蓝易云CDN：企业网络安全监控指标体系的搭建思路

企业网络安全监控不能只盯着“攻击次数”和“拦截量”。真正成熟的指标体系，应当能够回答三个问题：业务现在是否正常、异常发生在哪里、防护措施是否真正有效。

从当前企业安全实践来看，持续监控的核心已经从单点设备告警，逐步转向网络、应用、身份、日志和业务状态的关联分析。NIST CSF 2.0同样将持续监控和异常事件分析纳入检测体系，重点在于及时发现异常并判断实际影响。

一、第一层：业务可用性指标

这是整个监控体系的基础，应重点关注：

• HTTP/HTTPS访问成功率；
• DNS解析成功率与解析延迟；
• TCP连接成功率；
• TLS握手失败率；
• 4xx、5xx状态码占比；
• P95、P99响应时间；
• 各地区、运营商访问质量。

不能只监控全国平均值。例如整体成功率99.9%，但某个运营商成功率只有90%，平均数据很可能掩盖真实故障。

二、第二层：流量与攻击指标

🛡️ 安全监控需要建立正常业务基线，再寻找偏离。

建议持续统计QPS、带宽、连接数、新建连接速率、单IP请求频率、URI请求排行、来源地区、ASN、User-Agent、Referer以及TLS指纹等。

重点识别：

流量突然上涨、来源IP数量异常增加、单URI请求集中、动态请求比例升高、404/403异常增加、同类TLS指纹大量出现。

这些指标不能孤立判断，而应该组合分析，否则容易把营销活动、正常爬虫或APP业务高峰误判为攻击。

三、第三层：CDN与源站健康指标

CDN系统尤其要关注：

缓存命中率、回源带宽、回源QPS、源站响应时间、源站5xx、连接失败、超时以及节点健康状态。

例如前端请求量只增加30%，但回源流量突然增长300%，就要检查缓存策略是否失效、热点资源是否被穿透，或者是否存在集中请求动态接口的异常行为。

当前大型安全分析平台也越来越强调同时查看全部进入流量、已处置流量以及最终到达源站的流量，而不是只统计被安全规则命中的请求。

四、第四层：防护效果指标

很多企业容易忽略这一层。

WAF或者CDN显示“今日拦截100万次”，并不能直接证明防护效果优秀。真正应该观察的是：

攻击识别率、误拦截率、放行异常率、人机验证通过率、规则命中分布、攻击到达源站比例以及策略调整后的业务变化。

如果攻击全部挡住了，但正常用户也大量访问失败，那么这套防护同样不能算有效。

五、第五层：日志与告警体系

访问日志、安全日志、WAF日志、DNS日志、系统日志和管理员操作日志应尽可能统一汇聚，并保证关键日志不会被随意修改或删除。CISA的安全实践同样强调集中收集关键安全日志，并对日志源异常停止记录进行告警。

告警也不能采用简单固定阈值。

例如“QPS超过1万就报警”并不适合所有业务。更合理的方式是结合历史基线、同比变化、环比变化、持续时间和多指标关联设置动态阈值。

六、最终建立“发现—判断—处置—验证”闭环

蓝易云CDN认为，一套真正有价值的企业网络安全监控体系，最终应该形成：

实时指标发现异常 → 日志定位来源 → 多维特征判断风险 → 自动或人工执行策略 → 持续验证防护效果。

📊 指标数量并不是越多越好。能够准确反映业务健康状态、快速定位故障和攻击、减少误报，并最终指导实际处置的指标，才是真正有价值的安全监控指标。