如何有效防御针对CDN的黑客攻击?

CDN 攻击方法详解

攻击类型	描述	具体实现方式	影响及放大倍数
HTTP 范围放大攻击 (Rangeamp)	利用 HTTP 协议中的 Range 请求头，通过发送部分字节范围的请求，放大响应数据。	发送 HEAD 请求检测是否支持 Range 请求，再发送带有 Range 头的请求，如`Range: bytes=0-1`。	针对大资源文件时，放大倍数可达到 1000 倍以上。
SBR 小字节范围攻击	利用请求和响应流量之间的不对称性，客户端发送小字节范围请求，CDN 处理后发送大字节响应。	发送小字节的 Range 请求，如`Range: bytes=1-2`，CDN 会返回更大范围的数据。	对于 1MB 资源，放大倍数可达 1000 倍。
OBR 重叠字节范围攻击	通过发送多个重叠的范围请求，使服务器返回大量重复数据，从而放大流量。	发送多个重叠 Range 请求，如`Range: bytes=0-1,1-10,200-2000`。	大部分网站遵循 RFC7233 标准，但一些未遵循标准的 CDN 会被放大攻击。
基于协议转换的 HPACK 攻击	利用 HTTP/2 中的头部压缩算法 HPACK，通过前后端协议不一致进行放大攻击。	在不支持 HTTP/2 的后端服务器上，使用 HTTP/2 请求头压缩技术，造成流量放大。	静态表放大倍数约 3.3 倍，动态表放大倍数约 62 倍。
HTTP 慢速访问预请求攻击	通过发送慢速预请求，拖慢服务器响应速度，从而放大正常请求的影响。	发送多个慢速 HTTP 预请求，逐步增加服务器负载。	导致服务器响应变慢，影响正常用户访问。
CDN 节点反向代理死循环	将 CDN 节点设置为自身源站 IP，导致反向代理请求无限循环放大流量。	设置源站 IP 为 CDN 节点 IP，并通过多线程发起请求。	实验中流量被放大了约 100-200 倍。
CDN 级联放大攻击	利用多个 CDN 节点之间的级联关系，通过一个节点的攻击放大到其他节点。	在一个 CDN 服务商注册服务，并将源站设为另一个 CDN 服务商的节点 IP。	可以跨 CDN 服务商放大攻击效果。