近年來，受到疫情影響和信息化技術的不斷發展，在線零售和電子商務行業規模呈現出快速增長的趨勢，整個中國電子商務交易量在去年達到瞭17000億美元。但行業規模的增長也讓另一群身處黑暗陰影中的人虎視眈眈，那就是網絡犯罪分子。在數字化轉型步入深水區的當下，網絡安全攻防變成瞭一場漫無止境的拉鋸戰，於企業而言，網絡攻擊已經成為威脅企業獲取利潤的最大威脅，加強網絡安全自然也被提上瞭企業優先考慮的第一要素。

不久之前，Akamai的研究人員監測並分析瞭整個亞太地區2021年底至2022年的節假日中的惡意僵屍網絡攻擊趨勢，發現僅針對中國零售和電子商務行業的惡意僵屍網絡活動在春節前後就增加瞭15%。

Akamai區域副總裁暨大中華區總經理李昇認為，電子商務行業本身在中國企業出海的幾個賽道裡是相當重要的垂直行業，和遊戲、泛娛樂行業平分秋色，且呈現出加速發展的趨勢，越來越多的平臺都開始在國際化的電子商務領域裡嶄露頭角，高速的發展使得企業受到的網絡爬蟲的威脅也越來越大，特別是從去年年底針對電子商務的事件裡可以看到，爬蟲攻擊趨勢和以前相比呈現出多樣化、復雜化和高頻化的特征。

Akamai區域副總裁暨大中華區總經理李昇

事實也是如此，從Akamai的報告中可以看到，節假日前後在線購物者總流量的增加在某種程度上為攻擊者提供瞭“掩護”，使得後者能夠在網站承受高流量訪問時更輕松地掩蓋自己的攻擊。此外，很多電商平臺的用戶傾向於在線上購物個人資料中填寫最新的信用卡信息和憑據，繼而成為攻擊者眼中的肥羊，攻擊者通過入侵賬戶和網站竊取憑據後，會將這些數據放在暗網出售或用於其他攻擊。除此之外，攻擊者還會在特定電商網站上買光限量版或限量供應的商品，然後再轉手以高價賣出，進而影響零售企業的聲譽。

即便爬蟲攻擊對電子商務行業造成的影響巨大，但令人沮喪的是，從整個行業的劃分來看，電商行業也是最容易被爬蟲攻擊的行業，主要原因在於電商業務非常復雜。

但從爬蟲技術本身的角度來看，並非所有爬蟲都是惡意的，例如部分爬蟲技術在搜索引擎、社交媒體或者廣告投放方面也得到瞭廣泛應用，而那些針對價格信息、產品信息，或者針對用戶數據的爬取，則是完全的惡意攻擊。企業在防禦爬蟲攻擊的時候，首先需要辨別爬蟲行為是否惡意。這是一個頗具難度的事情，因為很多惡意爬蟲攻擊會偽裝成正常的行為，例如某些撞庫攻擊會將所有的頭部信息包裝成看似正常的瀏覽器訪問，使得企業無法辨別。另一方面，爬蟲非常容易變形，企業如果采用瞭單一的處理方式去防禦爬蟲，往往會是無效的。

李昇在接受采訪時還指出，爬蟲攻擊與DDoS攻擊和身份驗證攻擊並不相同。從攻擊手段來看，DDoS攻擊屬於三層、四層攻擊。它是通過巨量的數據流或巨量的數據包發向被攻擊的網站，使得它的網絡設備或者入口帶寬形成阻塞造成網站不可用。而爬蟲攻擊則是“應用攻擊”的層面，可以將其看作是在Web應用層攻擊裡更復雜、更智能的一種攻擊手段。因為它已經完全偽裝成一個正常的訪問。雖然流量可能不會很大，但訪問的頻率會更智能、更具適配性和更高持續性，由於其發生率較低，利用通常的手段很難察覺。

對企業而言，爬蟲攻擊控制者的行為愈發謹慎，頭部運營者控制的爬蟲網絡不斷向高隱秘性發展，為企業甄別爬蟲攻擊帶來的更加復雜的挑戰。首先，部分爬蟲攻擊會采用幹凈的IP，這類IP沒有任何的不良記錄，甚至可能就是在“雲”租的虛擬機；其次，爬蟲工具使用越來越簡單。攻擊者會直接利用第三方的工具、腳本，修改、組裝成自己需要的爬蟲，而不需要自己寫代碼。最後，是經濟上的回報對於爬蟲攻擊來說正在變大。原來經濟回報可能特別不容易，現在已經變得越來越簡單：在“雲”裡面租一個虛機嘗試撞庫或者抓取某些重要的內容，就可能直接獲得經濟上的收益。因此企業已經無法僅從IP判定爬蟲攻擊是否是惡意的。

那麼企業究竟該如何應對爬蟲攻擊呢？Akamai大中華區媒體事業部高級售前技術經理劉燁認為，企業首先需要區別爬蟲的屬性，即爬蟲行為是否時惡意的；其次是通過實時分析鑒別爬蟲的行為，例如在沒有任何促銷活動的情況下，流量激增瞭若幹倍，就可能是收到瞭DDoS攻擊、或者是大規模的爬蟲活動或者撞庫行為。

Akamai大中華區媒體事業部高級售前技術經理劉燁

從簡單的IP、瀏覽器到模仿人的行為，爬蟲現在已發展到分佈式攻擊的特點，而Akamai所開發的Bot Manager（爬蟲管理器）解決方案就是用於幫助企業管理和甄別爬蟲流量的，現在Bot Manager可以利用Akamai的雲端數據和威脅情報對爬蟲流量進行自動評分，並根據這些分值進行更細粒度的防護，同時使用AI模型檢測未知爬蟲程序，進行用戶行為分析、瀏覽器指紋識別等，而非采用簡單的“攔截和允許”操作，避免引起爬蟲程序警惕。

“對於爬蟲管理來說，Akamai最大的優勢體現在兩方面。首先在做數據分析或建立模型時，由於Akamai比其它所有的做類似安全產品的廠傢有更多的來自電商行業、社交媒體、遊戲業等行業的數據，因此在建立安全模型的時候會有很大優勢。因為數據決定瞭可觀測到的流量，而流量的規模決定瞭模型識別爬蟲攻擊的精準度。另一方面，Akamai的安全產品有著完善的服務團隊，包括安全運營中心，Akamai會通過Manage Service團隊為客戶提供爬蟲管理的服務，例如購物季來臨時網站如果受到瞭爬蟲攻擊，Akamai往往會先於客戶發現，然後與客戶聯動處理，通過這樣一個專業團隊為客戶提供服務。”劉燁總結道。

作為一種智能性極高，且變化多樣化的攻擊手段，爬蟲攻擊正在引起越來越多的重視，但如果僅僅靠企業自己單打獨鬥，是很難獲得想要的效果的。如果想要構築一個真正有效的爬蟲識別、反制和管理平臺，就要充分利用全球化平臺的能力。這不是一個軟件或者一個硬件設備就能夠解決的問題。而是一個模型、技術、軟件+後臺專業團隊，而由於與生俱來的數據規模和優勢，Akamai的爬蟲防護方案已經形成瞭一個分層次的、全棧的防護方案，助力越來越多的企業防范爬蟲攻擊。

(7894377)