當您的域名因被惡意攻擊或流量被惡意盜刷，產生了突發高帶寬或者大流量消耗，導致產生高于日常消費金額的高額賬單。因惡意攻擊或流量盜刷產生的高額賬單無法免除/退款，為盡量避免此類風險，本文為您介紹這一類情況的應對辦法。
及時止損
當您已經發現域名因被惡意攻擊或流量被惡意盜刷，并且產生了高額賬單，請先設置帶寬上限和單請求限速，以此來減少進一步的損失，設置完成后再進一步分析日志做出針對性的安全設置。
控制帶寬用量
通過設置帶寬上限，來控制帶寬用量。當指定加速域名在統計周期（1分鐘）內產生的平均帶寬超出預設上限，CDN將停止為該域名提供加速服務，且該域名會被解析到無效地址offline.***.com，無法繼續訪問。因此設置帶寬封頂帶寬值時，可根據日常業務峰值預留適當帶寬空間。具體操作請參見配置帶寬封頂。
限制下行速率
通過配置單請求限速，對用戶訪問到CDN節點的所有請求進行下行速率限速，以此來壓制加速域名的全網帶寬峰值。具體操作請參見配置單請求限速。
分析原因
查詢賬單明細，確認流量異常的時間段
您可以在費用與成本明細賬單頁面查看云產品相關的消費明細。根據實際需求選擇統計維度和統計周期，查看不同維度的報表。詳細操作請參見明細賬單。
統計周期選擇明細，產品選擇CDN，仔細審查賬單，注意流量和帶寬的異常增加，以及流量異常的時間段。具體請參見賬單查詢。
檢查日志文件，識別異常流量
基礎查詢：離線日志
通過下載離線日志，查看相關時間段的訪問日志，分析HTTP請求的詳細信息，識別可疑的IP地址、User-Agent等。離線日志字段數據相對較少，如果您想查看更多數據，可使用實時日志功能。
獲得離線日志文件后，您可以使用命令行工具來快速解析日志文件，提取訪問量TOP10的IP地址或User-Agent等信息，詳情請參見CDN訪問日志的分析方法。
進階查詢：運營報表和實時日志
運營報表需定制后才會進行生產統計分析，如果您之前已配置過實時日志推送或訂閱運營報表，您可以查看到過去的日志信息。運營報表為CDN自帶免費功能，無需額外付費。
實時日志需要開通日志服務（SLS）并成功投遞日志后，才會生成實時日志。實時日志為付費功能，具體計費請參見計費詳情。
實時日志和運營報表均需要提前配置，如果您在產生高額賬單之前未配置過這兩項功能，只能通過離線日志進行歷史數據分析。
定制運營報表后，您可以看到用戶訪問的PV/UV、地區和運營商、域名排行、熱門referer、熱門URL、回源熱門URL和Top客戶端IP等報表內容。具體操作請參見定制和訂閱運營報表。
解決問題
當您獲取到了日志或報表數據后，您可以通過數據特征來分析攻擊類型。通常您可以分析Top信息（Top IP、Top User-Agent、Top Referer等）提取特征。
限制可疑IP訪問
通過配置IP黑名單，限制訪問源IP。分析日志后，篩選出一些可疑的攻擊IP，您需要將這些可疑的IP地址列入黑名單。具體操作請參見配置IP黑白名單。
過濾可疑User-Agent
攻擊者通過偽造User-Agent字段發送大量請求，試圖繞過安全檢查。偽造的User-Agent可能是空值、隨機字符串或常見瀏覽器的偽造字符串。您可以配置User-Agent白名單或黑名單，拒絕非正常的User-Agent請求。例如，拒絕空User-Agent或不符合規范的隨機字符串，您可以使用參數this-is-empty-ua和RandomString分別來表示空User-Agent和隨機字符串。具體操作請參見配置UA黑白名單。
添加可疑Referer至黑名單
攻擊者在請求頭中偽造Referer字段，以假冒合法的引用來源，進行惡意請求。配置Referer黑白名單，允許合法的Referer訪問，防止未經授權的第三方網站鏈接到資源，拒絕帶有惡意Referer的請求。在規則輸入框中填寫日志中查詢出的異常Referer，建議勾選忽略scheme。具體操作請參見配置Referer防盜鏈。
升級CDN至DCDN開通DCDN-WAF功能
建議您將域名遷移至DCDN產品，并開通DCDN-WAF進行防護。DCDN為您提供集應用加速、邊緣計算和安全防護于一體的服務。DCDN-WAF可以配置IP黑白名單、頻次控制、Bot防護、CC防護、區域封禁等多項防護規則，有效攔截惡意請求，避免大額異常流量費用產生。
將域名遷移至DCDN產品，具體請參見將CDN域名升級至DCDN產品。域名在升級之前產生的費用由CDN產品計費，升級之后產生的費用由DCDN產品計費。
升級至DCDN后，請開通邊緣WAF功能。具體請參見開通邊緣WAF。
購買WAF資源包。WAF使用SeCU作為費用計量單元，支持按量后付費和資源包抵扣模式。計費詳情，請參見邊緣WAF計費（新版）。
說明新版WAF資源包購買：點擊購買。
CC限速
參考配置自定義防護策略完成規則策略配置。
接口訪問量突增會觸發監控告警，查看實時日志時，在被攻擊的時間段內，60秒內單IP對該接口訪問量達到3000多次；在未被攻擊時間段內，60秒內單IP訪問該接口最多只有100次。根據未被攻擊時間段內60秒內訪問頻次的2~3倍配置CC防護策略。
您需要查看實時日志，定位到被攻擊的資源，對比攻擊時間段和未被攻擊時間段內的訪問頻率，若存在差距可以配置該防護策略。
正常業務中服務器通過公網接口調用資源，如果存在內網IP被集中訪問，您需要添加IP不被統計的匹配條件。
您需要根據自身業務和實時日志中攻擊者訪問頻次，調整防護路徑和觸發防護的閾值，以下是配置案例。
配置項 | 取值示例 | 說明 |
規則名稱 | 您自定義的規則名稱。名稱需符合：
| 表示當被請求的路徑中包含 |
匹配條件 |
| |
頻率設置 | 打開頻率設置開關。 | 表示如果某個客戶端IP在60秒內命中匹配條件的次數超過300次，則對該IP觸發黑名單處置。 |
統計對象 | 選擇IP。 | |
統計時長（秒） | 輸入 | |
統計閾值（次） | 輸入 | |
響應碼 | 默認關閉。 | 表示將命中頻率檢測條件的統計對象加入黑名單，在3600秒內，對來自該對象的所有請求，執行攔截處置。 |
黑名單生效范圍 | 選擇作用于整個域名。 | |
黑名單超時（秒） | 輸入 | |
規則動作 | 選擇攔截。 |
異常UA攔截
參考配置自定義防護策略完成規則策略配置。
針對App場景，正常業務為空UA，則無需使用該策略。
如果UA取值是App名稱，需要將UA中正常業務的App名稱加入匹配內容。
配置項 | 取值示例 | 說明 |
規則名稱 | 您自定義的規則名稱。名稱需符合：
| 表示當請求的User-Agent中不包含 |
匹配條件 |
| |
頻率設置 | 默認關閉。 | |
規則動作 | 選擇攔截。 |
異常UA限速
參考配置自定義防護策略完成規則策略配置。
某個域名或接口被攻擊者大量訪問導致DCDN流量費用突增，查看實時日志發現訪問IP分散，但User-Agent非常集中，和正常業務不符。您可以查看未被攻擊的時間段，同一個User-Agent的訪問量遠遠低于被攻擊時間段。
您需要根據自身業務和實時日志中攻擊者特征和頻次，調整防護路徑和觸發防護的閾值，以下是配置案例。
配置項 | 取值示例 | 說明 |
規則名稱 | 您自定義的規則名稱。名稱需符合：
| 表示當被請求的路徑中包含 |
匹配條件 |
| |
頻率設置 | 打開頻率設置開關。 | 表示如果某個客戶端的請求中包含 |
統計對象 | 選擇自定義Header，輸入 | |
統計時長（秒） | 輸入 | |
統計閾值（次） | 輸入 | |
響應碼 | 默認關閉。 | 表示將命中頻率檢測條件的統計對象加入黑名單，在1800秒內，對來自該對象的所有請求，執行攔截處置。 |
黑名單生效范圍 | 選擇作用于整個域名。 | |
黑名單超時（秒） | 輸入 | |
規則動作 | 選擇攔截。 |
攔截異常IP
參考配置IP黑名單完成規則策略配置。
爬蟲攔截
參考配置Bot管理完成規則策略配置，根據實際需要開啟相關防護項。
后續防護
設置實時監控
設置對CDN產品下指定域名的帶寬峰值監控，達到設定的帶寬峰值后將會給管理員發送告警（短信、郵件和釘釘），便于更加及時地發現潛在風險。詳情請參見設置報警。
設置費用預警
您可以在控制臺右上方菜單欄費用選擇費用與成本，通過設置以下這三個功能來更好地控制賬戶的消費額度，避免產生過高的賬單。
可用額度預警：您可以設置賬戶余額低于一定金額時即向您發送短信告警。
啟用延停額度：您可以選擇關閉該功能，這樣在賬號欠費時會立即關閉業務，以避免產生更多消費。更多信息，請參見延期免停權益。
為了保證計量數據統計的完整性，確保賬單的準確性，CDN產品需要在記賬周期結束后大約3個小時才能生成實際的賬單，因此實際扣款時間與對應的資源消費時間存在一定的時延，無法通過賬單來實時反饋資源消耗情況，這是由CDN產品自身的分布式節點特性決定的，每個CDN服務商都采用類似的處理辦法。