搜索

[15092] 2020-03-04_永安在线联合FreeBuf发布《业务安全蓝军测评标准白皮书》

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-03-04_永安在线联合FreeBuf发布《业务安全蓝军测评标准白皮书》 永 安 在 线 联 合 F r e e B u f 发 布 《 业 务 安 全 蓝 军 测 评 标 准 白 皮 书 》 永 安 在 线   F r e e B u f   2 0 2 0 - 0 3 - 0 4 与 基 础 安 全 的 严 防 死 打 不 同 ， 业 务 安 全 的 目 标 通 常 不 是 杜 绝 攻 击 ， 而 是 将 攻 击 流 量 的 占 比 控 制 在 可 接 受 的 范 围 与 基 础 安 全 的 严 防 死 打 不 同 ， 业 务 安 全 的 目 标 通 常 不 是 杜 绝 攻 击 ， 而 是 将 攻 击 流 量 的 占 比 控 制 在 可 接 受 的 范 围 内 ， 平 衡 攻 击 损 失 与 业 务 盈 利 间 的 关 系 ， 保 证 业 务 收 益 的 最 大 化 。 当 前 ， 业 务 安 全 问 题 缺 乏 一 套 评 估 体 系 ， 能 内 ， 平 衡 攻 击 损 失 与 业 务 盈 利 间 的 关 系 ， 保 证 业 务 收 益 的 最 大 化 。 当 前 ， 业 务 安 全 问 题 缺 乏 一 套 评 估 体 系 ， 能 够 数 字 化 体 系 化 的 描 述 遭 受 攻 击 带 来 的 危 害 程 度 及 策 略 实 施 后 的 效 果 等 。 基 于 以 上 需 求 与 目 标 ， 永 安 在 线 鬼 谷 够 数 字 化 体 系 化 的 描 述 遭 受 攻 击 带 来 的 危 害 程 度 及 策 略 实 施 后 的 效 果 等 。 基 于 以 上 需 求 与 目 标 ， 永 安 在 线 鬼 谷 实 验 室 面 向 行 业 推 出 了 一 套 针 对 业 务 安 全 的 蓝 军 测 评 标 准 。 实 验 室 面 向 行 业 推 出 了 一 套 针 对 业 务 安 全 的 蓝 军 测 评 标 准 。 帮 助 行 业 解 决 在 处 理 业 务 安 全 问 题 时 面 临 的 以 下 挑 战 ： 攻 防 信 息 不 对 等 ： 对 黑 产 攻 击 手 段 及 变 化 的 了 解 不 够 深 入 ， 造 成 攻 击 发 现 处 理 滞 后 、 周 期 长 的 局 面 。 策 略 效 果 评 估 体 系 缺 失 ： 不 同 于 互 联 网 基 础 安 全 ， 业 务 安 全 问 题 没 有 明 确 的 边 界 — — 在 基 础 安 全 中 多 数 攻 击 的 危 害 程 度 可 以 用 是 否 攻 击 成 功 来 和 攻 击 的 互 联 网 资 产 及 数 据 资 产 来 评 估 ， 而 对 于 业 务 安 全 ， 由 于 业 务 场 景 和 目 标 的 不 同 ， 以 及 用 户 体 验 及 用 户 流 量 日 活 等 的 限 制 ， 缺 乏 一 套 行 之 有 效 的 评 估 体 系 。
以 下 基 于 某 个 营 销 场 景 的 业 务 安 全 蓝 军 测 评 案 例 ， 具 体 测 评 标 准 见 《 业 务 安 全 蓝 军 测 评 标 准 白 皮 书 》 P D F ： 以 电 商 平 台 X X 购 的 测 试 项 “ 1 0 元 满 1 0 . 0 1 元 使 用 优 惠 券 活 动 ” 为 案 例 ， 举 例 说 明 测 试 结 果 。 一 、 测 试 项 说 明 一 、 测 试 项 说 明 测 试 项 ： 测 试 项 ： 营 销 活 动 作 弊 场 景 下 的 特 定 优 惠 券 批 量 获 取 。 预 定 的 攻 击 成 功 标 准 ： 预 定 的 攻 击 成 功 标 准 ： 1 小 时 内 完 成 1 0 0 次 账 号 注 册 ， 账 号 要 求 可 成 功 获 取 并 使 用 优 惠 券 。 在 该 标 准 下 计 算 各 攻 击 指 标 。
二 、 蓝 军 测 评 结 果 案 例 二 、 蓝 军 测 评 结 果 案 例 2 . 1 、 产 业 链 现 状 说 明 、 产 业 链 现 状 说 明 本 模 块 将 阐 述 测 试 项 目 的 黑 产 攻 击 过 程 ， 所 需 黑 产 资 源 和 上 下 游 关 系 ， 并 对 其 中 的 行 话 、 黑 话 进 行 说 明 。 攻 击 方 式 ： 攻 击 方 式 ： 使 用 按 键 精 灵 撰 写 自 动 化 模 拟 点 击 脚 本 ， 模 拟 点 击 完 成 注 册 领 券 操 作 ， 过 程 如 下 ： 1 、 I P 、 设 备 环 境 伪 造 ： 点 击 代 理 I P 切 换 软 件 “ 熊 猫 代 理 ” 切 换 I P ， 点 击 改 机 工 具 “ 抹 机 王 ” ， 新 建 新 的 设 备 环 境 ， 命 名 X X （ 某 电 商 平 台 名 ） 十 元 券 0 1 （ 递 增 ） 环 境 ； 2 、 恶 意 账 号 准 备 ： 在 改 机 工 具 环 境 中 点 击 运 行 X X 平 台 ， 点 击 注 册 ， 调 用 接 码 平 台 “ 斑 马 ” 获 取 手 机 号 A P I 获 取 用 以 注 册 的 手 机 号 ， 并 等 待 返 回 验 证 码 后 填 写 ， 判 断 是 否 出 现 滑 块 验 证 ， 并 通 过 滑 块 验 证 ， 完 成 注 册 ； 3 、 实 际 攻 击 ： 点 击 “ 我 的 ” 页 面 ， 点 击 “ 新 人 礼 包 ” 按 钮 ， 点 击 领 取 礼 包 ； 4 、 完 成 攻 击 并 循 环 执 行 ： 退 出 ， 返 回 切 换 代 理 ， 点 击 改 机 工 具 新 建 下 一 个 环 境 。 变 现 方 式 ： 变 现 方 式 ： 变 现 下 游 为 话 费 充 值 ， 调 用 下 游 团 伙 提 供 的 A P I ， 得 到 需 要 充 值 的 手 机 号 和 金 额 ， 驱 动 模 拟 点 击 脚 本 依 次 打 开 “ 抹 机 王 ” 中 的 环 境 ， 使 用 支 付 宝 完 成 操 作 ， 由 于 手 机 环 境 中 没 有 安 装 支 付 宝 应 用 ， “ 用 户 ” 使 用 输 入 账 号 密 码 方 式 进 行 支 付 。 X X 平 台 未 对 支 付 宝 账 号 可 支 付 的 平 台 账 号 数 量 进 行 限 制 ， 攻 击 中 使 用 同 一 个 支 付 宝 账 号 进 行 支 付 。 相 关 脚 本 和 测 试 账 号 见 附 件 。 投 入 产 出 说 明 ： 投 入 产 出 说 明 ： 攻 击 成 本 ： 安 卓 手 机   6 0 0 元 / 部   +   改 机 工 具 “ 抹 机 王 ” 1 元 / 部 天   +   接 码 平 台 “ 斑 马 X X 平 台 注 册 ”   0 . 2 元 / 个 手 机 号   +   代 理 I P “ 熊 猫 ”   2 元 / 部 天 。 收 益 ： 团 伙 收 益 分 为 两 部 分 ， 第 一 部 分 为 下 游 话 费 充 值 变 现 ， 每 个 账 户 可 收 益 5 元 （ 5 0 元 话 费 充 值 举 例 ， X X 平 台 5 0
元 话 费 充 值 价 格 4 9 . 9 元 ， 使 用 优 惠 券 付 费 3 9 . 9 ， 下 游 话 费 渠 道 接 收 价 格 4 4 . 9 ， 团 伙 收 益 5 元 ） 。 第 二 部 分 为 倒 卖 账 号 给 中 间 团 伙 ， 由 中 间 团 伙 通 过 其 他 渠 道 变 现 。 账 号 售 价 4 元 每 个 。 2 . 2 、 投 入 产 出 比 、 投 入 产 出 比 R O I 在 需 求 沟 通 过 程 中 ， 客 户 与 永 安 约 定 了 各 测 试 项 攻 击 成 功 的 标 准 ， 此 模 块 将 给 出 在 实 现 攻 击 效 果 情 况 下 ， 黑 产 的 投 入 产 出 公 式 。 举 例 ： 约 定 总 投 入 为 K 、 总 产 出 为 I N 。 设 攻 击 天 数 为 D 、 每 天 运 行 攻 击 脚 本 H 小 时 ， 团 伙 使 用 P 部 手 机 设 备 发 起 攻 击 。 另 ， 脚 本 每 4 m i n 完 成 一 次 注 册 ； 攻 击 使 用 的 手 机 设 备 6 0 0 元 每 部 。 根 据 实 际 情 况 进 行 以 下 假 设 ： （ 1 ） 由 于 实 际 过 程 中 ， 受 限 于 接 码 平 台 手 机 号 质 量 、 网 络 等 原 因 ， 存 在 消 耗 成 本 但 账 号 不 可 用 的 情 况 ， 以 及 注 册 账 号 未 能 及 时 在 X X 平 台 活 动 期 间 变 现 的 情 况 等 ， 故 假 设 该 团 伙 存 在 2 0 % 的 账 号 损 耗 ； （ 2 ） 根 据 常 见 变 现 情 况 ， 假 设 该 团 伙 7 0 % 的 账 号 以 话 费 出 口 变 现 ， 3 0 % 的 账 号 以 账 号 倒 卖 形 式 变 现 ； （ 3 ） 羊 毛 党 群 体 多 为 “ 羊 头 ” 带 领 一 众 数 量 庞 大 但 规 模 较 小 的 团 伙 或 个 人 ， 故 假 设 该 团 伙 的 攻 击 设 备 数 量 为 1 0 部 手 机 ， 每 部 手 机 的 攻 击 时 间 为 6 个 小 时 。 则 根 据 计 算 公 式 得 到 以 下 表 格 。
但 实 际 对 于 羊 毛 党 团 伙 ， 手 机 等 攻 击 设 备 资 产 为 单 次 投 入 成 本 ， 购 买 后 重 复 使 用 ， 计 算 到 单 个 活 动 的 薅 羊 毛 成 本 中 并 不 合 理 。 这 一 类 的 单 次 投 入 成 本 还 包 含 微 信 账 号 等 ， 如 引 流 诈 骗 团 伙 需 要 囤 积 大 量 微 信 账 号 用 以 交 流 诈 骗 ， 该 团 伙 在 扫 码 领 红 包 的 薅 羊 毛 过 程 中 ， 微 信 账 号 是 对 方 使 用 的 资 源 之 一 ， 但 不 应 计 算 在 成 本 内 。 以 下 给 出 去 除 这 类 单 次 投 入 成 本 后 的 投 入 产 出 公 式 ， 相 较 上 小 节 的 公 式 ， 更 符 合 实 际 环 境 ， 用 于 危 害 估 算 也 更 为 合 理 。
电 商 （ 利 用 虚 拟 / 实 体 商 品 变 现 ） 行 业 的 羊 毛 党 从 业 人 数 大 约 在 8 2 w   ~   9 6 w （ 2 0 2 0 年 0 1 月 估 算 ） ， 如 表 格 中 所 见 ， 测 试 项 （ X X 平 台 1 0 元 满 1 0 . 0 1 元 使 用 优 惠 券 活 动 ） 的 投 入 产 出 比 为 7 . 0 5 ， 参 照 表 “ 羊 毛 场 景 R O I 值 与 危 害 程 度 对 照 表 ” ， 该 值 超 过 损 害 临 界 点 2 . 9 ， 属 于 第 二 级 别 ， 将 吸 引 2 % ~ 6 % 的 黑 产 团 伙 发 起 攻 击 。 完 整 表 格 请 参 照 附 录 B 表 2 - 1 羊 毛 场 景 R O I 值 与 危 害 程 度 对 照 表 。 2 . 3 、 攻 击 效 率 、 攻 击 效 率 A E 如 上 小 节 所 述 ， 测 试 项 攻 击 采 用 模 拟 点 击 脚 本 进 行 ， 每 四 分 钟 完 成 一 次 攻 击 。 故 测 试 项 的 攻 击 效 率 A E 为 1 5 P 次   /   h （ P 为 攻 击 设 备 数 量 ） 。 参 照 附 录 B   表 2 - 2   攻 击 效 率 评 分 表 ， 攻 击 效 率 评 分 为 7 ， 该 评 分 用 以 表 现 攻 击 效 率 对 盈 利 产 出 的 正 影 响 ， 即 在 电 商 低 门 槛 优 惠 券 羊 毛 场 景 下 攻 击 效 率 仅 处 于 中 等 水 平 ， 但 攻 击 效 率 不 是 限 制 变 现 能 力 的 主 要 因 素 ， 换 一 种 说 法 ， 测 试 项 中 变 现 情 况 是 ， 羊 毛 党 在 活 动 期 间 注 册 一 定 量 级 的 账 号 并 领 取 优 惠 券 ， 并 在 优 惠 券 失 效 前 ， 通 过 话 费 充 值 等 变 现 渠 道 完 成 变 现 ， 决 定 变 现 能 力 的 主 要 因 素 是 下 游 渠 道 的 大 小 ， 如 下 游 能 “ 吃 下 ” 多 少 话 费 ， 而 当 前 较 为 缓 慢 的 攻 击 速 度 已 经 能 够 支 持 羊 毛 团 伙 在 活 动 期 间 注 册 足 够 数 量 的 账 号 。 电 商 优 惠 券 主 要 对 应 的 变 现 渠 道 通 常 是 ， 纸 巾 等 日 化 产 品 ； 大 米 粮 油 等 利 于 倒 卖 变 现 的 商 品 ； 话 费 、 游 戏 充 值 等 虚 拟 产 品 。 根 据 电 商 平 台 的 性 质 及 提 供 的 服 务 具 体 会 有 所 差 异 ， 但 变 现 渠 道 的 限 制 会 使 得 大 规 模 的 上 游 羊 毛 团 伙 短 期 内 集 中 消 费 固 定 类 别 的 商 品 ， 对 黑 样 本 账 号 的 订 单 数 据 进 行 关 联 分 析 可 找 到 羊 毛 党 在 平 台 上 最 常 用 的 变 现 出 口 。 2 . 4 、 团 伙 规 模 、 团 伙 规 模 & 攻 击 流 量 占 比 攻 击 流 量 占 比 A T R
2 0 1 9 年 羊 毛 党 从 业 人 数 大 约 1 3 2 w 人 ， 针 对 电 商 行 业 的 羊 毛 党 从 业 人 数 大 约 为 9 6 w 人 ， 活 跃 参 与 （ 线 报 ） X X 平 台 的 羊 毛 党 从 业 人 数 大 约 为 2 ~ 5 w 人 （ 数 据 参 照 恶 意 手 机 号 数 量 、 黑 产 长 期 养 号 数 量 及 真 人 作 弊 数 量 等 计 算 ， 受 限 于 数 据 获 取 渠 道 、 抽 样 概 率 的 影 响 ， 估 算 数 据 与 实 际 情 况 之 间 可 能 存 在 一 定 偏 差 ， 仅 供 参 考 ） 。 假 设 测 试 项 中 的 活 动 限 定 发 送 3 0 w 张 优 惠 券 ： 羊 毛 党 注 册 速 度 ： 上 小 节 分 析 得 到 每 团 伙 每 日 的 攻 击 次 数 为 9 0 0 次 ， 假 设 活 动 期 间 有 4 0 % 的 羊 毛 党 活 跃 ， 从 业 人 数 取 平 均 值 3 w 人 ， 则 羊 毛 党 每 日 领 券 次 数 为 9 0 0 （ 3 w / 3 ） 0 . 4   =   3 6 0 w ， 但 上 文 提 到 羊 毛 党 注 册 账 号 的 量 级 主 要 由 变 现 渠 道 能 消 耗 的 流 量 决 定 ， 估 算 得 到 话 费 等 快 速 变 现 渠 道 每 日 在 X X 平 台 的 最 高 消 耗 为 6 5 w ， 做 最 大 化 假 设 ， 全 部 由 测 试 项 中 的 优 惠 券 进 行 变 现 （ 但 同 时 假 设 羊 毛 党 不 进 行 额 外 的 账 号 储 备 ， 实 际 情 况 中 ， 领 取 的 优 惠 券 可 在 使 用 期 限 内 缓 慢 变 现 ） ， 则 最 大 情 况 下 需 要 1 3 . 0 8 8 w 账 号 ， 设 账 号 将 冗 余 注 册 1 0 % ， 则 羊 毛 党 的 注 册 领 券 量 最 多 为 1 4 . 3 9 6 8 w / 天 。 X X 平 台 正 常 用 户 领 券 速 度 ： X X 平 台 的 日 活 为 2 7 0 0 w ， 优 惠 券 在 A P P 首 页 靠 下 位 置 ， 用 户 下 拉 一 个 屏 幕 可 见 ， 假 设 用 户 点 击 率 为 0 . 5 % ， 则 正 常 领 券 用 户 的 增 加 速 度 为 ， 1 3 . 5 w 人 /   天 。 则 3 0 w 张 优 惠 券 中 将 有 1 4 . 3 6 9 8 / ( 1 4 . 3 6 9 8 + 1 3 . 5 )   =   5 1 . 6 % 的 优 惠 券 被 羊 毛 党 薅 走 ， 券 面 价 值 为 1 5 4 . 8 万 元 （ 由 于 羊 毛 党 也 产 生 消 费 及 库 存 减 少 数 据 、 若 被 正 常 用 户 领 走 所 带 来 的 消 费 转 化 等 相 关 数 据 未 知 ， 实 际 经 费 损 耗 需 甲 方 根 据 比 例 自 行 估 算 ） 。 假 设 测 试 项 中 的 优 惠 券 活 动 规 则 为 限 时 五 天 ： 羊 毛 党 将 制 造 1 4 . 3 9 6 8   *   5   =   7 1 . 9 8 4 w 账 号 ， 并 领 取 消 耗 券 面 价 值 7 1 9 . 8 4 万 元 的 优 惠 券 。 2 . 5 、 攻 击 项 产 生 的 额 外 价 值 、 攻 击 项 产 生 的 额 外 价 值 E V 测 试 项 中 的 羊 毛 攻 击 将 产 生 大 量 X X 平 台 账 号 ， 参 考 附 录 B 表 2 - 3 账 号 额 外 价 值 评 分 参 照 表 ， 测 试 项 中 的 攻 击 方 式 所 产 生 的 大 量 账 号 ， 可 参 与 积 分 、 转 盘 抽 奖 类 活 动 ， 但 账 号 质 量 不 高 ， 随 时 间 推 移 高 比 例 的 账 号 将 被 处 以 封 号 降 权 等 不 同 措 施 ， 且 账 号 不 具 备 社 交 及 支 付 转 账 属 性 ， 无 其 他 额 外 价 值 ， 测 试 项 本 模 块 评 分 为 1 。 2 . 6 、 上 游 供 给 链 成 熟 度 和 稳 定 度 、 上 游 供 给 链 成 熟 度 和 稳 定 度 S C S 测 试 项 攻 击 中 使 用 了 接 码 平 台 、 群 控 、 秒 拨 I P 、 改 机 工 具 资 源 ， 根 据 附 录 B 表 2 - 4 攻 击 资 源 供 给 链 成 熟 度 评 分 参 照 表 ， 均 为 成 熟 稳 定 的 上 游 资 源 ， 最 终 评 分 为 1 0 ， 攻 击 资 源 获 取 较 容 易 ， 资 源 数 量 和 获 取 难 度 对 攻 击 效 率 影 响 较 低 。 2 . 7 、 综 合 评 价 、 综 合 评 价
1 、 测 试 项 中 黑 产 使 用 的 手 机 号 、 I P 资 源 多 数 为 基 础 资 源 ， 未 对 接 特 殊 渠 道 ， 具 有 高 复 用 特 征 ， 手 机 号 、 I P 信 誉 库 对 其 覆 盖 率 较 高 ； （ 详 细 说 明 ， 请 下 载 《 业 务 安 全 蓝 军 测 评 标 准 白 皮 书 》 P D F ） 2 、 二 次 验 证 手 机 号 可 对 羊 毛 党 造 成 成 本 提 升 ， 验 证 的 设 置 点 越 靠 近 整 个 “ 注 册 到 用 券 消 费 ” 流 程 的 最 终 点 “ 消 费 ” 部 分 ， 成 本 效 果 越 显 著 ； 3 、 验 证 等 策 略 设 置 点 越 靠 后 ， 打 击 效 果 越 好 ； 而 设 置 验 证 （ 或 其 他 封 禁 策 略 等 ） 越 靠 近 交 易 ， 羊 毛 党 的 消 耗 的 时 间 成 本 越 大 ， 同 时 越 容 易 反 应 不 及 造 成 账 号 损 耗 。 （ 详 细 说 明 ， 请 下 载 《 业 务 安 全 蓝 军 测 评 标 准 白 皮 书 》 P D F ） 4 、 限 制 支 付 账 号 关 联 的 平 台 账 号 个 数 ， 可 提 高 羊 毛 党 成 本 降 低 R O I ； 5 、 长 期 用 户 转 化 率 等 指 标 可 以 辅 助 判 断 策 略 的 效 果 一 般 活 动 后 平 台 会 统 计 用 户 转 化 率 等 数 据 ， 如 由 这 次 活 动 注 册 账 号 的 新 人 用 户 ， 三 个 月 内 消 费 超 过 三 笔 的 人 数 占 总 人 数 的 比 例 等 。 这 些 转 化 率 数 据 也 可 侧 面 评 估 策 略 组 的 有 效 程 度 — — 羊 毛 党 减 少 会 带 来 总 流 量 降 低 ， 但 基 本 不 影 响 转 化 为 长 期 用 户 的 人 数 。 转 化 率 和 羊 毛 攻 击 流 量 间 存 在 一 定 的 线 性 关 联 关 系 。 最 后 ： 关 于 第 一 篇 业 务 安 全 蓝 军 测 评 报 告 的 预 告 ~ 永 安 在 线 鬼 谷 实 验 室 会 用 2 个 月 的 时 间 ， 最 终 输 出 第 一 篇 基   于 该 标 准 的 测 评 报 告 ： 对 国 内 主 流 的 电 商 业 务 做 业 务 安 全 测 试 ， 包 含 目 标 业 务 的 独 立 测 试 和 行 业   横 向 评 比 测 试 ， 最 终 输 出 综 合 报 告 ， 计 划 在 3 月 2 3   日 发 布 。 报 告 下 载 地 址 ： 报 告 下 载 地 址 ： h t t p s : / / w w w . y a z x . c o m / l a n j u n . h t m l （ 点 击 底 部 阅 读 原 文 直 达 ） 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理