直播回顧 |【原引擎】演唱會(huì)門(mén)票被“秒光”，如何利用高科技防微杜漸？
摘要： 騰訊安全聯(lián)合安在新媒體舉辦了“【原引擎】場(chǎng)景實(shí)戰(zhàn)系列”直播活動(dòng)，為觀(guān)眾們的“購(gòu)票體驗(yàn)”提出了實(shí)際可行的解決方案
疫情結(jié)束后，文娛產(chǎn)業(yè)迎來(lái)復(fù)蘇潮，線(xiàn)下演唱會(huì)的全面開(kāi)啟讓人們可以再度享受現(xiàn)場(chǎng)音樂(lè)的魅力。然而，“搶票難”成為了消費(fèi)者面臨的一個(gè)大問(wèn)題，企業(yè)在營(yíng)銷(xiāo)場(chǎng)景中面臨的挑戰(zhàn)也隨之而來(lái)。
如何提供良好的購(gòu)票體驗(yàn)?如何防止惡意褲羊毛行為?為此，4月13日晚，騰訊安全聯(lián)合安在新媒體舉辦了“【原引擎】場(chǎng)景實(shí)戰(zhàn)系列”直播活動(dòng)，為觀(guān)眾們的“購(gòu)票體驗(yàn)”提出了實(shí)際可行的解決方案，幫助企業(yè)提供更加安全、穩(wěn)定、公平的購(gòu)票服務(wù)。
此次直播特地邀請(qǐng)了騰訊安全營(yíng)銷(xiāo)風(fēng)控資深專(zhuān)家王雷雷和騰訊云高級(jí)安全攻防工程師馬子揚(yáng)兩位專(zhuān)業(yè)講師，為大家講解該如何在購(gòu)票服務(wù)中打贏營(yíng)銷(xiāo)風(fēng)控保衛(wèi)戰(zhàn)，同時(shí)又該如何通過(guò)高科技有效防護(hù)新型BOT攻擊。
由于黃牛搶購(gòu)門(mén)票的行為，導(dǎo)致門(mén)票的供求失衡，進(jìn)而引發(fā)市場(chǎng)價(jià)格的不合理上漲，增加了公眾的票務(wù)成本。此外，黃牛通過(guò)搶票行為，破壞了正常的購(gòu)票機(jī)制和秩序，導(dǎo)致普通用戶(hù)無(wú)法獲取門(mén)票，從而增加了票務(wù)的不公平性和不透明性。
可以看到，現(xiàn)實(shí)中城市售票網(wǎng)同時(shí)支持會(huì)員和非會(huì)員購(gòu)票，非會(huì)員無(wú)需登錄即可購(gòu)票。同時(shí)針對(duì)超熱賣(mài)活動(dòng)，由于地區(qū)的特殊性沒(méi)有進(jìn)行購(gòu)票的實(shí)名認(rèn)證，增加了抵御黃牛的難度。在此背景下，客戶(hù)和騰訊項(xiàng)目團(tuán)隊(duì)需要利用技術(shù)防護(hù)措施來(lái)有效限制黃牛搶票，以保證大部分的正常用戶(hù)的正常購(gòu)票。
當(dāng)前的反黃牛安全防護(hù)架構(gòu)。無(wú)論是正常用戶(hù)還是黃牛，首先要經(jīng)過(guò)WAF集群，這是第一道防線(xiàn)，接下去會(huì)有一些BOT設(shè)置和區(qū)域的設(shè)置進(jìn)行攔截。經(jīng)過(guò)WAF之后，在真正的業(yè)務(wù)系統(tǒng)里，大多數(shù)企業(yè)會(huì)用驗(yàn)證碼區(qū)分人和機(jī)器人，同時(shí)業(yè)務(wù)側(cè)也會(huì)有一些基本的策略防護(hù)，比如登陸限制、人機(jī)識(shí)別、業(yè)務(wù)規(guī)則等。
然而當(dāng)前的安全防護(hù)架構(gòu)看似防護(hù)手段挺多，但其實(shí)效果并不理想。比如，WAF的防護(hù)策略需要不斷進(jìn)行優(yōu)化和更新，不斷學(xué)習(xí)和適應(yīng)新的攻擊方式和威脅模式，以提高防御效果和安全性。同時(shí)，需要根據(jù)實(shí)際情況和需求，采取多種技術(shù)手段和優(yōu)化策略，以達(dá)到更好的效果。
02．防護(hù)增強(qiáng)建議方案
對(duì)此，騰訊安全提出了防護(hù)增強(qiáng)建議方案。首先在結(jié)構(gòu)體系上依舊將WAF作為第一道防線(xiàn)，接下來(lái)部署圖靈盾系統(tǒng)，利用其設(shè)備指紋和風(fēng)控能力抵御和緩解來(lái)自移動(dòng)App端的BOT攻擊。
之后使用多種驗(yàn)證模式，如文字點(diǎn)選，圖形點(diǎn)選，增加黃牛破解的難度，和圖靈盾配合使用，對(duì)圖靈盾標(biāo)簽高風(fēng),險(xiǎn)，中風(fēng)險(xiǎn)和低風(fēng)險(xiǎn)請(qǐng)求，分別彈不同難度類(lèi)型的驗(yàn)證碼。最后在業(yè)務(wù)層可部署風(fēng)控引擎，在支付環(huán)節(jié)對(duì)黃牛進(jìn)行判斷、分析，配合業(yè)務(wù)端對(duì)黃牛進(jìn)行最后的攔截。
從流程上來(lái)看，不一樣的地方在于，其一是多驗(yàn)證模式；其二是設(shè)備指紋的能力；其三是業(yè)務(wù)防護(hù)策略，客戶(hù)可以自定義一些策略，比如禁止哪些非業(yè)務(wù)國(guó)家的IP訪(fǎng)問(wèn)等；其四是支付風(fēng)控，根據(jù)用戶(hù)的卡號(hào)、信用卡號(hào)等一系列信息判斷對(duì)方是不是潛在的黃牛，從而再配置一些策略。
這樣從前端WAF到中間的設(shè)備判斷、業(yè)務(wù)判斷，再到最后的支付判斷，把整個(gè)的判斷鏈路加長(zhǎng)，從而過(guò)濾掉絕大多數(shù)的黃牛黨，這是騰訊安全建議的比較完整的一個(gè)安全鏈路。
03．細(xì)節(jié)
在設(shè)備指紋方面，其可識(shí)別假人假機(jī)、假人真機(jī)和真人真機(jī)三類(lèi)風(fēng)險(xiǎn)；驗(yàn)證碼方面，提供多種驗(yàn)證方式，業(yè)務(wù)防護(hù)策略可根據(jù)自身場(chǎng)景需求，選擇合適的驗(yàn)證碼類(lèi)型接入。通過(guò)結(jié)合圖靈盾返回的請(qǐng)求風(fēng)險(xiǎn)標(biāo)簽，調(diào)用不同的驗(yàn)證方式，在抵御黃牛搶票的同時(shí)保證用戶(hù)的溝通體驗(yàn)。
在支付風(fēng)控方面，騰訊安全設(shè)置了RCE海外交易風(fēng)險(xiǎn)識(shí)別，無(wú)監(jiān)督學(xué)習(xí)發(fā)現(xiàn)欺詐團(tuán)伙實(shí)現(xiàn)事前風(fēng)險(xiǎn)感知，其基于手機(jī)號(hào)、設(shè)備、IP建立時(shí)域關(guān)聯(lián)網(wǎng)絡(luò)，利用社群發(fā)現(xiàn)、風(fēng)險(xiǎn)傳播等無(wú)監(jiān)督算法發(fā)現(xiàn)黑產(chǎn)團(tuán)伙，識(shí)別潛在新型欺詐威脅；其中，識(shí)別算法目前主要是基于時(shí)間因素結(jié)合IP跳變，卡畫(huà)像，聚集性分析和卡以及黑名單進(jìn)行的風(fēng)險(xiǎn)排查，具體到案例可以發(fā)現(xiàn)同一張信用卡/郵箱在短時(shí)間存在重復(fù)購(gòu)買(mǎi)和IP的切換。
RCE海外交易風(fēng)險(xiǎn)識(shí)別有兩處測(cè)試場(chǎng)景：對(duì)其中一場(chǎng)熱賣(mài)活動(dòng)的歷史數(shù)據(jù)進(jìn)行分析，訂單數(shù)量為1167，總共涉及票數(shù)2795張，經(jīng)RCE風(fēng)控引警分析識(shí)別出中高風(fēng)險(xiǎn)訂單數(shù)220個(gè)占比18.85%，對(duì)應(yīng)票數(shù)936張占比33.48%，中風(fēng)險(xiǎn)訂單數(shù)84個(gè)占比7.19%，對(duì)應(yīng)票數(shù)154張占5.50%。
對(duì)另一場(chǎng)熱賣(mài)活動(dòng)的歷史數(shù)據(jù)進(jìn)行分析。訂單數(shù)5597個(gè)，出售票數(shù)12254，目前可能存在中風(fēng)險(xiǎn)交易個(gè)數(shù)683個(gè)，票數(shù)1362個(gè)，高風(fēng)險(xiǎn)交易172個(gè)，票數(shù)377個(gè)；整體中風(fēng)險(xiǎn)占比12.2%，高風(fēng)險(xiǎn)占比3.1%。
結(jié)論: 測(cè)試結(jié)果與客戶(hù)追溯結(jié)果高度吻合，預(yù)計(jì)線(xiàn)上模型可以幫助客戶(hù)識(shí)別更多未發(fā)現(xiàn)黃牛，協(xié)助業(yè)務(wù)風(fēng)控策略進(jìn)行攔截。
01．挑戰(zhàn)和相關(guān)技術(shù)
當(dāng)下面對(duì)黃牛時(shí)會(huì)遇到全新的技術(shù)挑戰(zhàn)和安全風(fēng)險(xiǎn)，其分為四類(lèi)，首先是服務(wù)器資源消耗，由于黃牛機(jī)器人大量注冊(cè)賬戶(hù)并發(fā)起搶購(gòu)請(qǐng)求，可能導(dǎo)致服務(wù)器資源過(guò)載，涌入大量的服務(wù)請(qǐng)求，導(dǎo)致服務(wù)器報(bào)錯(cuò)，進(jìn)而影響正常用戶(hù)的購(gòu)票體驗(yàn)；其次是網(wǎng)絡(luò)攻擊，為了搶購(gòu)門(mén)票，黃?？赡懿扇【W(wǎng)絡(luò)攻擊手段，如DDoS攻擊試圖使競(jìng)爭(zhēng)對(duì)手的服務(wù)器耀瘓從而提高自己的搶購(gòu)成功率。
還有數(shù)據(jù)泄露風(fēng)險(xiǎn)，黃?？赡芡ㄟ^(guò)非法手段獲取用戶(hù)數(shù)據(jù)，包括用戶(hù)的個(gè)人信息購(gòu)票記錄等，這可能導(dǎo)致用戶(hù)信息泄露，增加平臺(tái)的安全風(fēng)險(xiǎn)；最后是平臺(tái)口碑影響，由于黃牛機(jī)器人大量注冊(cè)賬戶(hù)井發(fā)起搶購(gòu)請(qǐng)求，可能導(dǎo)致服務(wù)器資源過(guò)載，進(jìn)而影響正常用戶(hù)的購(gòu)票需求，影響平臺(tái)售賣(mài)口碑。
黃牛常用的技術(shù)手段有：大量注冊(cè)賬戶(hù)，黃牛通過(guò)大量注冊(cè)賬戶(hù)，繞過(guò)單個(gè)用戶(hù)購(gòu)票數(shù)量限制。這樣，即使每個(gè)賬戶(hù)只能購(gòu)買(mǎi)有限數(shù)量的門(mén)票，黃牛依然可以搶購(gòu)到大量門(mén)票。
另外，黃牛還擁有類(lèi)似于VPN、IP 代理、IDC等資源，他們可以通過(guò)IP代理切換，實(shí)現(xiàn)業(yè)務(wù)資源的多次票據(jù)購(gòu)買(mǎi)。
第三點(diǎn)，自動(dòng)化填寫(xiě)與提交，黃牛通過(guò)機(jī)器人可以自動(dòng)填寫(xiě)購(gòu)票信息，包括購(gòu)票者姓名、聯(lián)系方式、支付方式等，這使得黃牛在搶購(gòu)過(guò)程中比普通用戶(hù)更具優(yōu)勢(shì)，比如本來(lái)填寫(xiě)表單需要一分鐘，黃牛五秒就能填寫(xiě)完，同時(shí)黃牛還可以利用網(wǎng)絡(luò)爬蟲(chóng)技術(shù)監(jiān)控門(mén)票發(fā)售時(shí)間，并在第一時(shí)間搶購(gòu)，這使得黃牛機(jī)器人在門(mén)票發(fā)售一開(kāi)始就搶購(gòu)到大量門(mén)票，而普通用戶(hù)則很難有機(jī)會(huì)購(gòu)買(mǎi)。
第四，一些比較高端的攻擊者會(huì)嘗試驗(yàn)證碼的識(shí)別、饒過(guò)和破解，比如在一些場(chǎng)景下可能會(huì)嘗使用驗(yàn)證碼識(shí)別破解技術(shù)來(lái)繞過(guò)系統(tǒng)的安全防護(hù)措施，從而獲取更多的票務(wù)搶購(gòu)商品等資源，從中牟利。黃牛在這過(guò)程中會(huì)用到一些類(lèi)似于圖像識(shí)別、文字識(shí)別來(lái)提取這種信息，他們會(huì)通過(guò)一些OCR技術(shù)饒過(guò)驗(yàn)證碼進(jìn)行破解，比如最近很火的chatgpt，已經(jīng)有部分人嘗試用chatgpt找到驗(yàn)證碼的漏洞。
黃牛和BOT具有相同的技術(shù)特征。黃牛、機(jī)器人BOT在訪(fǎng)問(wèn)特征和真實(shí)用戶(hù)方面相似，比如他們?cè)L問(wèn)序列一樣，從登陸到搶購(gòu)，他們這一系列的行為基本保持一致，并且由于黃牛在進(jìn)行票物搶購(gòu)時(shí)，它的訪(fǎng)問(wèn)序列較為固定，因此在訪(fǎng)問(wèn)特征較為固定的情況下，可以認(rèn)為黃牛的行為和BOT是一樣的，他們都有相同的訪(fǎng)問(wèn)特征和訪(fǎng)問(wèn)行為。
這樣就會(huì)產(chǎn)生一些混淆的點(diǎn)，我們要怎么將黃牛真人和黃牛BOT區(qū)分開(kāi)來(lái)？黃牛和BOT都有主要的一些獲利點(diǎn)，比如他們的共同目標(biāo)是獲取數(shù)據(jù)，模擬用戶(hù)行為對(duì)業(yè)務(wù)相關(guān)信息進(jìn)行獲取，比如用戶(hù)業(yè)務(wù)數(shù)據(jù)(用戶(hù)關(guān)系、用戶(hù)信 )、業(yè)務(wù)支撐數(shù)據(jù)(音視、小說(shuō)、醫(yī)文)、業(yè)務(wù)敏感數(shù)據(jù)( 越權(quán)客戶(hù)敏感信息、賬單、訂單地址 )；第二是資源搶占，比如秒殺、搶購(gòu)、活動(dòng)名額、優(yōu)惠券等；第三它會(huì)影響一些投放效果，比如當(dāng)前這個(gè)活動(dòng)，可能會(huì)有100張門(mén)票進(jìn)行投放，但這個(gè)時(shí)候黃牛大概把98張票給搶完了，因此到時(shí)就只有兩個(gè)人真正享受到了這次活動(dòng)的福利，這就會(huì)影響到整體活動(dòng)的投放效果。
02．BOT識(shí)別和對(duì)抗方案
在這種情況下，我們就需要一個(gè)比較好的方式去構(gòu)建多維度的識(shí)別和對(duì)抗方案。治理BOT和黃牛的關(guān)鍵在于識(shí)別和管控。識(shí)別：識(shí)別黃牛黨流量是重中之重，它決定了能檢出準(zhǔn)確度與數(shù)量的多少；管控：支持多種管控動(dòng)作，正確快速管理處置異常流量，不影響正常用戶(hù)。
對(duì)抗黃牛的技術(shù)手段分為四點(diǎn)。我們可以通過(guò)注冊(cè)保護(hù)來(lái)防護(hù)，第一點(diǎn)是通過(guò)前期的客戶(hù)端風(fēng)險(xiǎn)識(shí)別，去分析客戶(hù)的設(shè)備信息，如果發(fā)現(xiàn)當(dāng)前這個(gè)設(shè)備有多注冊(cè)或者重復(fù)注冊(cè)的情況，就判定這個(gè)可能是來(lái)自黃牛黨的注冊(cè)。或者通過(guò)行為特征發(fā)現(xiàn)是異常的注冊(cè)情況，或者從他的注冊(cè)郵箱特征里發(fā)現(xiàn)是小號(hào)、解碼平臺(tái)等，這就是在注冊(cè)層面的防護(hù)，可以從源頭上阻隔這一部分的訪(fǎng)問(wèn)請(qǐng)求。
其次是通過(guò)IP威脅情報(bào)和限流防護(hù)。對(duì)使用類(lèi)似于代理IP這樣的訪(fǎng)問(wèn)，比如通過(guò)威脅情報(bào)去發(fā)現(xiàn)這個(gè)IP是不是來(lái)自于代理，或這個(gè)IP之前有沒(méi)有相關(guān)信息，平臺(tái)因此可以對(duì)這些IP進(jìn)行封禁，從而限制黃牛機(jī)器人的強(qiáng)迫行為。
第三個(gè)是重中之重，就是通過(guò)特定的方式去對(duì)抗自動(dòng)化的攻擊填寫(xiě)。舉個(gè)例子，如果在當(dāng)前的搶購(gòu)頁(yè)面里去識(shí)別當(dāng)前搶購(gòu)的人，到底是人還是機(jī)器？對(duì)方有沒(méi)有采用一些類(lèi)似于瀏覽器、模擬器或者腳本工具進(jìn)行訪(fǎng)問(wèn)？而騰訊客戶(hù)端風(fēng)險(xiǎn)識(shí)別就具備這一能力，會(huì)嘗試去看當(dāng)前的瀏覽器里是不是有被控制，如果被控制，可以接著識(shí)別出會(huì)不會(huì)存在問(wèn)題，比如可以識(shí)別當(dāng)前訪(fǎng)問(wèn)是不是用腳本發(fā)起來(lái)的，或者說(shuō)是不是通過(guò)什么方式進(jìn)行訪(fǎng)問(wèn)的。此外還有一些其他的訪(fǎng)問(wèn)行為特征，比如頁(yè)面停留時(shí)間、平均訪(fǎng)問(wèn)速度等，會(huì)和正常的用戶(hù)行為特征做比對(duì)，然后通過(guò)這些特征去識(shí)別當(dāng)前訪(fǎng)問(wèn)請(qǐng)求是不是自動(dòng)化的請(qǐng)求。
驗(yàn)證碼對(duì)抗：限速機(jī)制可以限制用戶(hù)在一定時(shí)間內(nèi)的請(qǐng)求次數(shù)，降低黃牛機(jī)器人的搶購(gòu)速度。驗(yàn)證碼機(jī)制要求用戶(hù)在購(gòu)票過(guò)程中輸入驗(yàn)證碼，從而阻止自動(dòng)化程序進(jìn)行搶購(gòu)這些方法可以提高黃牛機(jī)器人的操作難度，降低其拍購(gòu)成功率。
通過(guò)這四個(gè)方向?qū)裹S牛主要分成三個(gè)層次，第一個(gè)層次是客戶(hù)端風(fēng)險(xiǎn)識(shí)別，其包含五項(xiàng)內(nèi)容：1、客戶(hù)端風(fēng)險(xiǎn)識(shí)別，識(shí)別當(dāng)前客戶(hù)端是否腳本、selenium或headless。2、頁(yè)面反調(diào)試，識(shí)別當(dāng)前客戶(hù)端是否開(kāi)啟開(kāi)發(fā)者模式。3、驗(yàn)證碼機(jī)制，通過(guò)特定挑戰(zhàn)識(shí)別當(dāng)前是否具備完成驗(yàn)證碼的能力。4、客戶(hù)會(huì)話(huà)識(shí)別，識(shí)別在公共出口下的不同客戶(hù)端客戶(hù)端。5、威助情報(bào)，已知Bot類(lèi)型和威助情報(bào)可被識(shí)別出來(lái)。
第二個(gè)層次是特征與數(shù)據(jù)統(tǒng)計(jì)，其包含五項(xiàng)內(nèi)容：1、異常訪(fǎng)問(wèn)特征，識(shí)別非正常的 http 請(qǐng)求中的訪(fǎng)間特征。2、異常行為特征，識(shí)別非正常的 http 中的行為特征。3、訪(fǎng)問(wèn)特征統(tǒng)計(jì)，統(tǒng)計(jì)當(dāng)前 http訪(fǎng)問(wèn)流中所有訪(fǎng)問(wèn)特征。4、異常特征統(tǒng)計(jì)，識(shí)別處多個(gè) http 訪(fǎng)問(wèn)流中出現(xiàn)異常訪(fǎng)問(wèn)特征。5、訪(fǎng)問(wèn)水位統(tǒng)計(jì)，識(shí)別當(dāng)前請(qǐng)求流中，對(duì)應(yīng)客戶(hù)端、IP是否超出正常訪(fǎng)問(wèn)水位。因?yàn)辄S牛是一個(gè)比較特殊的群體，它的訪(fǎng)問(wèn)特征相對(duì)整體水位來(lái)說(shuō)，要遠(yuǎn)超正常用戶(hù)，所以如果有一個(gè)相關(guān)的水位統(tǒng)計(jì)，其實(shí)就可以比較好的識(shí)別出黃牛。
第三個(gè)層次是AI異常行為分析，其包含三部分內(nèi)容：1、賬號(hào)維度下的連續(xù)會(huì)話(huà)特征分析，識(shí)別當(dāng)前賬號(hào)會(huì)話(huà)的訪(fǎng)問(wèn)特征。2、AI異常行為檢測(cè)模型，通過(guò)AI 模型實(shí)現(xiàn)異常訪(fǎng)問(wèn)行為發(fā)現(xiàn)。3、AI異常特征檢測(cè)模型，通過(guò)AI 模型實(shí)現(xiàn)異常訪(fǎng)問(wèn)特征及水異常發(fā)現(xiàn)。
說(shuō)完識(shí)別以后接下來(lái)是管控，比如通過(guò)常規(guī)的基礎(chǔ)規(guī)則，可以識(shí)別出大量的無(wú)效流量，像黑名單規(guī)則、行為規(guī)則，還有一些其他的規(guī)則。通過(guò)這些規(guī)則可以快速把一些異常流量摘出來(lái)，然后讓市場(chǎng)流量給放行出去了，這部分內(nèi)容按照之前BOT對(duì)抗的情況來(lái)看，其具備三個(gè)大的難點(diǎn)。第一是開(kāi)發(fā)工作和業(yè)務(wù)是強(qiáng)耦合的；第二是需要部署的方案較重；第三是單純按著黑白規(guī)則去看，它的誤報(bào)可能有點(diǎn)多。
那么在這里就可以看出來(lái)了，當(dāng)前的BOT治理，在識(shí)別上 需要這些經(jīng)驗(yàn)，比如多維度的識(shí)別，包括但不限于客戶(hù)端風(fēng)險(xiǎn)識(shí)別、行為分析，還有依賴(lài)專(zhuān)家經(jīng)驗(yàn)去預(yù)設(shè)威脅分析模型。并且它需要AI的識(shí)別和分析，去了解當(dāng)前流量的特征里，有多少是正常的，有多少是異常的。
還有就是需要實(shí)時(shí)更新的第一手情報(bào)信息，去發(fā)現(xiàn)當(dāng)前哪些IP流量是有問(wèn)題的，哪些又是代理的，這樣就能提前做好預(yù)判。
然后就可以快速做一些管控了。在管控方面需要具備：
1、SaaS化的交付模式:無(wú)需深度業(yè)務(wù)定制，開(kāi)箱即用，快速落地上線(xiàn)。
2、深入淺出的判定機(jī)制: 深刻洞察人機(jī)特征，并簡(jiǎn)化為最直觀(guān)的分?jǐn)?shù)判定，優(yōu)化決策。
3、形成管理閉環(huán) : 分析--分類(lèi)--管理。
4、不同場(chǎng)景精細(xì)化管控。
當(dāng)下和黃牛、BOT的對(duì)抗強(qiáng)度特別大，他們的攻擊行為可能一天一個(gè)更新，用戶(hù)在發(fā)起規(guī)則變更后，可能不到六七個(gè)小時(shí)，黃牛就已經(jīng)能看清這些規(guī)則了，然后他們就會(huì)主動(dòng)發(fā)起新一輪挑戰(zhàn)。在沒(méi)有專(zhuān)家經(jīng)驗(yàn)的情況下，面對(duì)這些挑戰(zhàn)需要做一個(gè)“兩步走”的最佳實(shí)踐。
首先第一步是可以通過(guò)細(xì)分場(chǎng)景去做策略，比如登錄場(chǎng)景的去做登錄場(chǎng)景的事，然后就可以快速簡(jiǎn)化配置；其次可以通過(guò)不同場(chǎng)景配置，比如登錄場(chǎng)景的業(yè)務(wù)就只開(kāi)登錄場(chǎng)景，比如要如何去防護(hù)自動(dòng)化的注冊(cè)？就可以通過(guò)在這里面把自動(dòng)化注冊(cè)和工作場(chǎng)景開(kāi)起來(lái)，這樣就能快速把登錄注冊(cè)的BOT提前攔截掉，這樣在不同的細(xì)分領(lǐng)域里去細(xì)分配置策略，可以達(dá)到精準(zhǔn)攔截的效果。
第三點(diǎn)，針對(duì)不同黃牛、不同BOT需要不同的訪(fǎng)問(wèn)規(guī)則，因此就需要配置多套動(dòng)作模板，這樣針對(duì)不同黃牛、不同流量就可以執(zhí)行不同動(dòng)作，也更加精細(xì)了。
在BOT與黃牛治理方面，其具備閉環(huán)的流程。首先是對(duì)BOT進(jìn)行全量分析，然后對(duì)其中的模塊能力進(jìn)行配置，分析完配置之后，可得出相關(guān)的BOT得分，最后根據(jù)得分進(jìn)行分析，形成日志。
提問(wèn)環(huán)節(jié)
提問(wèn)一：在流量更多的場(chǎng)景中，事前需要做哪些部署才能在保障用戶(hù)訪(fǎng)問(wèn)的同時(shí)精準(zhǔn)攔截惡意流量？
王雷雷：首先需要對(duì)客戶(hù)端進(jìn)行檢測(cè)，看是否存在被利用的漏洞；其二，在節(jié)日當(dāng)天接入風(fēng)控能力，對(duì)于手機(jī)號(hào)、ID進(jìn)行識(shí)別，做到實(shí)時(shí)攔截。
馬子揚(yáng)：提前防控需要提前把流量進(jìn)入到騰訊的模型里，因?yàn)榱髁磕Ｐ偷膶W(xué)習(xí)需要時(shí)間，提前接入業(yè)務(wù)流量可以盡可能快速地學(xué)習(xí)，知道什么訪(fǎng)問(wèn)行為是真實(shí)，什么是異常。
提問(wèn)二：安全和應(yīng)用性本身存在一定的矛盾，多重驗(yàn)證有時(shí)會(huì)影響用戶(hù)的使用體驗(yàn)，要怎么平衡兩者的關(guān)系？
王雷雷：首先可以識(shí)別客戶(hù)的風(fēng)險(xiǎn)等級(jí)，可以針對(duì)不同風(fēng)險(xiǎn)等級(jí)的用戶(hù)采取不同的驗(yàn)證測(cè)試。針對(duì)高風(fēng)險(xiǎn)客戶(hù)可以直接采取比較強(qiáng)制的措施，針對(duì)那些可疑的人群，按照可疑度不同，或直接攔截，或給予不同的驗(yàn)證模式。
馬子揚(yáng)：騰訊WAF里有客戶(hù)端風(fēng)險(xiǎn)識(shí)別模塊，其可直接識(shí)別出當(dāng)前的訪(fǎng)問(wèn)請(qǐng)求是否異常，騰訊通過(guò)前置的無(wú)感驗(yàn)證，可以提前把一些異常訪(fǎng)問(wèn)請(qǐng)求攔截，因此正常用戶(hù)在進(jìn)行訪(fǎng)問(wèn)請(qǐng)求時(shí)，難以遇到驗(yàn)證碼多次彈出的情況。
如何提供良好的購(gòu)票體驗(yàn)?如何防止惡意褲羊毛行為?為此，4月13日晚，騰訊安全聯(lián)合安在新媒體舉辦了“【原引擎】場(chǎng)景實(shí)戰(zhàn)系列”直播活動(dòng)，為觀(guān)眾們的“購(gòu)票體驗(yàn)”提出了實(shí)際可行的解決方案，幫助企業(yè)提供更加安全、穩(wěn)定、公平的購(gòu)票服務(wù)。
此次直播特地邀請(qǐng)了騰訊安全營(yíng)銷(xiāo)風(fēng)控資深專(zhuān)家王雷雷和騰訊云高級(jí)安全攻防工程師馬子揚(yáng)兩位專(zhuān)業(yè)講師，為大家講解該如何在購(gòu)票服務(wù)中打贏營(yíng)銷(xiāo)風(fēng)控保衛(wèi)戰(zhàn)，同時(shí)又該如何通過(guò)高科技有效防護(hù)新型BOT攻擊。
《天價(jià)演唱會(huì)門(mén)票秒罄，平臺(tái)如何打響營(yíng)銷(xiāo)風(fēng)控保衛(wèi)戰(zhàn)？》
王雷雷 騰訊安全營(yíng)銷(xiāo)風(fēng)控資深專(zhuān)家
01．背景王雷雷 騰訊安全營(yíng)銷(xiāo)風(fēng)控資深專(zhuān)家
由于黃牛搶購(gòu)門(mén)票的行為，導(dǎo)致門(mén)票的供求失衡，進(jìn)而引發(fā)市場(chǎng)價(jià)格的不合理上漲，增加了公眾的票務(wù)成本。此外，黃牛通過(guò)搶票行為，破壞了正常的購(gòu)票機(jī)制和秩序，導(dǎo)致普通用戶(hù)無(wú)法獲取門(mén)票，從而增加了票務(wù)的不公平性和不透明性。
可以看到，現(xiàn)實(shí)中城市售票網(wǎng)同時(shí)支持會(huì)員和非會(huì)員購(gòu)票，非會(huì)員無(wú)需登錄即可購(gòu)票。同時(shí)針對(duì)超熱賣(mài)活動(dòng)，由于地區(qū)的特殊性沒(méi)有進(jìn)行購(gòu)票的實(shí)名認(rèn)證，增加了抵御黃牛的難度。在此背景下，客戶(hù)和騰訊項(xiàng)目團(tuán)隊(duì)需要利用技術(shù)防護(hù)措施來(lái)有效限制黃牛搶票，以保證大部分的正常用戶(hù)的正常購(gòu)票。
當(dāng)前的反黃牛安全防護(hù)架構(gòu)。無(wú)論是正常用戶(hù)還是黃牛，首先要經(jīng)過(guò)WAF集群，這是第一道防線(xiàn)，接下去會(huì)有一些BOT設(shè)置和區(qū)域的設(shè)置進(jìn)行攔截。經(jīng)過(guò)WAF之后，在真正的業(yè)務(wù)系統(tǒng)里，大多數(shù)企業(yè)會(huì)用驗(yàn)證碼區(qū)分人和機(jī)器人，同時(shí)業(yè)務(wù)側(cè)也會(huì)有一些基本的策略防護(hù)，比如登陸限制、人機(jī)識(shí)別、業(yè)務(wù)規(guī)則等。
然而當(dāng)前的安全防護(hù)架構(gòu)看似防護(hù)手段挺多，但其實(shí)效果并不理想。比如，WAF的防護(hù)策略需要不斷進(jìn)行優(yōu)化和更新，不斷學(xué)習(xí)和適應(yīng)新的攻擊方式和威脅模式，以提高防御效果和安全性。同時(shí)，需要根據(jù)實(shí)際情況和需求，采取多種技術(shù)手段和優(yōu)化策略，以達(dá)到更好的效果。
02．防護(hù)增強(qiáng)建議方案
對(duì)此，騰訊安全提出了防護(hù)增強(qiáng)建議方案。首先在結(jié)構(gòu)體系上依舊將WAF作為第一道防線(xiàn)，接下來(lái)部署圖靈盾系統(tǒng)，利用其設(shè)備指紋和風(fēng)控能力抵御和緩解來(lái)自移動(dòng)App端的BOT攻擊。
之后使用多種驗(yàn)證模式，如文字點(diǎn)選，圖形點(diǎn)選，增加黃牛破解的難度，和圖靈盾配合使用，對(duì)圖靈盾標(biāo)簽高風(fēng),險(xiǎn)，中風(fēng)險(xiǎn)和低風(fēng)險(xiǎn)請(qǐng)求，分別彈不同難度類(lèi)型的驗(yàn)證碼。最后在業(yè)務(wù)層可部署風(fēng)控引擎，在支付環(huán)節(jié)對(duì)黃牛進(jìn)行判斷、分析，配合業(yè)務(wù)端對(duì)黃牛進(jìn)行最后的攔截。
從流程上來(lái)看，不一樣的地方在于，其一是多驗(yàn)證模式；其二是設(shè)備指紋的能力；其三是業(yè)務(wù)防護(hù)策略，客戶(hù)可以自定義一些策略，比如禁止哪些非業(yè)務(wù)國(guó)家的IP訪(fǎng)問(wèn)等；其四是支付風(fēng)控，根據(jù)用戶(hù)的卡號(hào)、信用卡號(hào)等一系列信息判斷對(duì)方是不是潛在的黃牛，從而再配置一些策略。
這樣從前端WAF到中間的設(shè)備判斷、業(yè)務(wù)判斷，再到最后的支付判斷，把整個(gè)的判斷鏈路加長(zhǎng)，從而過(guò)濾掉絕大多數(shù)的黃牛黨，這是騰訊安全建議的比較完整的一個(gè)安全鏈路。
03．細(xì)節(jié)
在設(shè)備指紋方面，其可識(shí)別假人假機(jī)、假人真機(jī)和真人真機(jī)三類(lèi)風(fēng)險(xiǎn)；驗(yàn)證碼方面，提供多種驗(yàn)證方式，業(yè)務(wù)防護(hù)策略可根據(jù)自身場(chǎng)景需求，選擇合適的驗(yàn)證碼類(lèi)型接入。通過(guò)結(jié)合圖靈盾返回的請(qǐng)求風(fēng)險(xiǎn)標(biāo)簽，調(diào)用不同的驗(yàn)證方式，在抵御黃牛搶票的同時(shí)保證用戶(hù)的溝通體驗(yàn)。
在支付風(fēng)控方面，騰訊安全設(shè)置了RCE海外交易風(fēng)險(xiǎn)識(shí)別，無(wú)監(jiān)督學(xué)習(xí)發(fā)現(xiàn)欺詐團(tuán)伙實(shí)現(xiàn)事前風(fēng)險(xiǎn)感知，其基于手機(jī)號(hào)、設(shè)備、IP建立時(shí)域關(guān)聯(lián)網(wǎng)絡(luò)，利用社群發(fā)現(xiàn)、風(fēng)險(xiǎn)傳播等無(wú)監(jiān)督算法發(fā)現(xiàn)黑產(chǎn)團(tuán)伙，識(shí)別潛在新型欺詐威脅；其中，識(shí)別算法目前主要是基于時(shí)間因素結(jié)合IP跳變，卡畫(huà)像，聚集性分析和卡以及黑名單進(jìn)行的風(fēng)險(xiǎn)排查，具體到案例可以發(fā)現(xiàn)同一張信用卡/郵箱在短時(shí)間存在重復(fù)購(gòu)買(mǎi)和IP的切換。
RCE海外交易風(fēng)險(xiǎn)識(shí)別有兩處測(cè)試場(chǎng)景：對(duì)其中一場(chǎng)熱賣(mài)活動(dòng)的歷史數(shù)據(jù)進(jìn)行分析，訂單數(shù)量為1167，總共涉及票數(shù)2795張，經(jīng)RCE風(fēng)控引警分析識(shí)別出中高風(fēng)險(xiǎn)訂單數(shù)220個(gè)占比18.85%，對(duì)應(yīng)票數(shù)936張占比33.48%，中風(fēng)險(xiǎn)訂單數(shù)84個(gè)占比7.19%，對(duì)應(yīng)票數(shù)154張占5.50%。
對(duì)另一場(chǎng)熱賣(mài)活動(dòng)的歷史數(shù)據(jù)進(jìn)行分析。訂單數(shù)5597個(gè)，出售票數(shù)12254，目前可能存在中風(fēng)險(xiǎn)交易個(gè)數(shù)683個(gè)，票數(shù)1362個(gè)，高風(fēng)險(xiǎn)交易172個(gè)，票數(shù)377個(gè)；整體中風(fēng)險(xiǎn)占比12.2%，高風(fēng)險(xiǎn)占比3.1%。
結(jié)論: 測(cè)試結(jié)果與客戶(hù)追溯結(jié)果高度吻合，預(yù)計(jì)線(xiàn)上模型可以幫助客戶(hù)識(shí)別更多未發(fā)現(xiàn)黃牛，協(xié)助業(yè)務(wù)風(fēng)控策略進(jìn)行攔截。
《如何通過(guò)高科技有效防護(hù)新型BOT攻擊》
馬子揚(yáng) 騰訊云高級(jí)安全攻防工程師
馬子揚(yáng) 騰訊云高級(jí)安全攻防工程師
01．挑戰(zhàn)和相關(guān)技術(shù)
當(dāng)下面對(duì)黃牛時(shí)會(huì)遇到全新的技術(shù)挑戰(zhàn)和安全風(fēng)險(xiǎn)，其分為四類(lèi)，首先是服務(wù)器資源消耗，由于黃牛機(jī)器人大量注冊(cè)賬戶(hù)并發(fā)起搶購(gòu)請(qǐng)求，可能導(dǎo)致服務(wù)器資源過(guò)載，涌入大量的服務(wù)請(qǐng)求，導(dǎo)致服務(wù)器報(bào)錯(cuò)，進(jìn)而影響正常用戶(hù)的購(gòu)票體驗(yàn)；其次是網(wǎng)絡(luò)攻擊，為了搶購(gòu)門(mén)票，黃?？赡懿扇【W(wǎng)絡(luò)攻擊手段，如DDoS攻擊試圖使競(jìng)爭(zhēng)對(duì)手的服務(wù)器耀瘓從而提高自己的搶購(gòu)成功率。
還有數(shù)據(jù)泄露風(fēng)險(xiǎn)，黃?？赡芡ㄟ^(guò)非法手段獲取用戶(hù)數(shù)據(jù)，包括用戶(hù)的個(gè)人信息購(gòu)票記錄等，這可能導(dǎo)致用戶(hù)信息泄露，增加平臺(tái)的安全風(fēng)險(xiǎn)；最后是平臺(tái)口碑影響，由于黃牛機(jī)器人大量注冊(cè)賬戶(hù)井發(fā)起搶購(gòu)請(qǐng)求，可能導(dǎo)致服務(wù)器資源過(guò)載，進(jìn)而影響正常用戶(hù)的購(gòu)票需求，影響平臺(tái)售賣(mài)口碑。
黃牛常用的技術(shù)手段有：大量注冊(cè)賬戶(hù)，黃牛通過(guò)大量注冊(cè)賬戶(hù)，繞過(guò)單個(gè)用戶(hù)購(gòu)票數(shù)量限制。這樣，即使每個(gè)賬戶(hù)只能購(gòu)買(mǎi)有限數(shù)量的門(mén)票，黃牛依然可以搶購(gòu)到大量門(mén)票。
另外，黃牛還擁有類(lèi)似于VPN、IP 代理、IDC等資源，他們可以通過(guò)IP代理切換，實(shí)現(xiàn)業(yè)務(wù)資源的多次票據(jù)購(gòu)買(mǎi)。
第三點(diǎn)，自動(dòng)化填寫(xiě)與提交，黃牛通過(guò)機(jī)器人可以自動(dòng)填寫(xiě)購(gòu)票信息，包括購(gòu)票者姓名、聯(lián)系方式、支付方式等，這使得黃牛在搶購(gòu)過(guò)程中比普通用戶(hù)更具優(yōu)勢(shì)，比如本來(lái)填寫(xiě)表單需要一分鐘，黃牛五秒就能填寫(xiě)完，同時(shí)黃牛還可以利用網(wǎng)絡(luò)爬蟲(chóng)技術(shù)監(jiān)控門(mén)票發(fā)售時(shí)間，并在第一時(shí)間搶購(gòu)，這使得黃牛機(jī)器人在門(mén)票發(fā)售一開(kāi)始就搶購(gòu)到大量門(mén)票，而普通用戶(hù)則很難有機(jī)會(huì)購(gòu)買(mǎi)。
第四，一些比較高端的攻擊者會(huì)嘗試驗(yàn)證碼的識(shí)別、饒過(guò)和破解，比如在一些場(chǎng)景下可能會(huì)嘗使用驗(yàn)證碼識(shí)別破解技術(shù)來(lái)繞過(guò)系統(tǒng)的安全防護(hù)措施，從而獲取更多的票務(wù)搶購(gòu)商品等資源，從中牟利。黃牛在這過(guò)程中會(huì)用到一些類(lèi)似于圖像識(shí)別、文字識(shí)別來(lái)提取這種信息，他們會(huì)通過(guò)一些OCR技術(shù)饒過(guò)驗(yàn)證碼進(jìn)行破解，比如最近很火的chatgpt，已經(jīng)有部分人嘗試用chatgpt找到驗(yàn)證碼的漏洞。
黃牛和BOT具有相同的技術(shù)特征。黃牛、機(jī)器人BOT在訪(fǎng)問(wèn)特征和真實(shí)用戶(hù)方面相似，比如他們?cè)L問(wèn)序列一樣，從登陸到搶購(gòu)，他們這一系列的行為基本保持一致，并且由于黃牛在進(jìn)行票物搶購(gòu)時(shí)，它的訪(fǎng)問(wèn)序列較為固定，因此在訪(fǎng)問(wèn)特征較為固定的情況下，可以認(rèn)為黃牛的行為和BOT是一樣的，他們都有相同的訪(fǎng)問(wèn)特征和訪(fǎng)問(wèn)行為。
這樣就會(huì)產(chǎn)生一些混淆的點(diǎn)，我們要怎么將黃牛真人和黃牛BOT區(qū)分開(kāi)來(lái)？黃牛和BOT都有主要的一些獲利點(diǎn)，比如他們的共同目標(biāo)是獲取數(shù)據(jù)，模擬用戶(hù)行為對(duì)業(yè)務(wù)相關(guān)信息進(jìn)行獲取，比如用戶(hù)業(yè)務(wù)數(shù)據(jù)(用戶(hù)關(guān)系、用戶(hù)信 )、業(yè)務(wù)支撐數(shù)據(jù)(音視、小說(shuō)、醫(yī)文)、業(yè)務(wù)敏感數(shù)據(jù)( 越權(quán)客戶(hù)敏感信息、賬單、訂單地址 )；第二是資源搶占，比如秒殺、搶購(gòu)、活動(dòng)名額、優(yōu)惠券等；第三它會(huì)影響一些投放效果，比如當(dāng)前這個(gè)活動(dòng)，可能會(huì)有100張門(mén)票進(jìn)行投放，但這個(gè)時(shí)候黃牛大概把98張票給搶完了，因此到時(shí)就只有兩個(gè)人真正享受到了這次活動(dòng)的福利，這就會(huì)影響到整體活動(dòng)的投放效果。
02．BOT識(shí)別和對(duì)抗方案
在這種情況下，我們就需要一個(gè)比較好的方式去構(gòu)建多維度的識(shí)別和對(duì)抗方案。治理BOT和黃牛的關(guān)鍵在于識(shí)別和管控。識(shí)別：識(shí)別黃牛黨流量是重中之重，它決定了能檢出準(zhǔn)確度與數(shù)量的多少；管控：支持多種管控動(dòng)作，正確快速管理處置異常流量，不影響正常用戶(hù)。
對(duì)抗黃牛的技術(shù)手段分為四點(diǎn)。我們可以通過(guò)注冊(cè)保護(hù)來(lái)防護(hù)，第一點(diǎn)是通過(guò)前期的客戶(hù)端風(fēng)險(xiǎn)識(shí)別，去分析客戶(hù)的設(shè)備信息，如果發(fā)現(xiàn)當(dāng)前這個(gè)設(shè)備有多注冊(cè)或者重復(fù)注冊(cè)的情況，就判定這個(gè)可能是來(lái)自黃牛黨的注冊(cè)。或者通過(guò)行為特征發(fā)現(xiàn)是異常的注冊(cè)情況，或者從他的注冊(cè)郵箱特征里發(fā)現(xiàn)是小號(hào)、解碼平臺(tái)等，這就是在注冊(cè)層面的防護(hù)，可以從源頭上阻隔這一部分的訪(fǎng)問(wèn)請(qǐng)求。
其次是通過(guò)IP威脅情報(bào)和限流防護(hù)。對(duì)使用類(lèi)似于代理IP這樣的訪(fǎng)問(wèn)，比如通過(guò)威脅情報(bào)去發(fā)現(xiàn)這個(gè)IP是不是來(lái)自于代理，或這個(gè)IP之前有沒(méi)有相關(guān)信息，平臺(tái)因此可以對(duì)這些IP進(jìn)行封禁，從而限制黃牛機(jī)器人的強(qiáng)迫行為。
第三個(gè)是重中之重，就是通過(guò)特定的方式去對(duì)抗自動(dòng)化的攻擊填寫(xiě)。舉個(gè)例子，如果在當(dāng)前的搶購(gòu)頁(yè)面里去識(shí)別當(dāng)前搶購(gòu)的人，到底是人還是機(jī)器？對(duì)方有沒(méi)有采用一些類(lèi)似于瀏覽器、模擬器或者腳本工具進(jìn)行訪(fǎng)問(wèn)？而騰訊客戶(hù)端風(fēng)險(xiǎn)識(shí)別就具備這一能力，會(huì)嘗試去看當(dāng)前的瀏覽器里是不是有被控制，如果被控制，可以接著識(shí)別出會(huì)不會(huì)存在問(wèn)題，比如可以識(shí)別當(dāng)前訪(fǎng)問(wèn)是不是用腳本發(fā)起來(lái)的，或者說(shuō)是不是通過(guò)什么方式進(jìn)行訪(fǎng)問(wèn)的。此外還有一些其他的訪(fǎng)問(wèn)行為特征，比如頁(yè)面停留時(shí)間、平均訪(fǎng)問(wèn)速度等，會(huì)和正常的用戶(hù)行為特征做比對(duì)，然后通過(guò)這些特征去識(shí)別當(dāng)前訪(fǎng)問(wèn)請(qǐng)求是不是自動(dòng)化的請(qǐng)求。
驗(yàn)證碼對(duì)抗：限速機(jī)制可以限制用戶(hù)在一定時(shí)間內(nèi)的請(qǐng)求次數(shù)，降低黃牛機(jī)器人的搶購(gòu)速度。驗(yàn)證碼機(jī)制要求用戶(hù)在購(gòu)票過(guò)程中輸入驗(yàn)證碼，從而阻止自動(dòng)化程序進(jìn)行搶購(gòu)這些方法可以提高黃牛機(jī)器人的操作難度，降低其拍購(gòu)成功率。
通過(guò)這四個(gè)方向?qū)裹S牛主要分成三個(gè)層次，第一個(gè)層次是客戶(hù)端風(fēng)險(xiǎn)識(shí)別，其包含五項(xiàng)內(nèi)容：1、客戶(hù)端風(fēng)險(xiǎn)識(shí)別，識(shí)別當(dāng)前客戶(hù)端是否腳本、selenium或headless。2、頁(yè)面反調(diào)試，識(shí)別當(dāng)前客戶(hù)端是否開(kāi)啟開(kāi)發(fā)者模式。3、驗(yàn)證碼機(jī)制，通過(guò)特定挑戰(zhàn)識(shí)別當(dāng)前是否具備完成驗(yàn)證碼的能力。4、客戶(hù)會(huì)話(huà)識(shí)別，識(shí)別在公共出口下的不同客戶(hù)端客戶(hù)端。5、威助情報(bào)，已知Bot類(lèi)型和威助情報(bào)可被識(shí)別出來(lái)。
第二個(gè)層次是特征與數(shù)據(jù)統(tǒng)計(jì)，其包含五項(xiàng)內(nèi)容：1、異常訪(fǎng)問(wèn)特征，識(shí)別非正常的 http 請(qǐng)求中的訪(fǎng)間特征。2、異常行為特征，識(shí)別非正常的 http 中的行為特征。3、訪(fǎng)問(wèn)特征統(tǒng)計(jì)，統(tǒng)計(jì)當(dāng)前 http訪(fǎng)問(wèn)流中所有訪(fǎng)問(wèn)特征。4、異常特征統(tǒng)計(jì)，識(shí)別處多個(gè) http 訪(fǎng)問(wèn)流中出現(xiàn)異常訪(fǎng)問(wèn)特征。5、訪(fǎng)問(wèn)水位統(tǒng)計(jì)，識(shí)別當(dāng)前請(qǐng)求流中，對(duì)應(yīng)客戶(hù)端、IP是否超出正常訪(fǎng)問(wèn)水位。因?yàn)辄S牛是一個(gè)比較特殊的群體，它的訪(fǎng)問(wèn)特征相對(duì)整體水位來(lái)說(shuō)，要遠(yuǎn)超正常用戶(hù)，所以如果有一個(gè)相關(guān)的水位統(tǒng)計(jì)，其實(shí)就可以比較好的識(shí)別出黃牛。
第三個(gè)層次是AI異常行為分析，其包含三部分內(nèi)容：1、賬號(hào)維度下的連續(xù)會(huì)話(huà)特征分析，識(shí)別當(dāng)前賬號(hào)會(huì)話(huà)的訪(fǎng)問(wèn)特征。2、AI異常行為檢測(cè)模型，通過(guò)AI 模型實(shí)現(xiàn)異常訪(fǎng)問(wèn)行為發(fā)現(xiàn)。3、AI異常特征檢測(cè)模型，通過(guò)AI 模型實(shí)現(xiàn)異常訪(fǎng)問(wèn)特征及水異常發(fā)現(xiàn)。
說(shuō)完識(shí)別以后接下來(lái)是管控，比如通過(guò)常規(guī)的基礎(chǔ)規(guī)則，可以識(shí)別出大量的無(wú)效流量，像黑名單規(guī)則、行為規(guī)則，還有一些其他的規(guī)則。通過(guò)這些規(guī)則可以快速把一些異常流量摘出來(lái)，然后讓市場(chǎng)流量給放行出去了，這部分內(nèi)容按照之前BOT對(duì)抗的情況來(lái)看，其具備三個(gè)大的難點(diǎn)。第一是開(kāi)發(fā)工作和業(yè)務(wù)是強(qiáng)耦合的；第二是需要部署的方案較重；第三是單純按著黑白規(guī)則去看，它的誤報(bào)可能有點(diǎn)多。
那么在這里就可以看出來(lái)了，當(dāng)前的BOT治理，在識(shí)別上 需要這些經(jīng)驗(yàn)，比如多維度的識(shí)別，包括但不限于客戶(hù)端風(fēng)險(xiǎn)識(shí)別、行為分析，還有依賴(lài)專(zhuān)家經(jīng)驗(yàn)去預(yù)設(shè)威脅分析模型。并且它需要AI的識(shí)別和分析，去了解當(dāng)前流量的特征里，有多少是正常的，有多少是異常的。
還有就是需要實(shí)時(shí)更新的第一手情報(bào)信息，去發(fā)現(xiàn)當(dāng)前哪些IP流量是有問(wèn)題的，哪些又是代理的，這樣就能提前做好預(yù)判。
然后就可以快速做一些管控了。在管控方面需要具備：
1、SaaS化的交付模式:無(wú)需深度業(yè)務(wù)定制，開(kāi)箱即用，快速落地上線(xiàn)。
2、深入淺出的判定機(jī)制: 深刻洞察人機(jī)特征，并簡(jiǎn)化為最直觀(guān)的分?jǐn)?shù)判定，優(yōu)化決策。
3、形成管理閉環(huán) : 分析--分類(lèi)--管理。
4、不同場(chǎng)景精細(xì)化管控。
當(dāng)下和黃牛、BOT的對(duì)抗強(qiáng)度特別大，他們的攻擊行為可能一天一個(gè)更新，用戶(hù)在發(fā)起規(guī)則變更后，可能不到六七個(gè)小時(shí)，黃牛就已經(jīng)能看清這些規(guī)則了，然后他們就會(huì)主動(dòng)發(fā)起新一輪挑戰(zhàn)。在沒(méi)有專(zhuān)家經(jīng)驗(yàn)的情況下，面對(duì)這些挑戰(zhàn)需要做一個(gè)“兩步走”的最佳實(shí)踐。
首先第一步是可以通過(guò)細(xì)分場(chǎng)景去做策略，比如登錄場(chǎng)景的去做登錄場(chǎng)景的事，然后就可以快速簡(jiǎn)化配置；其次可以通過(guò)不同場(chǎng)景配置，比如登錄場(chǎng)景的業(yè)務(wù)就只開(kāi)登錄場(chǎng)景，比如要如何去防護(hù)自動(dòng)化的注冊(cè)？就可以通過(guò)在這里面把自動(dòng)化注冊(cè)和工作場(chǎng)景開(kāi)起來(lái)，這樣就能快速把登錄注冊(cè)的BOT提前攔截掉，這樣在不同的細(xì)分領(lǐng)域里去細(xì)分配置策略，可以達(dá)到精準(zhǔn)攔截的效果。
第三點(diǎn)，針對(duì)不同黃牛、不同BOT需要不同的訪(fǎng)問(wèn)規(guī)則，因此就需要配置多套動(dòng)作模板，這樣針對(duì)不同黃牛、不同流量就可以執(zhí)行不同動(dòng)作，也更加精細(xì)了。
在BOT與黃牛治理方面，其具備閉環(huán)的流程。首先是對(duì)BOT進(jìn)行全量分析，然后對(duì)其中的模塊能力進(jìn)行配置，分析完配置之后，可得出相關(guān)的BOT得分，最后根據(jù)得分進(jìn)行分析，形成日志。
提問(wèn)環(huán)節(jié)
提問(wèn)一：在流量更多的場(chǎng)景中，事前需要做哪些部署才能在保障用戶(hù)訪(fǎng)問(wèn)的同時(shí)精準(zhǔn)攔截惡意流量？
王雷雷：首先需要對(duì)客戶(hù)端進(jìn)行檢測(cè)，看是否存在被利用的漏洞；其二，在節(jié)日當(dāng)天接入風(fēng)控能力，對(duì)于手機(jī)號(hào)、ID進(jìn)行識(shí)別，做到實(shí)時(shí)攔截。
馬子揚(yáng)：提前防控需要提前把流量進(jìn)入到騰訊的模型里，因?yàn)榱髁磕Ｐ偷膶W(xué)習(xí)需要時(shí)間，提前接入業(yè)務(wù)流量可以盡可能快速地學(xué)習(xí)，知道什么訪(fǎng)問(wèn)行為是真實(shí)，什么是異常。
提問(wèn)二：安全和應(yīng)用性本身存在一定的矛盾，多重驗(yàn)證有時(shí)會(huì)影響用戶(hù)的使用體驗(yàn)，要怎么平衡兩者的關(guān)系？
王雷雷：首先可以識(shí)別客戶(hù)的風(fēng)險(xiǎn)等級(jí)，可以針對(duì)不同風(fēng)險(xiǎn)等級(jí)的用戶(hù)采取不同的驗(yàn)證測(cè)試。針對(duì)高風(fēng)險(xiǎn)客戶(hù)可以直接采取比較強(qiáng)制的措施，針對(duì)那些可疑的人群，按照可疑度不同，或直接攔截，或給予不同的驗(yàn)證模式。
馬子揚(yáng)：騰訊WAF里有客戶(hù)端風(fēng)險(xiǎn)識(shí)別模塊，其可直接識(shí)別出當(dāng)前的訪(fǎng)問(wèn)請(qǐng)求是否異常，騰訊通過(guò)前置的無(wú)感驗(yàn)證，可以提前把一些異常訪(fǎng)問(wèn)請(qǐng)求攔截，因此正常用戶(hù)在進(jìn)行訪(fǎng)問(wèn)請(qǐng)求時(shí)，難以遇到驗(yàn)證碼多次彈出的情況。
詳情請(qǐng)關(guān)注安在新媒體，一家信息安全領(lǐng)域媒體，以“做有內(nèi)涵的泛黑客媒體”為方向，線(xiàn)上通過(guò)自媒體，采訪(fǎng)網(wǎng)絡(luò)安全領(lǐng)域人物梳理行業(yè)脈絡(luò)，通過(guò)介紹他們的經(jīng)歷、感悟、對(duì)行業(yè)的看法等來(lái)剖析網(wǎng)絡(luò)安全發(fā)展的脈絡(luò)；致力于建立完整的信息發(fā)布矩陣，覆蓋微信、微博、知乎等主流自媒體渠道。
官網(wǎng)：http://anzerclub.com/
市場(chǎng)部聯(lián)系（廠(chǎng)商）：徐倩（微信：Madeline_Sue）
市場(chǎng)部聯(lián)系（甲方）：Tina（微信：xuqingqing823125689 ）及 Enco（微信：Anzer10）