HTTP DDoS 人机评分（Bot Score）说明

什么是 Bot Score

Bot Score（人机评分）是 HTTP DDoS 防护模块为每一次 HTTP 访问给出的“真人可能性”评分。分数范围是 0–99，其中 0 表示高度疑似自动化程序访问，99 表示高度疑似真实用户访问。

HTTP DDoS 人机评分模块主要用于识别机器人或自动化程序流量，帮助区分真实用户与程序访问。评分较低 不一定代表攻击请求，也可能是正常爬虫、API 调用、监控探测等自动化访问。因此，Bot Score 是辅助判断依据，不等同于最终处置结果，也不等同于“是否遭受攻击”的判定。

重要说明：未启用 HTTP DDoS 时的默认评分

若域名未启用 HTTP DDoS 模块，相关数据中的 Bot Score 将默认显示为 60 分。

• 60 分属于“可能是真人”区间（50–98），但仅表示该请求 未经过 HTTP DDoS 人机识别能力评估。
• 该默认值 不代表 访问已被判定为真人，也 不代表 已执行任何人机识别或防护动作。
• 如需获得真实的人机评分与防护能力，请为对应域名 启用 HTTP DDoS 模块。
• 阅读统计报表、访问日志时，若大量请求集中在 60 分，应优先确认该域名是否已开启 HTTP DDoS。

评分区间与含义

区间	分类	说明
0	机器人	高度疑似自动化程序
1–29	大概率机器人	自动化特征明显
30–49	可能是机器人	存在可疑行为，建议观察
50–98	可能是真人	更接近正常用户访问
99	真人	高度疑似真实用户

注：未启用 HTTP DDoS 时显示的 60 分为系统默认值，不属于上述真实识别结果。

在哪里查看

您可以通过以下入口查看 Bot Score：

1. 安全防护态势 / 态势感知：查看人机识别分布、Bot Score 评分分布、Bot Score 评分趋势。
2. 访问日志 / 事件日志：查看单条请求对应的 Bot Score 分值。
3. HTTP DDoS 统计：按评分区间筛选与分析流量。

关联信息（仅作辅助排查）

在日志和事件详情中，除了 Bot Score 之外，还会展示一些辅助排查信息：

• 网络归属信息（ASN / 运营商）
• 客户端访问特征摘要

这些字段用于辅助定位异常来源，不代表 Bot Score 的计算方式。

如何用于防护策略

以下是常见使用方式：

• 观察期：建议先设置为“仅记录”，了解业务正常流量的分布，避免误伤。
• 低风险处置：对极低分段（如 0–29）流量触发人机验证，再决定后续动作。
• 高风险处置 ：对明确异常的流量分段结合限速或拦截策略。
• 白名单：为合法 API、合作爬虫或内部监控工具预留例外规则。

注意：未启用 HTTP DDoS 时默认显示的 60 分不具备策略参考价值，请先开启模块后再配置规则。

图表阅读指南

• 人机识别分布：展示五类人机流量的占比，直观了解整体流量构成。
• 评分分布：按 10 分一档查看评分集中区间，定位异常分数段。
• 评分趋势：观察不同时间段的评分变化，识别攻击或爬取高峰。

若分布异常集中在 60 分附近，请核对对应域名是否已启用 HTTP DDoS。

常见问题

低分是否等于攻击？

不一定。低分仅表示访问更像自动化程序，可能来自恶意爬虫，也可能来自合法 API、合作爬虫或监控工具，需结合业务场景判断。

为什么很多请求都是 60 分？

通常表示该域名未启用 HTTP DDoS 模块，系统以 60 作为默认展示值，并非真实人机识别结果。

评分为空是什么意思？

该请求未产生评分，不影响其他日志字段的正常展示。

如何降低误伤风险？

建议从宽松策略逐步收紧，上线前观察 3–7 天分布再设置拦截阈值。

评分与状态码有什么关系？

可结合状态码一起洞察异常访问模式，例如大量低分且伴随异常状态码可能提示异常扫描。

使用建议（最佳实践）

• 需要准确人机评分时，先为域名启用 HTTP DDoS 模块。
• 上线前观察 3–7 天分布，再设置拦截阈值。
• 重要业务接口优先使用“验证”动作（如人机验证）而非直接“拦截”。
• 定期复盘评分趋势与误报、漏报情况，持续优化规则。