Web 攻击越发复杂，如何保证云上业务高可用性的同时系统不被入侵？| 专家谈( 六 )_如今

腾讯云WAF的架构

Q：如何准确的识别BOT流量，既确保业务正常运转，又避免恶意BOT流量对业务造成威胁？

刘吉赟：传统上用于检测和防护恶意BOT流量的访问频率限制、IP黑名单设置、CAPTCHA验证人类用户等方法和规则已无法有效应对不断升级的威胁形势。而从BOT实际运作的模式不难看出， BOT（机器人行为）访问流量的好坏实际是由实际操控者所决定。如何对网站访问的BOT流量进行有效行为甄别与安全管理，成为各行业开展线上业务共同面临的安全挑战，是全网发力破解的重要痛点之一。

针对BOT行为友好与恶意杂糅并存的特征，企业在防御恶意BOT流量访问与攻击时，不应采用“一刀切”简单方式进行封堵，而应在精准区分BOT程序和人类访问流量、友好BOT和恶意BOT流量的基础上，形成差异化响应策略，助力企业真正实现高效防护恶意BOT流量攻击的目标，继而夯实全网Web安全线。

基于“精准流量监测技术是解决恶意BOT攻击识别问题关键”的基本思路，腾讯云WAF上线了基于“规则+AI”双引擎，打造的BOT行为管理解决方案，可帮助企业有效甄别友好及恶意机器?程序并采取针对性流量管理策略。策略思路方面，该方案主张采用温和管理而非直接杜绝的策略，以在保障友好BOT运行的前提下，确保风险管控响应的精准性。