基于自相关函数的流量周期性检测：识别自动化脚本攻击特征
摘要：# 流量里的“心跳”：如何揪出那些假装人类的机器人？ 做安全防护这些年，我有个挺深的感触：最头疼的往往不是那种“大炮轰城门”式的DDoS，而是那些悄无声息、像潮水一样慢慢涨上来的自动化脚本攻击。它们不搞崩服务器，就跟你玩“躲猫猫”，偷数据、占资源、刷接口…
流量里的“心跳”：如何揪出那些假装人类的机器人？
做安全防护这些年，我有个挺深的感触：最头疼的往往不是那种“大炮轰城门”式的DDoS，而是那些悄无声息、像潮水一样慢慢涨上来的自动化脚本攻击。它们不搞崩服务器，就跟你玩“躲猫猫”，偷数据、占资源、刷接口，让你查日志查到眼花，还找不着北。
我自己就看过不少站点，防护设备买得挺贵，规则也设了一堆，可业务还是时不时卡一下，用户老投诉。一查，问题往往不是没上防护，而是根本不知道攻击藏在哪里——那些脚本伪装得太像正常用户了。
今天，咱们就聊一个有点“技术宅”，但实战中真能救命的方法：基于自相关函数的流量周期性检测。说白了，就是给流量做个“心电图”，看看它有没有“机器人式的心跳”。
一、你的网站，可能正被一群“节拍器”访问
先想象一个场景。半夜两点，你的电商网站促销API接口，访问量却异常平稳，每秒固定20次请求，毫秒不差，持续了三个小时。这正常吗？
正常用户谁会这么准时？困得眼皮打架了还跟秒表似的给你点赞下单？这不对劲。 这种近乎机械的规律性，就是自动化脚本最典型的马脚——它们没有人类的随机和犹豫，只会严格执行预设的时间间隔。
但问题来了，面对海量的访问日志，你怎么一眼看出这种“规律”？靠人眼盯着折线图？那得看到猴年马月。这时候，就需要一点数学工具来帮忙了。
二、自相关函数：不是数学课，是“节奏探测器”
别被名字吓跑。你可以把“自相关函数”理解成一个超级灵敏的节奏探测器。
它的工作原理，有点像你听歌时打拍子。我给你一段流量数据（比如每分钟的请求数），这个函数干的活儿，就是把这串数据不断地往后错位，再和自己原来的样子进行比较。
- 如果是一堆完全随机的噪音（比如真实用户访问），错位之后，相似度就很低，图形看起来就是一团乱麻，没有规律。
- 但如果里面藏着固定的周期（比如脚本每5秒攻击一次） 那么，每当错位的时间刚好等于这个周期（5秒、10秒、15秒……）时，数据曲线就会和原来的自己高度重合。在自相关函数的图形上，就会像心跳图一样，出现规律的峰值。
（这里插一句私货：很多安全产品宣传的“AI异常检测”，底层逻辑之一就是这个。只不过它们包装得更黑盒，你也不知道它到底咋算的。）
三、实战怎么用？一个接地气的思路
理论听着美，落地才是关键。你不可能为了这个去重写一套监控系统。其实思路可以很取巧：
- 盯紧关键“穴位”：别全站流量一把抓。先圈定最可能被脚本盯上的目标：登录接口、短信发送口、优惠券领取API、数据查询端点。这些才是脚本的“最爱”。
- 提取时间序列：从你的WAF、网关或者应用日志里，按分钟（甚至秒级）统计这些接口的请求频率，拉出一段时间的数据。
- 跑一下计算：用Python（
pandas和statsmodels库几行代码的事）或者现成的数据分析工具，对这段序列做个自相关分析。重点看结果图里，是不是在某个固定的时间滞后点上，出现了显著且规律的尖峰。 - 解读“心电图”：
- 没明显峰值：大概率是真人混杂，可以稍微松口气。
- 出现等间距的显著峰值：警报！这基本就是自动化脚本的“身份证”了。峰值对应的间隔时间，就是脚本的攻击周期。
举个例子：你发现用户查询接口的自相关图，在滞后5分钟、10分钟、15分钟的位置都有明显高峰。那很可能，就有一个脚本在每隔5分钟就精准地来爬你一次数据。这个精准度，人类用户根本做不到。
四、它的好，与它的“坑”
这个方法妙在哪？
- 对抗伪装：脚本可以换IP、换User-Agent，模仿真人点击流，但它很难彻底打乱自己与生俱来的“机械节奏”。这个时间维度上的特征，很难隐藏。
- 提前预警：在流量绝对值还没冲到告警阈值时，你就能通过“节奏异常”发现苗头，提前干预。
- 辅助溯源：一旦确定了攻击周期，反向去查在那个固定周期上反复出现的IP或会话，一抓一个准。
但是，别把它当银弹。这东西也有局限：
- “聪明”的脚本会加随机抖动：高级一点的攻击者，会给脚本的执行间隔加上随机延迟（比如5秒±2秒）。这会让周期性变得模糊，增加检测难度。不过，即便如此，其时间分布和真人的随机性还是有统计学差异的，需要更精细的模型。
- 它只是特征发现，不是完整的解决方案。发现了周期性，你得能联动防护设备去封禁、去挑战（如验证码），或者进一步做行为分析。
- 对突发的高并发真人流量（比如明星官宣导致的瞬间涌入）可能产生误判，需要结合其他指标（如业务来源、用户行为链）综合判断。
说白了，它就像个经验丰富的老师傅，听一听机器运转的“声音”就知道哪个齿轮有毛病。但它不能代替所有维修工具。
五、给你的几点“大实话”建议
- 从“小”做起：别一上来就想监控全站。先拿一个你怀疑有爬虫的接口开刀，跑一遍分析流程，看看效果。有感觉了，再铺开。
- 结合场景：在抢购、秒杀等本身就带有一定“人为节奏”的场景下，要谨慎使用，或者调高检测阈值。
- 数据质量是关键：日志时间戳不准，一切都白搭。确保你的时钟同步（NTP）没问题。
- 别神话算法：再好的算法也只是工具。最终判断攻击、做出决策的，还是人。它给你提供一条强线索，比你自己在日志海洋里瞎捞要强一万倍。
安全防护，很多时候就是一场关于“细节”的战争。攻击者藏在噪音里，你就得找到那个他们抹不掉的“指纹”。流量周期性检测，就是帮你捕捉那个独特“心跳声”的听诊器。
下次当你再看到业务曲线平稳得可疑时，别只怀疑是监控坏了。也许，是该给你的流量做一次“心电图”了。
行了，方法就聊这么多。具体代码和参数怎么调，网上教程一大堆，关键是动手试试。防护这事儿，光看不用，永远都是别人的故事。