搜索

[27634] 2019-01-22_薅羊毛问题的分析及思考

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2019-01-22_薅羊毛问题的分析及思考 薅 " 羊 毛 " 问 题 的 分 析 及 思 考 原 创   O S R C   O P P O 安 全 应 急 响 应 中 心   2 0 1 9 - 0 1 - 2 2 收 录 于 话 题   # 不 断 学 习   不 断 成 长   , 1 8 个 1   引 言 引 言 1 . 1   何 为 薅 羊 毛 何 为 薅 羊 毛                 薅 羊 毛 ， 百 度 百 科 的 解 释 是 ， 新 兴 都 市 族 们 对 银 行 等 金 融 机 构 及 各 类 商 家 开 展 的 一 些 优 惠 活 动 产 生 了 浓 厚 兴 趣 ， 并 专 门 出 现 了 这 样 一 批 人 ， 搜 集 各 个 银 行 等 金 融 机 构 及 各 类 商 家 的 优 惠 信 息 ， 在 网 络 和 朋 友 圈 子 中 广 为 传 播 ， 这 种 行 为 被 称 作 薅 （ h ā o ） 羊 毛 。                 1 . 2   原 原 因 因 分 分 析 析                 薅 羊 毛 问 题 的 产 生 ， 其 直 接 原 因 可 能 就 是 一 个 动 作 ， 但 是 ， 究 其 根 源 必 定 是 一 系 列 问 题 导 致 的 。 在 对 事 件 进 行 分 析 前 ， 我 们 先 把 一 个 活 动 的 生 命 周 期 梳 理 下 ， 一 般 情 况 ， 一 个 活 动 包 括 需 求 分 析 、 产 品 设 计 、 代 码 实 现 、 功 能 测         ●   需 求 分 析 阶 段 ， 一 般 产 品 方 会 对 业 务 需 求 进 行 分 析 ， 安 全 方 会 对 其 安 全 需 求 进 行 分 析 ， 比 如 活 动 中 的 代 金 券 ， 它 的 一 系 列 领 取 、 使 用 策 略 都 必 须 分 析 清 楚 ；         ●   产 品 设 计 阶 段 ， 根 据 需 求 分 析 的 结 果 ， 产 品 经 理 将 进 行 产 品 功 能 、 实 现 上 的 设 计 ， 同 时 ， 安 全 的 需 求 分 析 结 果 也 需 要 在 这 里 体 现 ， 在 领 取 、 使 用 代 金 券 时 ， 在 设 计 层 面 就 必 须 限 制 一 些 条 件 ， 比 如 对 于         ●   代 码 实 现 阶 段 ， 任 何 设 计 的 落 地 都 是 需 要 在 代 码 层 实 现 ， 也 包 括 安 全 方 面 的 设 计 ， 对 于 活 动 的 核 心 功 能 代 码   和   重 要 的 安 全 功 能 代 码 必 须 进 行 C o d e   R e v i e w ；         ●   功 能 测 试 阶 段 ， 包 括 产 品 功 能 测 试 和 安 全 性 测 试 ， 安 全 方 面 的 测 试 包 括 源 代 码 审 计 的 白 盒 测 试   和   渗 透 测 试 的 黑 盒 测 试 ， 只 有 这 两 个 方 面 的 测 试 通 过 后 ， 活 动 才 可 以 上 线 ；         ●   上 线 发 布 阶 段 ： 上 线 发 布 是 活 动 上 线 的 最 后 一 个 阶 段 ， 产 品 、 测 试 、 运 营 、 安 全 都 必 须 强 介 入 ， 任 何 一 方 不 通 过 ， 活 动 就 不 能 发 布 ；         ●   活 动 运 营 阶 段 ： 活 动 上 线 后 ， 对 于 活 动 礼 物 的 流 向 以 及 流 量 监 控 ， 以 及 报 警 阈 值 ， 失 效 机 制 ， 熔 断 机 制 等 等 都 需 要 进 行 持 续 监 控 ， 一 旦 某 个 方 面 出 现 异 常 ， 可 以 立 即 告 警 ， 进 行 快 速 止 损 ；         ●   活 动 下 线 阶 段 ： 活 动 结 束 后 ， 需 要 对 活 动 的 相 关 数 据 进 行 统 计 、 分 析 ， 反 哺 到 风 控 、 策 略 平 台 ， 整 个 活 动 的 相 关 记 录 要 存 档 。                 通 过 对 活 动 的 生 命 周 期 分 析 ， 出 现 薅 羊 毛 事 件 很 有 可 能 在 上 面 的 某 几 个 阶 段 存 在 问 题 ， 所 以 ， 一 次 事 故 的 发 生 ， 不 仅 仅 是 大 家 看 到 的 表 面 原 因 ， 其 背 后 是 一 系 列 的 规 范 、 流 程 、 策 略 的 不 健 全 导 致 的 。 二 二 、 、 我 我 们 们 的 的 思 思 考 考                     对 于 薅 羊 毛 问 题 ， O P P O 互 联 网 安 全 结 合 内 部 实 践 进 行 了 深 刻 的 剖 析 ， 从 业 务 运 营 安 全 风 控 体 系 、 研 发 运 营 体 系 和 基 础 平 台 防 御 体 系 三 个 方 面 进 行 提 升 和 完 善 。 2 . 1   业 业 务 务 运 运 营 营 安 安 全 全 风 风 控 控 体 体 系 系 2 . 1 . 1   产 产 品 品 层 层                 产 品 功 能 设 计 对 于 运 营 活 动 安 全 非 常 重 要 ， 产 品 设 计 人 员 在 功 能 规 划 和 功 能 设 计 的 同 时 需 要 考 虑 安 全 的 因 素 ， 需 要 对 该 产 品 可 能 引 发 的 安 全 事 件 提 前 做 好 预 判 ， 重 点 抓 住 可 能 会 发 生 的 安 全 风 险 点 ， 做
                同 时 ， 在 一 些 高 风 险 点 的 地 方 可 以 考 虑 从 产 品 的 角 度 增 加 多 层 验 证 和 校 验 ， 以 防 止 单 层 验 证 的 失 效 或 被 绕 过 ， 导 致 之 前 预 定 义 的 所 有 安 全 策 略 失 效 ， 有 必 要 时 ， 甚 至 可 以 为 了 平 衡 安 全 问 题 而 折 中 一 下                 除 此 之 外 ， 为 了 保 证 产 品 功 能 的 合 理 性 ， 可 以 在 研 发 流 程 或 者 运 营 流 程 引 入 安 全 评 审 ， 对 于 产 品 功 能 进 行 安 全 性 的 评 审 ， 通 过 评 审 及 时 发 现 产 品 功 能 上 一 些 安 全 问 题 ， 所 以 ， 产 品 功 能 层 面 是 运 营 安 全 2 . 1 . 2   技 技 术 术 层 层                 所 有 运 营 活 动 都 应 该 具 备 技 术 上 的 业 务 安 全 风 控 对 抗 的 能 力 ， 通 过 增 加 大 数 据 、 机 器 学 习 、 风 控 模 型 、 实 时 / 离 线 计 算 等 技 术 手 段 来 保 障 运 营 活 动 的 安 全 运 行 ， 更 加 精 准 实 时 的 分 析 、 预 警 、 阻 断 黑 产 / 2 . 1 . 3   运 运 营 营 层 层                 运 营 活 动 应 该 具 备 明 确 的 运 营 活 动 的 管 理 制 度 、 规 范 和 运 营 策 略 ,   运 营 活 动 需 明 确 分 级 管 理 ， 在 涉 及 到 一 定 金 额 或 者 人 数 的 情 况 下 应 该 进 行 相 关 的 运 营 策 略 安 全 评 审 ， 也 可 以 要 求 全 部 运 营 活 动 都 需 要 2 . 2   研 研 发 发 运 运 营 营 体 体 系 系                 产 品 需 求 明 确 之 后 ， 就 要 进 入 开 发 及 上 线 流 程 ， 一 般 涉 及 到 开 发 、 测 试 、 发 布 、 变 更 、 监 控 等 环 节 。 2 . 2 . 1   开 开 发 发 环 环 节 节                 “ 漏 洞 都 是 写 出 来 的 ” ， 这 句 话 很 形 象 地 说 明 了 安 全 编 码 的 重 要 性 。 试 想 代 码 出 现 任 意 命 令 执 行 漏 洞 ， 能 够 直 接 拿 到 服 务 器 权 限 ， 再 完 美 的 产 品 安 全 设 计 方 案 也 是 徒 劳 的 ， 在 开 发 阶 段 可 以 通 过 以 下 方 式 制 定 安 全 编 码 规 范 ， 并 可 落 地 。 比 如 说 通 过 I D E 的 插 件 对 编 码 规 范 做 检 查 。 加 强 安 全 编 码 培 训 ， 并 考 核 。 安 全 编 码 培 训 是 要 持 续 进 行 的 ， 因 为 总 是 有 新 的 员 工 加 入 ， 培 训 完 一 定 要 考 核 ， 否 则 效 果 会 打 折 扣 。 进 行 源 代 码 安 全 扫 描 。 开 发 人 员 要 自 行 接 入 源 代 码 安 全 扫 描 系 统 ， 并 在 提 测 前 修 复 相 关 安 全 漏 洞 。 2 . 2 . 2   测 测 试 试 环 环 节 节         对 于 重 要 的 业 务 ， 除 了 进 行 常 规 的 功 能 测 试 之 外 ， 安 全 测 试 是 必 须 要 介 入 的 。 安 全 测 试 主 要 是 从 攻 击 方 角 度 审 视 产 品 的 安 全 性 ， 会 涉 及 到 几 方 面 ：         ●   业 务 功 能 各 种 用 例 测 试 和 回 归 测 试 必 须 严 格 执 行 到 位 。         ●   检 验 需 求 阶 段 制 定 的 产 品 安 全 机 制 的 有 效 性 。         ●   常 规 安 全 测 试 ， 如   R C E 、 S Q L 注 入 、 X S S 等 。         ●   进 行 业 务 安 全 测 试 ， 如 是 否 可 以 绕 过 限 制 抽 奖 领 券 、 是 否 存 在 大 规 模 薅 羊 毛 风 险 等 。         ●   测 试 环 境 和 运 营 环 境 的 规 范 化 问 题 ， 避 免 测 试 环 境 参 数 引 入 到 生 产 环 境 导 致 安 全 事 件 。 2 . 2 . 3   发 发 布 布 环 环 节 节                 代 码 或 配 置 最 终 在 运 营 网 络 生 效 ， 需 要 发 布 到 线 上 运 营 环 境 ， 发 布 需 要 规 范 化 和 标 准 化 ， 通 常 遵 循 以 下 原 则 ：         ●   发 布 业 务 到 运 营 环 境 生 产 系 统 需 要 具 备 授 权 和 审 核 ， 特 别 是 核 心 业 务 和 重 大 运 营 活 动 。         ●   开 发 人 员 修 改 运 营 环 境 上 的 生 产 系 统 业 务 代 码 和 配 置 需 要 具 备 授 权 和 审 核 。         ●   运 营 环 境 生 产 系 统 不 能 进 行 业 务 测 试 。         ●   明 确 业 务 发 布 审 核 机 制 ， 明 确 哪 些 业 务 必 须 强 审 核 发 布 及 相 应 审 批 角 色 。 2 . 2 . 4   变 变 更 更 环 环 节 节                 变 更 可 能 会 涉 及 到 两 个 方 面 ， 一 是 代 码 的 变 更 ， 二 是 运 营 参 数 的 配 置 变 更 。 代 码 的 变 更 可 以 参 考 发 布 流 程 的 原 则 ； 运 营 参 数 的 变 更 可 能 会 涉 及 到 安 全 的 重 新 评 估 ， 如 活 动 领 券 的 数 量 、 金 额 变 更 等 ， 就 2 . 2 . 5   监 监 控 控 环 环 节 节                 安 全 是 个 动 态 的 过 程 ， 流 程 是 否 规 范 、 安 全 措 施 是 否 足 够 等 都 需 要 进 行 持 续 的 监 控 才 能 够 得 以 保 证 。 比 如 需 要 监 控 发 布 、 变 更 流 程 是 否 有 异 常 ， 活 动 领 券 接 口 是 否 被 刷 等 ， 监 控 到 异 常 之 后 ， 还 需 要 有 2 . 3   基 基 础 础 平 平 台 台 防 防 御 御 体 体 系 系                 前 面 介 绍 了 很 多 产 品 、 技 术 和 运 营 阶 段 的 安 全 风 控 策 略 ， 以 及 研 发 运 营 体 系 的 规 划 化 ， 接 下 来 就 是 基 础 平 台 的 防 御 体 系 ， 承 载 着 业 务 基 础 平 台 （ I D C 、 网 络 、 服 务 器 、 数 据 库 、 中 间 件 ） 应 该 得 到 立 体                 总 结 ， 通 过 各 个 层 面 的 管 理 手 段 和 技 术 手 段 保 证 运 营 活 动 的 安 全 ， 三 分 技 术 、 七 分 管 理 ； 运 营 活 动 安 全 是 一 个 立 体 工 程 ， 技 术 、 产 品 和 运 营 需 要 整 体 作 战 立 体 对 抗 。

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理