智能自动防御：工作原理

智能自动防御的处置级别、判定与降级节奏、自动规则的晋升与待命、永不处置的来源、熔断的条件与恢复、联防三档，以及常见问题。

工作原理

节点按网站学习正常流量（基线），把每秒的请求特征和基线比较，发现攻击后自动分级处置，攻击结束后逐级撤销。学习、判定、处置都在节点本地完成，攻击开始后不需要等主控。

站点模式：关闭（不采集）→ 学习中（只学基线）→ 仅观察（判定并生成影子规则，不处置）→ 自动防护（判定后自动处置，需要 module.autodefense.auto）。建议先学习至少 1 天，再仅观察至少 7 天，确认判定可信后再开自动防护。

基线成熟度依次是先验、1 小时、全天、一周。从第一分钟起就用全局先验保护；基线满一周之前，不会临时封禁（L3 及以上）。

级别	动作
L0	观察，只记录
L1	挑战（JS 无感、5 秒盾、工作量证明）
L2	限速
L3	临时封禁
L4	内核封禁（nftables）
L5	网卡层丢包（XDP）；节点的 XDP 过滤器没有挂上时按 L4 执行

最高处置级默认“自动”。要限制时，在站点详情里把“最高处置级”改成人工档位，直到你点“恢复自动”。

阶段	规则	时长
受攻击 → 降级观察	所有触发的特征都回到退出阈值内并持续	3 分钟；流量突增、保护源站类为 5 分钟
降级观察	处置逐级下降	每 2 分钟降一级
事件结束	降级观察期间没有复发	30 分钟
自动规则待命	攻击结束且 1 分钟内没有命中后进入待命，复发时立即恢复原阶段	15 分钟

自动规则按“影子 → 挑战 → 拦截”晋升：挑战阶段持续 2 分钟且挑战通过率不超过 5% 才进入拦截；通过率达到 30% 就退回一级，并冷却 10 分钟。

永远不处置：已核验的搜索引擎蜘蛛、站点白名单、你自己的放行规则、平台节点与拨测网段。

出现这些情况，节点对该站点熔断自动处置：误伤超过上限、几乎整站请求都被处置、基线失效、规则下发失败、自动防御组件自身异常。

熔断后不再新增处置，已有处置每 24 秒降一级，2 分钟内全部撤销，站点按你自己的 CC、WAF、DDoS 配置运行。
熔断原因消失 30 分钟后自动恢复；24 小时内第二次熔断，需要管理员点“恢复自动防护”。
例外：“自动防御组件自身异常”（节点负载过高导致判定变慢）时，已有处置保留，正在受攻击的站点继续防御，只有未受攻击的站点暂停新增处置。节点受攻击时负载升高很常见，这时防御不会停。

范围	内容	默认
同站点跨节点	一个节点确认的规则经主控评估后，以“挑战”阶段下发给该站点的其他节点	开
同租户跨站点	同一 IP 或网段在你的至少 2 个站点被临时封禁，你开了联防的其他站点对它限速	关，在站点详情打开
平台情报	跨租户只记录 IP 或网段的计数，当前版本不下发、不影响你的站点	—

跨租户不共享你的路径、域名等数据。

站点详情显示模式、基线成熟度和熔断状态，“最近判定”列出节点判出的攻击来源。
各模块（CC、Bot、WAF、扫描与撞库、四层端口组）的“智能自动”区块按节点显示当前自动值和调整原因；“调整历史”列出每次自动调整、切人工、恢复自动和改上下限。
自动封禁写进网站拉黑日志，可以单条解除并加入白名单。

基线还不满一周时不会临时封禁；也可能是站点的“最高处置级”被设成了人工档位。

攻击指标要先在退出阈值内持续 3 分钟（突增类 5 分钟），之后每 2 分钟降一级。

在站点详情点“一键解除”撤销该站全部自动处置，或在最近判定、拉黑日志里单条解除并勾选“标记误判”。对应规则会立即撤回，并计入误伤统计。

只有动态路由节点。站点详情的节点列表会标出不支持的节点，这些节点上的流量不会被学习和处置。