搜索

[10730] 2016-11-18_浅谈如何利用ip数据来辅助风控和安全系统岂安低调分享

文档创建者：s7ckTeam
浏览次数：22
最后更新：2025-01-18
2016-11-18_浅谈如何利用ip数据来辅助风控和安全系统岂安低调分享 干 货 观 点 案 例 资 讯 我 们 浅 谈 如 何 利 用 i p 数 据 来 辅 助 风 控 和 安 全 系 统   |   岂 安 低 调 分 享 F r e e B u f   2 0 1 6 - 1 1 - 1 8 以 下 文 章 来 源 于 b i g s e c 岂 安 科 技   ， 作 者 陆 文 互 联 网 时 代 ， i p 一 直 在 网 络 安 全 和 风 险 控 制 领 域 占 据 着 最 为 重 要 的 地 位 ， 主 要 是 出 于 以 下 因 素 ： 1 .   所 有 的 网 络 请 求 都 会 带 有 i p 信 息 ， 因 此 其 天 然 的 成 为 访 问 者 的 身 份 标 识 。 2 .   由 于 i p 的 管 理 和 分 配 比 较 严 格 ， 很 难 造 假 。 虽 然 会 有 代 理 、 肉 鸡 等 掩 藏 踪 迹 的 手 法 。 但 绝 大 部 分 情 况 下 ， i p 数 据 的 真 伪 是 可 以 信 得 过 的 。 3 .   由 于 i p 属 于 网 络 层 ， 可 以 轻 松 的 对 其 进 行 阻 断 。 现 有 的 各 种 网 络 安 全 、 负 载 均 衡 的 设 备 和 软 件 ， 都 是 以 i p 为 对 象 进 行 追 踪 和 管 理 的 。 因 此 ， 常 见 的 攻 击 防 范 和 风 险 控 制 都 会 利 用 I P 来 作 为 用 户 的 身 份 标 识 ， 来 进 行 分 析 和 处 理 ： I P 常 见 分 析 方 法 I P 客 观 属 性 客 观 属 性 目 前 的 I P 分 配 都 由 专 门 的 机 构 或 官 方 来 统 一 分 配 和 管 理 ， 所 以 有 很 多 客 观 上 比 较 准 确 的 属 性 可 供 参 考 ： 1 .   1 .   归 属 地 。 目 前 每 个 i p 的 归 属 地 在 较 短 的 时 间 内 都 会 保 持 固 定 ， 可 以 用 来 判 断 请 求 来 源 的 大 概 位 置 a .   归 属 地 数 据 目 前 有 免 费 和 商 业 的 服 务 ， 也 可 以 参 考 这 个 玩 具 例 子 （ 简 易 构 建 适 合 风 控 系 统 的 简 易 构 建 适 合 风 控 系 统 的 i p 库 库 ） ， 搭 建 自 己 的 i p 库 b .   归 属 地 的 变 更 相 对 来 说 更 频 繁 ， 在 数 据 源 的 选 取 上 需 要 找 更 新 b i g s e c 岂 安 科 技 岂 安 科 技   . 岂 安 科 技 (   b i g s e c . c o m   )   ， 专 注 于 互 联 网 业 务 风 险 控 制
较 频 繁 的 c .   现 在 3 / 4 G 的 移 动 出 口 会 带 来 混 淆 ， 手 机 上 网 的 i p 可 能 只 能 反 映 手 机 卡 归 属 地 ， 所 以 要 小 心 这 一 部 分 数 据 2 .   所 属 机 构 。 大 型 组 织 机 构 申 请 的 固 定 i p 都 需 要 绑 定 信 息 ， 可 以 从 A S N 数 据 获 取 一 些 端 倪 。 例 如 我 们 可 以 借 此 判 断 I P 是 否 属 于 公 有 云 平 台 、 教 育 网 3 .   绑 定 域 名 。 通 过 D N S 可 以 查 询 到 域 名 相 关 的 i p ， 同 样 ， 部 分 i p 可 以 反 查 出 相 关 联 的 域 名 a .   一 个 典 型 的 应 用 是 通 过 i p 将 大 型 搜 索 引 擎 的 i p 查 出 ， 防 止 误 杀 。 不 过 只 适 用 于 g o o g l e 、 b i n g 、 百 度 这 样 的 大 型 搜 索 引 擎 ， 才 能 反 查 出 域 名 ， 国 内 其 他 的 搜 索 引 擎 还 不 行 4 .   其 他 。 还 有 一 些 其 他 属 性 ， 例 如 是 否 属 于 手 机 基 站 等 ， 可 以 通 过 其 他 手 段 来 获 取 。 （ 点 击 图 片 查 看 原 图 ） 这 里 是 一 个 例 子 ， 我 们 通 过 系 统 分 析 发 现 了 一 个 可 疑 i p ， 这 里 面 i p 的 归 属 地 、 v p s 信 息 、 公 有 云 平 台 信 息 都 是 i p 的 客 观 属 性 ， 可 以 辅 助 我 们 做 决 策 。 事 实 上 ， 目 前 看 来 大 部 分 的 普 通 攻 击 行 为 来 自 于 云 服 务 器 ， 从 直 觉 上 来 说 ， 普 通 用 户 也 不 应 该 通 过 公 有 云 平 台 来 访 问 网 站 。 所 以 有 时 候 ， 如 果 发 现 客 户 i p 是 公 有 云 平 台 的 ， 可 以 直 接 将 此 请 求 置 为 高 危 。 I P 主 动 探 测 属 性 主 动 探 测 属 性 i p 除 了 一 些 客 观 属 性 ， 还 可 以 通 过 主 动 探 测 来 作 进 一 步 了 解 ： 是 否 是 邮 件 服 务 器 是 否 是 w e b 服 务 器 是 否 是 v p n 服 务 器
是 否 是 代 理 服 务 器 这 里 可 以 通 过 包 括 端 口 扫 描 在 内 的 一 系 列 主 动 探 测 、 尝 试 技 术 来 获 取 信 息 ， 来 辅 助 判 断 ： 对 于 普 通 个 人 用 户 或 者 是 出 口 i p 而 言 ， 不 会 有 相 应 的 服 务 与 i p 绑 定 ； 否 则 ， 极 大 概 率 是 机 器 行 为 。 目 前 互 联 网 上 的 流 量 ， 有 很 大 一 部 分 是 机 器 行 为 ， 所 以 这 块 信 息 在 人 机 判 断 上 可 以 起 到 很 大 的 作 用 。 不 过 现 在 有 一 些 例 外 ， 有 一 些 流 氓 的 家 用 路 由 器 可 能 会 开 通 一 些 端 口 和 服 务 ， 不 过 这 一 类 用 户 本 身 就 属 于 高 风 险 来 源 。 I P 行 为 行 为 i p 的 属 性 准 确 性 是 比 较 高 的 ， 但 并 不 能 覆 盖 所 有 场 景 ， 所 以 有 时 候 还 需 要 根 据 i p 的 相 关 行 为 作 出 判 断 ： 1 .   该 i p 的 请 求 是 否 有 注 入 、 撞 库 、 d d o s 、 漏 洞 扫 描 等 网 络 攻 击 行 为 。 2 .   该 i p 的 用 户 是 否 有 刷 单 、 恶 意 欺 诈 、 薅 羊 毛 等 风 控 相 关 的 的 行 为 。 3 .   i p 和 用 户 名 、 设 备 指 纹 等 的 关 联 信 息 。 如 果 发 现 某 个 用 户 、 设 备 上 有 非 常 多 的 用 户 ， 极 大 的 概 率 可 以 将 此 用 户 和 设 备 拉 黑 ； 反 过 来 ， 当 某 个 i p 出 现 了 大 量 的 用 户 或 设 备 ， 也 是 风 险 提 示 ， 不 过 要 排 除 组 织 出 口 等 属 性 的 影 响 。 上 图 显 示 出 某 个 i p 上 的 用 户 行 为 ， 可 以 看 出 在 有 规 律 的 切 换 账 号 进 行 操 作 ， 这 样 就 把 松 散 的 攻 击 ， 以 I P 为 纽 带 联 系 起 来 ， 方 便 识 别 。 4 .   i p 的 归 属 地 特 性 也 可 以 与 用 户 行 为 结 合 起 来 。 常 见 的 分 析 方 法 包 括 识 别 用 户 常 用 i p ， 以 及 用 户 是 否 短 时 间 内 发 生 了 较 大 的 地 理 偏 移 （ 通 过 比 较 使 用 的 不 同 i p 的 归 属 地 ） 。 5 .   更 复 杂 的 分 析 包 括 利 用 i p 、 用 户 、 设 备 之 间 两 两 关 联 的 信 息 可 以 勾 画
出 网 站 内 用 户 之 间 的 关 联 网 络 、 以 及 用 户 间 的 资 金 流 向 ， 这 在 反 洗 钱 、 复 杂 欺 诈 行 为 识 别 等 方 面 具 有 显 著 效 果 。 I P 历 史 行 为 辅 助 历 史 行 为 辅 助 通 过 对 自 身 网 站 用 户 行 为 的 分 析 ， 可 以 找 出 绝 大 部 分 的 有 害 访 问 ， 但 还 是 有 以 下 缺 点 ： 1 .   除 了 少 数 巨 头 ， 大 部 分 网 站 自 身 的 数 据 体 量 小 ， 不 足 以 作 完 善 的 分 析 2 .   需 要 较 大 的 技 术 和 资 源 投 入 ， 普 通 公 司 无 法 承 担 3 .   比 较 偏 向 于 事 中 和 事 后 ， 很 难 做 到 事 前 的 预 防 目 前 ， 还 有 一 种 方 式 是 借 助 于 互 联 网 上 的 一 些 黑 白 名 单 来 弥 补 这 方 面 的 不 足 ， 这 些 黑 白 名 单 来 源 于 他 人 网 站 上 i p 的 历 史 行 为 。 但 这 种 方 式 有 一 些 缺 陷 ： 1 .   相 对 来 说 ， 风 险 行 为 跟 时 间 和 场 景 密 切 相 关 ， 所 以 他 人 的 黑 名 单 不 见 得 对 所 有 人 合 适 ， 即 使 这 个 “ 他 人 ” 是 巨 头 2 .   目 前 互 联 网 上 的 信 息 泛 滥 ， 这 些 黑 白 名 单 是 否 值 得 信 赖 ？ 3 .   大 量 的 i p 与 使 用 者 之 间 没 有 强 绑 定 ， 另 外 ， 后 一 节 将 会 提 到 i p 在 身 份 识 别 的 作 用 上 已 经 逐 渐 力 不 从 心 我 们 自 身 也 有 提 供 上 述 信 息 的 数 据 服 务 ， 但 在 历 史 行 为 这 一 块 还 是 采 取 较 保 守 的 策 略 ： 历 史 行 为 相 关 的 数 据 采 用 较 短 的 过 期 设 置 ， 来 应 对 i p 被 轮 换 出 去 的 情 况 数 据 来 源 方 面 ， 采 取 信 任 的 来 源 。 一 种 是 自 己 去 部 署 的 蜜 罐 分 析 出 来 的 结 果 ； 另 一 块 是 我 们 有 标 准 化 的 大 数 据 分 析 平 台 和 策 略 ， 通 过 合 作 客 户 的 黑 名 单 数 据 交 换 来 扩 充 自 身 数 据 库 不 过 即 使 是 这 样 ， 还 是 需 要 用 户 有 正 确 的 使 用 姿 势 ， 不 要 纯 粹 当 成 黑 白 名 单 来 使 用 ， 更 多 的 是 作 为 自 身 数 据 分 析 的 补 充 。 I P 的 颓 势
需 要 指 出 的 是 ， 从 最 近 几 年 开 始 ， I P 在 作 为 用 户 标 识 的 作 用 日 渐 削 弱 ， 从 而 极 大 的 影 响 到 了 其 在 安 全 防 范 和 风 险 控 制 方 面 的 有 效 性 ： 1 .   I P v 6   已 经 不 是 新 话 题 ， 虽 然 进 程 非 常 缓 慢 ， 但 趋 势 无 法 逆 转 ； I P v 6 的 场 景 下 ， i p 唯 一 性 会 难 以 保 证 。 好 在 现 在 I P v 6 的 普 及 率 都 很 低 ， 不 管 是 用 户 还 是 网 站 。 2 .   目 前 ， 国 内 大 部 分 用 户 是 没 有 独 立 i p 的 ， 基 本 上 是 在 公 司 、 学 校 、 网 吧 等 地 方 上 网 ， 大 家 共 享 出 口 i p 。 以 教 育 网 为 例 ， 它 共 有 7 6 0 0 0 +   C 类 地 址 ， 虽 然 已 经 是 比 较 多 的 资 源 ， 但 还 是 不 能 完 全 覆 盖 它 内 部 整 个 网 络 ， 会 有 很 多 学 校 只 能 分 配 到 少 数 资 源 ， 导 致 大 量 的 学 生 都 共 享 同 一 个 公 网 i p ， 有 一 个 调 皮 了 就 会 影 响 到 一 群 人 。 对 这 类 i p ， 需 要 非 常 小 心 。 3 .   近 几 年 移 动 化 浪 潮 下 ， 共 享 i p 的 问 题 尤 其 突 出 。 现 在 大 部 分 网 络 访 问 来 自 移 动 设 备 ， 要 么 是 w i f i 地 址 ， 要 么 是 3 / 4 G 出 口 。 如 果 是 后 者 ， 同 一 i p 下 的 设 备 数 量 会 非 常 惊 人 ， 贸 然 采 取 行 动 的 话 会 死 的 很 惨 。 移 动 时 代 ， i p 的 作 用 已 经 大 为 减 弱 。 4 .   即 使 是 独 立 i p ， 也 很 难 对 其 采 取 长 时 间 的 措 施 。 a .   一 种 独 立 i p 是 电 信 买 的 固 定 i p ， 但 这 种 成 本 高 昂 ， 拿 来 做 坏 事 是 得 不 偿 失 的 ； b .   一 种 是 最 普 遍 的 a d s l 拨 号 ， 这 种 每 个 人 分 配 到 的 都 是 临 时 i p ， 会 很 快 被 换 到 其 他 人 手 上 。 目 前 很 多 高 级 的 爬 虫 会 采 用 这 种 形 式 （ 甚 至 有 专 门 的 拨 号 云 主 机 出 售 ） ， 当 被 攻 击 对 象 进 行 封 禁 时 候 ， 只 要 重 新 拨 号 就 可 以 获 取 新 的 i p ， 继 续 攻 击 行 为 ； 同 时 网 站 还 不 敢 对 这 种 i p 进 行 长 时 间 封 禁 ， 因 为 这 些 i p 可 能 很 快 会 被 分 配 给 普 通 用 户 使 用 ， 从 而 影 响 到 普 通 用 户 的 使 用 体 验 。 对 于 这 种 攻 击 ， 只 能 是 实 时 行 为 分 析 并 阻 断 + 短 时 间 封 禁 来 应 对 ， 对 数 据 分 析 能 力 和 网 站 技 术 框 架 带 来 很 大 的 考 验 。 i p 的 上 述 特 性 ， 使 得 使 用 者 需 要 采 取 更 加 专 业 和 谨 慎 的 姿 势 。
I P 的 正 确 使 用 姿 势 在 我 们 和 客 户 的 合 作 过 程 中 ， 整 理 了 一 些 对 i p 信 息 在 安 全 防 范 和 风 险 控 制 场 景 下 的 建 议 ： 1 .   把 i p 信 息 单 纯 的 作 为 黑 白 名 单 会 带 来 一 定 的 误 杀 率 ， 不 小 心 的 话 会 带 来 比 较 严 重 的 结 果 ， 需 要 一 种 合 理 的 方 式 ， 并 结 合 自 身 的 情 况 来 处 理 。 2 .   但 是 我 们 也 发 现 ， 很 多 用 户 在 分 析 过 程 中 ， 过 多 的 偏 重 于 手 机 号 等 特 性 ， 忽 视 了 i p 的 作 用 ， 这 个 其 实 损 失 了 大 量 的 风 险 信 息 ， 也 会 对 误 杀 率 （ 基 站 数 据 、 教 育 网 、 组 织 出 口 数 据 等 信 息 作 白 名 单 ） 和 覆 盖 率 （ 服 务 器 、 公 有 云 平 台 、 搜 索 引 擎 等 信 息 辅 助 ） 带 来 影 响 。 3 .   对 于 所 有 的 用 户 来 说 ， 都 需 要 很 好 的 利 用 i p 的 固 有 属 性 ， 无 论 是 客 观 的 还 是 主 动 探 测 的 。 这 些 属 性 分 别 在 白 名 单 和 黑 名 单 方 面 都 有 比 较 明 显 的 贡 献 ， 如 果 自 身 有 风 控 系 统 ， 应 该 将 这 些 信 息 补 充 到 自 己 的 模 型 或 策 略 中 ， 可 以 起 到 明 显 的 增 强 效 果 。 4 .   对 于 i p 历 史 行 为 （ 常 见 的 黑 白 名 单 ） 的 数 据 来 说 ， 要 挑 选 数 据 源 ， 误 杀 率 重 于 覆 盖 率 。 而 如 果 有 自 身 的 风 控 系 统 ， 两 相 印 证 才 是 最 合 理 的 使 用 方 法 。 作 者 其 它 文 章 ： 作 者 其 它 文 章 ： 浅 谈 如 何 建 立 互 联 网 风 控 系 统   十 分 钟 解 决 爬 虫 问 题 ！ 超 轻 量 级 反 爬 虫 方 案 b a b e l :   y e t   a n o t h e r   r p c ,   b u t   f a r   b e y o n d   r p c  
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理