搜索

[15857] 2020-09-16_关于业务逻辑安全、风控做不好的一点想法

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-09-16_关于业务逻辑安全、风控做不好的一点想法 关 于 业 务 逻 辑 安 全 、 风 控 做 不 好 的 一 点 想 法 小 学 生   F r e e B u f   2 0 2 0 - 0 9 - 1 6 前 几 天 同 事 发 生 的 手 机 被 盗 ， 被 黑 产 利 用 ， 经 过 黑 产 一 系 列 骚 操 作 之 后 ， 引 发 的 资 金 被 盗 刷 、 金 融 A P P 被 注 册 盗 用 ， 利 用 实 名 信 息 贷 款 、 资 金 转 移 等 问 题 ， 通 过 阅 读 那 篇 文 章 可 以 发 现 ， 除 了 少 数 几 个 节 点 是 和 安 全 技 术 有 关 ， 其 余 大 部 分 危 害 的 产 生 ， 黑 产 利 用 的 都 是 正 常 合 法 的 业 务 操 作 ， 这 点 也 许 和 我 之 前 的 认 识 有 很 大 差 距 ， 毕 竟 我 是 一 个 做 技 术 的 人 ， 自 认 为 黑 产 都 是 利 用 高 难 度 技 术 来 实 现 的 ， 现 在 来 看 ， 我 错 的 太 离 谱 了 ， 所 以 有 了 这 篇 文 章 ， 想 来 探 讨 下 非 技 术 性 决 定 的 业 务 逻 辑 安 全 。 那 这 篇 文 章 我 想 说 什 么 ？ 经 过 自 己 阅 读 了 文 章 之 后 ， 结 合 笔 者 实 际 的 项 目 经 历 ( 之 前 做 了 几 十 家 的 三 方 支 付 机 构 安 全 检 测 ： 俗 称 非 金 检 测 ， 又 做 了 几 十 家 银 行 的 电 子 银 行 评 估 、 W e b / A P P 渗 透 测 试 、 早 期 还 做 过 四 川 地 区 的 银 行 信 息 科 技 审 计 ， 俗 称 等 级 达 标 ) ， 想 说 说 笔 者 从 这 个 事 件 中 的 看 法 ， 主 要 包 括 以 下 几 点 ： 事 件 中 的 问 题 再 现 ； 企 业 为 什 么 做 不 好 业 务 安 全 和 风 控 ； 基 础 性 的 风 控 规 则 ； 谁 的 锅 ； 0 x 0 1   事 件 中 的 问 题 再 现 事 件 中 的 问 题 再 现 整 个 文 章 读 下 来 ， 我 简 单 总 结 了 几 个 问 题 点 ： 移 动 设 备 安 全 、 运 营 商 的 解 挂 失 、 多 年 未 用 的 储   蓄 卡 再 使 用 、 绑 卡 不 规 范 、 贷 款 缺 乏 强 认 证 、 缺 乏 个 人 信 息 保 护 。 上 述 这 个 几 个 问 题 ， 做 过 安 全 的 同 学 的 应 该 就 知 道 ， 总 体 而 言 ， 单 纯 安 全 角 度 来 说 ， 要 做 好 ， 也 不 是 非 常 困 难 的 事 情 ： 比 如 电 信 来 回 解 挂 失 ： 业 务 流 程 可 改 造 成 如 果 来 回 几 次 解 挂 失 ， 就 冻 结 到 营 业 厅 解 挂 ； 或 者 挂 失 一 次 ， 2 分 钟 可 以 允 许 解 挂 ， 挂 失 第 二 次 ， 1 0 分 钟 解 挂 ， 依 次 类 推 ； 又 或 者 谁 能 提 供 更 完 善 的 资 料 ， 在 网 上 营 业 厅 长 时 间 挂 失 ， 比 如 手 持 身 份 证 照 片 上 传 、 紧 急 手 机 号 人 工 核 实 等 ； 又 比 如 个 人 信 息 保 护 ： 其 实 就 是 页 面 屏 蔽 不 展 示 而 已 ， 就 我 实 际 项 目 而 言 ， 客 户 端 展 现 这 些 信 息 基 本 啥 在 后 续 业 务 中 用 不 到 ， 即 使 用 得 到 ， 也 可 以 从 后 台 去 取 ， 那 展 示 的 目 的 又 在 哪 儿 ？ 又 比 如 多 年 未 用 的 储   蓄 卡 再 使 用 ： 我 记 得 之 前 一 张 卡 超 过 6 个 月 未 使 用 ， 无 任 何 交 易 ， 银 行 自 动 冻 结 ， 要 解 冻 ， 需 要 去 营 业 厅 ， 不 知 道 现 在 为 啥 又 可 以 了 ， 之 前 的 方 案 怎 么 久 放 弃 了 呢 ？ 0 x 0 2   企 业 为 什 么 做 不 好 业 务 安 全 和 风 控 企 业 为 什 么 做 不 好 业 务 安 全 和 风 控 笔 者 自 己 这 两 天 反 复 思 考 这 个 问 题 ， 为 什 么 这 么 简 单 的 非 技 术 性 的 问 题 ， 做 不 好 呢 ， 仅 仅 是 因 为 了 获 取 用 户 ， 获 取 流 量 ， 提 升 用 户 体 验 吗 ？ 这 个 原 因 有 没 有 ， 答 案 毫 无 疑 问 ， 肯 定 是 有 的 ， 那 其 他 原 因 呢 ， 笔 者 这 几 天 提 炼 总 结 了 一 下 之 前 和 各 个 支 付 机 构 、 金 融 公 司 以 及 其 他 小 公 司 相 关 工 作 负 责 人 员 交 流 的 一 些 看 法 ： 没 想 到 想 到 ， 不 想 做 想 做 ， 没 资 源 ， 缺 乏 专 业 指 导 花 大 钱 做 好 了 ， 没 用
产 品 迭 代 速 度 造 成 安 全 和 风 控 跟 不 上 企 业 效 益 和 诈 骗 造 成 损 失 之 间 的 平 衡 关 系 监 管 推 行 与 检 查 执 行 问 题 没 监 管 、 弱 监 管 简 单 展 开 来 说 一 下 ： 2 . 1   没 想 到 没 想 到 一 些 规 模 小 的 公 司 ， 成 立 不 久 的 公 司 ， 缺 乏 信 息 来 源 、 缺 乏 安 全 意 识 、 缺 乏 监 督 管 理 ， 这 类 型 的 企 业 有 很 多 ， 但 是 这 类 型 企 业 根 本 就 没 有 想 到 过 要 做 这 一 块 业 务 安 全 ， 公 司 忙 于 成 长 ， 主 要 产 品 都 让 企 业 焦 头 烂 额 ， 更 多 的 心 思 都 聚 焦 到 了 核 心 产 品 以 及 竞 争 对 手 身 上 ， 再 加 上 这 类 型 的 公 司 起 步 时 会 付 出 更 多 成 本 ， 同 时 更 大 的 让 利 给 普 通 用 户 ， 让 用 户 尝 到 甜 头 ， 造 成 很 多 没 有 安 全 意 识 的 用 户 ， 特 别 是 中 老 年 用 户 乐 于 使 用 ， 老 老 实 实 交 代 了 自 己 的 各 项 信 息 ( 储   蓄 卡 、 信 用 卡 、 身   份 证 、 姓 名 、 照 片 、 出 生 年 月 之 类 的 ) 。 2 . 2   想 到 ， 不 想 做 想 到 ， 不 想 做 这 部 分 企 业 其 实 已 经 开 始 担 忧 业 务 安 全 问 题 了 ， 自 己 已 经 开 始 琢 磨 了 ， 但 是 还 是 不 想 做 ， 为 什 么 呢 ？ 这 种 我 了 解 到 的 一 些 说 法 就 是 “ 领 导 说 在 等 等 ” ， 等 公 司 规 模 再 大 点 ， 用 户 规 模 数 再 大 点 ， 公 司 利 润 再 大 点 ， 行 业 大 环 境 再 好 点 ， 各 种 各 样 的 再 好 点 ， 所 以 再 等 等 。 2 . 3   想 做 ， 没 资 源 ， 缺 乏 专 业 指 导 想 做 ， 没 资 源 ， 缺 乏 专 业 指 导 这 种 情 况 ， 企 业 想 到 了 ， 也 想 做 了 ， 也 很 积 极 想 推 ， 但 是 领 导 觉 得 下 面 和 业 务 安 全 相 关 岗 位 的 同 事 就 可 以 完 成 这 项 工 作 ， 不 投 入 新 的 财 力 和 人 力 资 源 ， “ 又 要 马 儿 跑 ， 又 不 给 马 儿 吃 草 ” ， 想 想 都 很 难 ， 下 面 同 事 想 说 做 不 了 ， 领 导 会 不 会 觉 得 自 己 不 够 努 力 ， 交 代 工 作 完 成 不 了 ， 让 领 导 觉 得 自 己 太 菜 了 ， 很 多 时 候 都 只 能 硬 上 ， 闭 着 眼 睛 乱 搞 ， 搞 出 一 个 四 不 像 ， 典 型 的 缺 乏 专 业 指 导 出 来 的 东 西 ， 能 有 多 大 效 果 ， 能 有 多 大 帮 助 ， 只 能 当 成 一 个 神 位 在 公 司 内 部 供 着 ， 非 专 业 人 做 专 业 事 的 我 简 单 举 2 个 例 子 ： 一 个 是 我 这 两 天 做 一 家 金 融 机 构 A P P 备 案 遇 到 一 个 关 于 安 全 软 键 盘 的 事 情 ， 在 A P P 备 案 相 关 标 准 中 ， 明 确 提 出 了 对 用 户 敏 感 信 息 输 入 保 障 措 施 ： 然 而 这 家 企 业 感 觉 就 是 要 自 己 开 发 人 员 开 发 一 个 ， 然 后 这 个 开 发 人 员 非 常 努 力 的 咨 询 安 全 软 键 盘 的 一 些 技 术 指 标 ， 领 导 觉 得 ， 你 是 做 开 发 的 ， 那 安 全 软 件 盘 按 道 理 你 也 可 以 带 着 团 队 开 发 一 个 出 来 ， 一 般 开 发 人 员 更 多 的 聚 焦 于 业 务 开 发 ， 业 务 架 构 ， 其 实 对 这 样 具 有 安 全 性 要 求 的 产 品 就 算 是 开 发 人 员 全 身 心 投 入 了 ， 短 时 间 内 又 能 理 解 多 少 指 标 ， 理 解 了 又 能 实 现 多 少 ， 实 现 这 些 指 标 采 用 的 技 术 又 是 否 合 理 ， 这 种 限 时 、 资 源 、 人 力 有 限 专 业 又 不 对 口 的 情 况 下 ， 这 种 产 品 出 来 了 应 用 到 了 金 融 A P P 上 ， 你 说 会 有 一 个 什 么 样 的 结 果 ？ 另 一 个 例 子 就 是 关 于 岗 位 兼 职 问 题 ， 在 我 检 测 过 的 很 多 支 付 机 构 中 ， 存 在 明 显 的 安 全 岗 位 乱 兼 职 、 被 兼 职 的 情 况 ， 看 得 我 都 想 现 场 爆 炸 ， 这 种 人 员 结 构 负 责 安 全 ， 出 事 情 只 是 迟 早 的 事 ， 企 业 接 受 检 查 时 ， 被 发 现 相 关 岗 位 缺 乏 人 员 时 ， 立 马 就 会 出 现 某 某 兼 职 的 情 况 ， 而 且 ， 兼 职 者 对 这 个 岗 位 工 作 内 容 还 挺 熟 悉 的 ， 对 实 际 工 作 背 得 还 挺 溜 ， 你 能 信 ？ 岗
位 允 不 允 许 兼 职 ？ 当 然 允 许 ， 但 是 岗 位 不 允 许 的 是 乱 兼 职 ， 这 里 可 以 看 看 部 分 相 关 的 岗 位 不 兼 容 矩 阵 。 2 . 4   花 大 钱 做 了 ， 没 用 花 大 钱 做 了 ， 没 用 这 种 情 况 ， 公 司 想 做 了 ， 且 分 配 资 源 了 ， 找 了 专 业 人 员 或 者 专 业 公 司 购 买 了 相 关 服 务 或 者 风 控 产 品 ， 比 如 业 务 安 全 梳 理 ， 风 控 系 统 之 类 的 ， 但 是 业 务 安 全 梳 理 好 了 ， 风 控 系 统 布 置 好 了 ， 没 用 ， 没 落 地 执 行 ， 或 者 某 些 原 因 关 了 ， 事 后 又 不 开 启 ， 缺 乏 内 部 合 理 的 审 计 规 范 和 制 度 ， 在 实 际 检 测 过 程 中 ， 遇 到 相 关 工 作 人 员 “ 恍 然 大 悟 ， 系 统 没 用 或 者 业 务 流 程 没 按 照 标 准 执 行 ” 的 情 况 。 2 . 5   产 品 迭 代 速 度 造 成 安 全 和 风 控 跟 不 上 产 品 迭 代 速 度 造 成 安 全 和 风 控 跟 不 上 这 种 情 况 ， 公 司 负 责 业 务 安 全 和 风 控 的 基 本 都 是 有 一 定 基 础 和 实 力 的 ， 各 种 已 存 在 的 业 务 安 全 和 风 控 规 则 都 设 计 得 比 较 完 善 ， 但 是 当 有 新 产 品 、 新 业 务 出 现 的 时 候 ， 互 联 网 的 产 品 很 多 时 候 讲 究 一 个 快 速 时 效 性 ， 一 层 催 一 层 ， 造 成 业 务 流 程 来 不 及 梳 理 ， 风 控 规 则 来 不 及 梳 理 ， 有 些 风 控 系 统 还 会 涉 及 到 二 次 开 发 的 ， 更 等 不 起 了 ， 所 以 草 草 上 线 。 2 . 6   企 业 效 益 和 诈 骗 造 成 损 失 之 间 平 衡 关 系 企 业 效 益 和 诈 骗 造 成 损 失 之 间 平 衡 关 系 这 种 情 况 ， 仿 佛 可 以 说 是 产 品 经 理 的 锅 ？ 但 是 仔 细 分 析 下 来 ， 感 觉 产 品 经 理 又 背 不 起 这 个 锅 ， 为 什 么 会 存 在 这 种 现 象 呢 ， 那 是 因 为 对 于 大 部 分 没 有 实 力 的 企 业 ， 安 全 和 业 务 之 间 大 部 分 是 相 互 对 立 的 关 系 ， 安 全 做 得 好 ， 做 的 严 格 ， 用 户 体 验 不 好 ， 软 件 使 用 不 好 ， 软 件 性 能 又 不 好 ， 没 人 用 ， 企 业 效 益 就 会 造 成 影 响 ， 其 实 从 这 个 案 例 中 看 到 ， 即 使 文 中 提 及 的 几 个 大 厂 ， 也 是 有 很 多 地 方 为 了 用 户 体 验 ， 安 全 妥 协 的 地 方 ， 但 是 比 如 支 付 宝 后 端 有 强 大 的 风 控 ， 他 们 可 以 妥 协 一 部 分 ， 其 他 大 厂 呢 ， 或 者 其 他 中 小 型 的 支 付 机 构 和 银 行 呢 ？ 有 那 个 实 力 、 资 金 、 时 间 来 完 做 成 一 套 强 大 的 风 控 系 统 吗 ？ 所 以 造 成 的 现 象 是 ， 反 正 一 年 到 头 也 没 有 几 个 闹 大 的 诈 骗 案 例 ， 就 算 是 闹 大 了 ， 也 可 以 甩 锅 ， 就 算 是 不 能 甩 锅 ， 那 就 赔 偿 金 额 ， 这 点 赔 偿 金 额 对 公 司 效 益 来 说 ， 微 不 足 道 。 还 是 结 合 那 篇 文 章 中 内 容 举 几 个 个 人 信 息 相 关 的 例 子 ， 在 之 前 1 - 2 年 的 项 目 中 ， 在 即 使 是 强 监 管 的 银 行 、 支 付 机 构 的 网 银 、 手 机 银 行 等 产 品 中 ， 卡 号 和 身   份 证 号 全 字 段 展 示 几 乎 是 随 处 可 见 的 。 那 这 些 个 人 敏 感 信 息 是 否 又 有 相 关 标 准 来 说 明 、 约 束 呢 ， 当 然 有 的 ， 这 是 1 2 版 本 的 《 网 上 银 行 系 统 信 息 安 全 通 用 规 范 》 ： 嗯 ， 没 错 ， 这 是 1 2 版 的 ， 现 在 过 去 多 少 年 了 ？ 那 到 如 今 呢 ， 现 在 互 金 协 会 在 推 的 金 融 科 技 产 品 备 案 项 目 中 ， 这 种 问 题 是 否 有 很 大 改 善 呢 ？ 根 据 我 实 施 到 的 项 目 来 看 ， 我 只 能 说 有 一 定 改 善 ， 但 是 依 然 还 是 有 一 些 存 在 全 字 段 显 示 的 情 况 ， 比 例 大 概 在 3 0 % 左 右 吧 ， 强 监 管 的 金 融 行 业 如 此 ， 那 其 他 行 业 更 不 用 说 了 。
2 . 7   监 管 推 行 与 检 查 执 行 监 管 推 行 与 检 查 执 行 其 实 监 管 每 推 出 一 些 要 求 规 范 后 ， 下 面 企 业 为 了 应 付 ， 很 多 企 业 会 做 足 一 些 表 面 工 作 ， 一 些 重 点 工 作 是 有 周 期 性 检 查 的 ， 但 是 有 一 些 工 作 还 是 缺 乏 周 期 性 的 检 查 ， 且 覆 盖 率 不 广 ， 同 时 ， 监 管 要 求 的 落 实 ， 需 要 其 他 具 有 资 质 的 检 测 机 构 去 落 实 检 测 ， 这 里 就 有 一 个 问 题 ， 有 资 质 的 检 测 机 构 接 到 一 个 项 目 后 ， 派 出 去 实 施 检 测 项 目 的 人 员 在 专 业 能 力 上 真 的 就 有 能 力 去 帮 客 户 做 好 这 件 事 情 吗 ？ 还 是 举 例 ： 比 如 在 做 电 子 银 行 安 全 评 估 项 目 中 ， 会 涉 及 到 电 子 银 行 业 务 逻 辑 、 流 程 梳 理 ， 但 是 据 我 了 解 到 的 ， 大 部 分 实 施 人 员 拿 着 一 个 c h e c k l i s t 就 去 了 ， 实 施 人 员 他 自 己 本 人 都 无 法 理 解 透 这 个 c h e c k l i s t 中 的 东 西 ， 对 业 务 的 理 解 甚 至 还 如 银 行 自 己 的 人 员 ， 你 怎 么 去 给 别 人 做 业 务 逻 辑 安 全 梳 理 ， 这 不 是 一 个 笑 话 ？ 你 还 别 不 信 ， 假 如 有 做 这 方 面 业 务 的 公 司 人 看 到 了 这 篇 文 章 ， 你 可 以 试 问 下 ， 你 们 部 门 内 部 有 几 个 人 把 这 些 东 西 吃 得 住 ， 理 得 清 ？ 在 比 如 ： 等 保 项 目 实 施 中 ， 实 施 人 员 应 该 是 通 过 了 等 级 保 护 培 训 的 ， 具 有 相 关 资 质 的 人 员 去 实 施 ， 但 是 实 际 呢 ？ 当 然 从 能 力 而 言 ， 并 不 是 说 没 有 经 过 等 保 培 训 获 得 资 格 ， 就 没 有 能 力 做 这 样 的 项 目 ， 但 是 绝 大 部 分 情 况 下 ， 实 施 人 员 并 不 了 解 这 个 项 目 的 意 义 ， 侧 重 点 是 什 么 ， 有 做 过 等 保 的 可 以 查 一 下 现 场 实 施 人 员 的 等 保 资 格 ， 注 意 是 现 场 实 施 人 员 的 ， 不 是 投 标 文 件 中 的 人 员 ， 所 以 结 果 自 己 体 会 。 2 . 8   弱 监 管 、 没 监 管 弱 监 管 、 没 监 管 有 些 行 业 是 处 于 弱 监 管 、 甚 至 没 监 管 的 地 带 ， 但 是 这 些 行 业 中 有 些 企 业 却 能 接 触 到 大 量 的 个 人 用 户 信 息 ， 比 如 连 锁 酒 店 、 商 旅 出 行 类 的 ， 这 些 类 型 企 业 安 全 大 部 分 依 赖 于 自 身 安 全 认 识 ， 出 了 问 题 ， 出 来 道 个 歉 就 算 完 结 ， 层 出 不 穷 呀 ， 作 为 普 通 人 ， 你 又 能 咋 样 。 0 x 0 3   基 础 性 的 风 控 规 则 基 础 性 的 风 控 规 则 风 控 做 好 了 真 的 很 难 ， 除 开 了 几 个 大 厂 以 外 ， 在 我 项 目 经 验 中 ， 也 和 接 触 风 控 系 统 比 较 多 的 同 事 交 流 过 ， 做 好 了 确 实 很 难 ， 但 是 基 础 性 的 风 控 规 则 不 是 很 难 ， 但 却 能 起 到 很 大 重 要 ， 当 这 个 案 例 发 生 之 后 ， 我 对 比 了 我 手 里 的 之 前 采 集 到 的 几 个 风 控 规 则 库 ， 发 现 还 真 是 可 以 对 案 例 中 的 案 件 起 到 一 定 阻 断 作 用 的 ， 以 部 分 支 付 规 则 为 例 ：
0 x 0 4   谁 的 锅 谁 的 锅 上 面 文 字 ， 扯 了 一 大 堆 ， 和 身 边 的 同 事 也 不 断 复 盘 讨 论 ， 感 觉 结 果 就 是 ： “ 家 家 有 罪 ， 但 是 又 罪 不 至 死 ” 的 感 觉 ， 那 篇 文 章 的 作 者 的 遭 遇 之 所 以 能 够 得 到 快 速 解 决 ， 主 要 是 得 益 于 他 身 处 信 息 安 全 行 业 ， 多 一 份 安 全 意 识 ， 才 有 了 证 据 收 集 和 对 黑 色 产 业 链 的 复 盘 ， 且 涉 案 金 额 不 大 ， 行 业 众 多 朋 友 也 帮 着 转 发 ， 造 成 了 一 些 影 响 ， 受 到 了 重 视 ， 各 大 平 台 赔 了 这 事 也 算 结 束 了 ， 那 如 果 涉 案 几 十 万 上 百 万 ， 那 各 大 平 台 估 计 就 得 互 相 说 道 说 道 了 吧 ， 反 正 自 己 都 不 是 这 起 案 件 中 的 决 定 性 因 素 ， 因 为 这 种 情 况 没 有 谁 是 决 定 性 因 素 ， 当 然 这 都 是 自 己 的 一 己 推 断 ， 万 一 有 大 厂 出 来 承 担 下 所 有 责 任 呢 ， 背 下 所 有 锅 呢 ， 如 果 你 想 飞 伤 痛 大 厂 背 ， 是 吧 ？ 最 后 ， 说 个 笑 话 ：
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理