帳號安全
注冊
賬號安全要從源頭抓起，對抗垃圾注冊的手段一般包括：

圖片驗證碼
郵件驗證碼
短信驗證碼
語音驗證碼
電話語音驗證碼
逆向的協(xié)議如果經常變化或者復雜程度較高就會成為黑產的門檻，甲方安全團隊應持有各種社工庫，并隨時更新，在用戶注冊時比對社工庫內容，如個人注冊信息相同，做出風險提示或者強制修改密碼

登錄
登錄環(huán)節(jié)的問題包括：撞庫、暴力破解、盜號登錄、非常用設備登錄、黑產小號和僵尸號登錄等

使用風控系統(tǒng)對比用戶畫像檢測登錄地域來源、IP 屬性、可信設備、登錄頻率、代理使用習慣等從而推送不同復雜等級的驗證碼或開啟多因素認證。或根據離線數(shù)據，即一段時間內的請求（行為）異常，以及其他業(yè)務風控子系統(tǒng)判斷的行為異常，再調用風控的接口推送二次認證要求做人機識別

對于大規(guī)模的掃號、暴力破解，除了依賴于機器規(guī)則外，還應準備手工策略和應急預案。風控服務依賴很多數(shù)據，例如設備指紋、IP 信譽庫、黑產手機號等

密保/密碼找回
首先平臺應提供多種密碼保護手段，應確保平臺的密碼找回/密碼重置等功能不存在邏輯漏洞可以被繞過，或發(fā)生過度信息披露。賬戶展現(xiàn)本身不應該存在可以被爬蟲抓取聚合后用于撞庫或暴力破解的信息

在認證設備之間提供異地登錄提醒、異常登錄提醒、破解賬號提醒。對密碼找回業(yè)務進行人機識別，防止批量找回、密碼重置等接口的機器行為

多因素認證
重要的操作，例如密碼找回、密碼重置、證書安裝，必須使用雙因素認證或多因素認證（MFA）

多設備登錄
多設備同時登錄時應支持交叉認證，同時保證同平臺不能“串號”

賬號共享體系
絕大多數(shù)互聯(lián)網平臺都采用 SSO 的賬號共享體系，在開放平臺業(yè)務上使用 Oauth 、Openid 等聯(lián)合認證協(xié)議。一方面 Oauth 等協(xié)議坑比較多，非常容易出問題，另一方面內部在對賬戶數(shù)據的使用上也容易不遵守規(guī)范，過度共享和濫用賬戶數(shù)據，這些都需要在相關的應用安全開發(fā)標準中約束

大型平臺一般有很多應用，憑借一個登錄 token 直接無障礙登錄所有子應用在安全上并不是一個好的設計，一旦被XSS盜取token就相當于全線潰防。所以在功能和應用入口比較多的平臺，會對業(yè)務劃權重，分類分級，涉及個人認證信息、個人隱私、支付類的一般屬于高級 Web 安全域，信息發(fā)布類的歸入一般 Web 域。對高安全域的應用，登錄除了 SSO token 之外，引入第一層認證的 secure token，黑客光有一個 token 登錄不了重要應用，只有兩個 token 齊備才可以繼續(xù)登錄

電商類
惡意下單
高峰時段下單使用驗證碼，下單后一段時間不付款訂單自動失效，限制下單頻率，有風控數(shù)據源可以對惡意賬戶進行標記，凍結下單

黃牛搶單
對于惡意養(yǎng)號，風控系統(tǒng)一般會根據小號、僵尸號平時的行為與正常賬戶的區(qū)別標注、登錄的途徑、登錄地域、登錄設備指紋、收貨地址來分類標記，搶購開始前就能在賬號層面凍結掉

在活動開啟前如果搶單程序是針對既有頁面邏輯的，可以臨時更換業(yè)務邏輯使搶單程序失效。在搶購過程會使用驗證碼做人機識別

刷優(yōu)惠券和獎勵
首先要在賬號層面根據大數(shù)據標記賬戶惡意灰度，其次優(yōu)惠券跟賬號綁定，無法流通和交易。跟網游中的經濟體系數(shù)值類似，建立階梯模型，給優(yōu)質賬戶高額回饋，給低信譽賬戶小額優(yōu)惠

反價格爬蟲
價格爬蟲主要是競爭對手比價。但凡是爬蟲就有爬蟲的特征，比如爬蟲所在的 IP 段，同時爬蟲不是正常的瀏覽器，可能不會解析 Javascript，缺少正常的瀏覽器客戶端行為和通信，所以通過這個做人機識別跟 DDoS 中的 CC 攻擊有點類似

反欺詐
根據賬戶注冊信息的真實性、登錄設備的真實性、綁卡異常、賬號異常，結合自有或第三方歷史征信數(shù)據綜合判斷欺詐的可能性。依賴于大數(shù)據的反欺詐對數(shù)據源的要求比較高，絕大多數(shù)中小企業(yè)自建數(shù)據源不太具有可行性，初期還應該依仗大平臺開放的基礎數(shù)據能力做定制分析，并逐步積累自己的業(yè)務數(shù)據，等自身業(yè)務數(shù)據積累到一定規(guī)模時再考慮自建風控機制

信息泄露
信息泄露有幾大來源，撞庫、用戶信息過度展現(xiàn)和披露、開放平臺API濫用、供應鏈上下游信息泄露

交易風控
交易風控依賴于幾個方面：

賬戶安全
客戶端安全
反釣魚
反木馬
認證機制
證書 PKI
令牌
多因素認證
風險評估
賬戶歷史行為
賬戶歷史征信數(shù)據
交易和賬戶異常
漏洞模型篩選，機器規(guī)則+人工審核
網游類
客戶端——對于 flash 等瘦客戶端最主要的技術是代碼混淆，用于對抗反編譯后逆向游戲的邏輯和網絡協(xié)議。對于大型客戶端游戲，對抗的方式主要是加密加殼，以及各種二進制反調試手段
網絡封包——對抗重放型攻擊，具體實現(xiàn)方式可以參考大多數(shù) rest API 的安全設計如何防止 packet replay 攻擊，原理基本類似
服務端校驗——把大部分邏輯驗證放在服務端，同時校驗時鐘同步等
人機識別——通過定期彈出驗證碼或回答問題實現(xiàn)前端的人機識別，后端根據地圖移動軌跡，鼠標軌跡，物品使用速度等做人機識別
產品內容設計——物品與賬號綁定，隨時間降低收益，內部經濟平衡數(shù)值體系，游戲內產出利益分配傾向性等對抗打金工作室對游戲內部環(huán)境的污染
運營數(shù)據監(jiān)控——通過運營數(shù)據，如虛擬裝備產出數(shù)量，個人成長速度等監(jiān)控發(fā)現(xiàn)異常行為
私服——主要的根源在于供應鏈管理，研發(fā)到運營的交付過程，研發(fā)的信息安全管理，運營平臺的防黑建設，研發(fā)團隊集體跳槽的知識產權保護，主創(chuàng)人員敏感異動預警，競業(yè)協(xié)議，保密協(xié)議等
媒體與云計算
媒體的主要問題是黃賭毒、輿情安全。基礎手段：敏感字過濾、設置舉報功能、人工審核，高級手段：抓取樣本、特征識別

云平臺的監(jiān)管，一方面手不能伸得太長，觸及用戶隱私數(shù)據，一方面又要做治理。養(yǎng)雞場這類問題，純粹是一個租戶級的整體安全防護能力，基于網絡的異常流量分析

總結

以上是生活随笔為你收集整理的业务安全与风控的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。