞的定向渗透。任何单点防御——无论多强——都存在被绕过或被击穿的可能。
纵深防护的核心思想是：**让攻击流量在到达源站之前，逐层被识别、削弱和拦截**。越靠外的层，处理的流量越大、判断越粗粒度；越靠内的层，流量越干净、检测越精细。每一层只需要处理上一层“漏”下来的部分，整体防御成本和误伤率都被控制在最低。
需要说明的是：这是一套**参考架构**，在这套模型中，各层能力分为三类——**AxisNow 已提供**、**AxisNow 规划中**、以及建议通过**生态配套**（第三方服务或开源方案）补齐的部分。我们会在每一层明确标注，帮助您搭建完整的防护体系。
### 七层防护，由外而内
#### 第一层：运营商级清洗压制
最外层面对的是最暴力的攻击形态——Tbps 级的容量型 DDoS。**这类攻击的目标不是应用，而是带宽本身。应对它需要运营商级的清洗能力：高防服务商在骨干网层面对流量进行牵引与压制**，无论是 UDP 反射放大、SYN Flood，还是混合型洪泛，都在流量进入边缘节点之前被吸收和过滤，确保下游链路始终可用。
{% hint style="success" %}
生态伙伴：这一层属于运营商、高防主机商和流量清洗服务商的领域，AxisNow 定位在其后端。您可以购买市面上的高防 IP、高防主机或 BGP 清洗服务，用于消化超大规模攻击流量。
{% endhint %}
#### 第二层：网络防火墙
进入边缘节点后，流量首先经过网络层防火墙。这一层工作在 L3/L4，以高性能对数据包进行协议合法性校验、异常报文丢弃和连接状态管理。畸形数据包、协议违规流量、异常连接和慢速连接攻击等会在这里被清除，只有符合网络协议规范的连接才能继续向内。
{% hint style="success" %}
规划中：AxisNow 计划在边缘扩展这一层能力，提供粗粒度的连接层保护，防止恶意连接消耗应用层资源。
{% endhint %}
#### 第三层：认证鉴权
通过网络防火墙，只能说明这是一条合法的网络连接，并不代表连接背后的访问者具有合法身份。
这一层能够在请求进入业务系统之前，提前拦截未认证访问、身份伪造、Token 滥用、凭证泄露、越权访问和非法 API 调用。对于 API、管理后台、合作伙伴接口、内部应用和机器间通信，这一层尤其重要。
认证能有效解决访问真实性问题。即使攻击请求格式完全合法、频率也不高，只要身份无效就应当在边缘被拒绝，而不是继续消耗源站的应用和数据库资源。**对于 CC 攻击，如果您的业务支持认证鉴权服务，可以在这一层零误杀的迅速压制。**
{% hint style="success" %}
规划中：AxisNow 计划在边缘提供统一的认证鉴权能力，支持 API Key、JWT、请求签名、客户端证书等常见认证方式，并根据用户和请求路径执行细粒度访问授权。
{% endhint %}
#### 第四层：通用访问控制
到了这一层，流量已经具备合法的网络连接，并通过了必要的身份校验，但仍不代表它符合当前业务的访问策略。
通用访问控制基于 IP、地理位置、ASN、请求特征、访问路径、设备特征等维度执行访问策略。您可以精确控制哪些来源、哪些身份以及哪些请求能够访问特定业务。
对于地域性运营的业务，例如**只服务特定国家、地区或合作伙伴的应用，这一层可以直接减少大量与业务无关的公网暴露面。**
这一层还内置挑战验证能力，可与 Cloudlfare 或谷歌集成，通过挑战区分真人用户与自动化工具，在尽量避免误伤正常用户的前提下拦截攻击。命中策略的恶意来源还可以联动网络防火墙，直接执行 IP 封禁。
AxisNow 挑战机制可以**基于流量水位 QPS 阈值自动触发**，实现攻击发生时自动开启、攻击结束后自动关闭。
{% hint style="success" %}
已提供：访问控制、挑战验证与 IP 封禁能力均已在 AxisNow 边缘可用。
{% endhint %}
#### 第五层：速率限制
CC 攻击的本质是“用合法请求耗尽业务资源”。单独看每一个请求可能都是正常的，但访问频率和行为模式并不正常。
速率限制层对请求速率建立多维度画像，可以按 IP、身份、Token、会话、设备、路径和 API 接口设置不同阈值，并在**超过阈值时执行观察、限速、挑战或封禁 IP**。这一层由[速率控制](/zh/docs/edge/policies/rate-limiting.md)插件实现，计数方式与四种动作的确切语义见[工作原理](/zh/docs/edge/policies/rate-limiting/how-it-works.md)。
在增加认证鉴权层之后，速率限制不再只能针对 IP，还可以针对具体用户或 API 凭证进行控制。这能够更准确地识别凭证滥用、账号共享、接口刷取和资源耗尽等问题。
它是对抗应用层 CC 攻击最直接有效的手段，也是保护后端计算、数据库和第三方接口资源的关键闸门。**对于 API 类业务，启用基于身份与接口维度的速率限制尤其有效。**
{% hint style="success" %}
已提供：速率限制能力已在 AxisNow 边缘可用。
{% endhint %}
#### 第六层：防黑
穿过前五层的流量，规模已经很小，但危险性可能更高，其中可能隐藏着真正有针对性的渗透尝试。
防黑层对请求内容进行深度检测，包括 SQL 注入、XSS、命令执行、路径穿越、文件包含和其他 Web 应用攻击载荷，并在其到达业务代码之前完成识别与拦截。
认证用户并不天然可信。攻击者可能盗用合法账号、合法 Token 或合作伙伴凭证发起攻击，因此认证鉴权不能替代应用层安全检测。防黑层仍然需要对已认证请求进行内容分析和漏洞攻击检测。
{% hint style="success" %}
生态配套：建议在源站部署开源 WAF，例如 ModSecurity 或 Coraza，与 AxisNow 的边缘防护能力配合使用。
{% endhint %}
#### 第七层：源站保护
最内层回答一个根本问题：即使前面的防护层全部被绕过，攻击者能否直接访问源站？
答案应该是不能。
源站保护通过隐藏真实源站 IP，并限定源站只接受来自 AxisNow 边缘节点或可信隧道的回源流量，让源站从公网上“消失”。攻击者无法绕过边缘防护直接攻击源站，从根本上封闭旁路攻击路径。
您可以**在源站防火墙中配置仅允许 AxisNow 边缘节点 IP 访问，并拒绝所有其他公网连接**。
{% hint style="success" %}
规划中：AxisNow 计划推出源站隧道，通过零信任方式建立边缘节点与源站之间的可信连接，进一步消除源站的公网暴露。
{% endhint %}
### 环绕全局的三种能力
七层防护解决的是“流量怎么被过滤”，但一套防御体系要持续有效，还需要三种贯穿所有层次的能力：
**日志和情报。** 每一层的拦截记录、放行决策、攻击特征都被完整记录并汇聚分析。全球边缘网络上观察到的攻击情报会实时反哺各层策略——在一个节点上出现的新型攻击，其特征会迅速同步到整个网络。防御体系因此具备“**见过即免疫**”的进化能力。
{% hint style="success" %}
AxisNow 已提供了详细的日志检索功能。计划推出 IP 威胁情报共享功能。
{% endhint %}
**AI。** 静态规则永远滞后于攻击的变化。AI 让防护从“匹配已知特征”走向“发现未知异常”：对流量行为持续建模，自动识别规则覆盖不到的攻击模式。同时利用 AI 帮助我们实现**攻击自动化响应和研判**，自动配置和调优防护规则，降低安全运营的人力门槛。
{% hint style="success" %}
规划中：AxisNow 计划优先实现 AI 安全 Agent 自动化响应和研判，自动配置和调优防护规则。
{% endhint %}
**专家。** 自动化和 AI 能处理绝大多数场景，但最复杂的对抗最终仍是人与人的对抗。当自动化手段无法研判时，安全专家介入响应与处置——这是整套体系的最后兜底。
{% hint style="success" %}
AxisNow 团队具备 **15 年以上的一线攻防对抗经验，我们过去的工作：**
* 首创全网攻防态势地图并被行业效仿
* 首创替身镜像思路用于网页防篡改，并应用于众多政府和公共事业网站
* 首创智能流量分析识别 Webshell，让入侵提权无处遁行
* 自研 ADS 清洗系统部署在 3Tb 的 CDN 网络，性能达到小包限速
* 创办盾眼实验室，捕获全网 30% 大流量 DDoS 攻击源（C2），发布行业攻防研究报告
* 提出客户端 SDK（游戏盾）隐身防御模型，能防能溯源
我们将持续跟踪攻击手法演进、参与重大攻击事件的实时处置，并将一线经验沉淀为每一位用户开箱即用的默认防护策略。
{% endhint %}
### 小结
纵深防护不是七个功能的简单堆叠，而是一套逐层收敛风险的安全体系：
最外层消化攻击规模，网络层保证连接合法，认证鉴权层确认身份和权限，访问控制层判断请求是否符合业务策略，速率限制层约束访问行为，防黑层识别恶意载荷，源站保护层则封闭绕过路径。
日志与威胁情报、AI 和安全专家能力贯穿所有层次，让整个防护体系不断学习、持续进化。
AxisNow 提供其中的核心边缘防护能力，并与运营商/主机商高防、身份服务、开源 WAF 和其他生态能力协同，共同构成完整防线。
攻击者需要连续突破所有层级才能触及业务，而防御方只需要在任意一个层级成功识别并拦截攻击。这种攻防上的不对称性，正是纵深防护模型的核心价值。
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://www.axisnow.io/zh/docs/edge/architecture/security.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
.png?alt=media)