<mark id="oztn4"></mark>
1
雷鋒網編者按：每年的“雙11”不僅是各大電商平臺最重要的節日，也是各路黑產從業者賺錢的“好時機”。羊毛黨、黃牛黨、盜號黨、欺詐黨等輪番上陣，手段五花八門，攻擊方式更是層出不窮。
就在大家熬著夜、盯在電腦前等著搶各類優惠券和“秒殺”商品時，黑產從業者也深諳“有需求就有市場”的道理，組織擼貨大軍在“雙11”這一天瘋狂匯聚，搶券秒貨。據“一本財經”報道，一張減30的券，能賣到8塊，有人在“雙11”活動中可以賺到20萬，真是薅上一天，夠吃一年！
在這條“薅羊毛”的產業鏈中，有提供各家電商賬號的卡商，有開發“搶貨軟件”的黑客，還有各大 QQ群中指揮千萬“羊毛黨”的“羊頭”……在各路人馬的分工協作下，商家的“返利”“促銷”，被黑產分食殆盡。
那么，這些黑產的現狀和新的發展趨勢有哪些？如何通過技術手段對其進行防范？
11 月 9 日，雷鋒網宅客頻道（微信ID : letshome）邀請了頂象技術風控產品技術負責人張曉科，他通過列舉那些被“薅羊毛”的實例，來為大家講解在營銷推廣時該如何防范羊毛黨。
張曉科是頂象技術的風控產品技術負責人，資深的業務安全專家。此前服務于阿里巴巴，長期專注業務安全防控、高并發、高性能的架構設計和研究，在阿里安全從事過交易欺詐、惡意行為、活動反作弊和旺旺安全，還有案件庫等安全防控業務，擁有比較豐富的業務安全實踐經驗和互聯網高性能架構經驗。2017 年 4 月底加入頂象，主要負責業務安全產品的技術研究。
若想獲得此次公開課完整 PPT，請關注微信公眾號宅客頻道（微信ID：letshome），回復“防羊毛黨 ”。
今天主要分享的內容是以下四點：
第一點，薅羊毛的一些案例、危害。
第二點，薅羊毛的形勢、趨勢和一些產業鏈。
第三點，營銷廣時該如何防范羊毛黨。
第四點，針對羊毛黨，怎么做到多方面的防控。
案例一，返還雙倍的天貓積分的生日禮包（針對電商）。
在 2015 年的“雙11”，黑客利用 6 家店鋪，冒充 10 萬多個天貓商城會員，通過虛假刷單了 14 億，獲取了 7億多積分，總共騙取天貓 671 億萬元。
黑客主要是利用了天貓積分規則的一些漏洞，規則是會員在生日當天購買商品，天貓會送消費者雙倍的購物積分，除了購物積分外還享有同等數額的生日積分，如果發生退款、退貨，消費者只需要返還購物的這部分積分，天貓贈送的生日積分仍然保留在消費者的賬號里。
舉個例子，假如我花 5000 塊錢買了一個電子產品，除了贈送我 5000 外，天貓商城還會額外贈送我 5000 的生日積分，然后我退貨，商家也確認退款，我只需要把 5000 的購物積分返還給天貓，生日積分依然留在我的賬號里。
黑客首先購買一些自動化工具和大量的賬號，通過工具激活這些賬號，并把大量賬號的生日都更改成符合活動的日期，然后他在自己的店鋪里放置多個虛擬商品，有低額、高額的，通過自動化工具拍下一些高額的商品，從而獲取購物積分和額外的生日積分，再自動退款，把購物積分返還給天貓，這樣他就額外獲取了生日積分。最后用生日積分來購買自家的虛擬商品進行套現。
案例二，ofo推出小黃車搶現金紅包活動（針對共享行業）
今年 4 月份，ofo 劃定了一個紅包車區域，在這個區域里隨便打開一輛小黃車，騎行 10 分鐘以上并超過 500米，就能獲得一個隨機紅包，金額最低一兩塊，最高五千塊。
黑客通過手機模擬器，并安裝一些虛擬的定位軟件，把自己的 GPS 位置定位到紅包區域里，然后打開ofo軟件，輸入ofo單車的一些編號，等待 10 分鐘，再把自己的 GPS 位置定位在 500 米之外，這樣結束用車就可以得到騎行的紅包。
羊毛黨或專業殺手利用這些模擬器可以同時登錄幾個、幾十個，或者更多的賬號來刷紅包，這樣就做到足不出戶，日薅千元。
案例三，壹文財富被曝逾期。
在去年 5 月 27 號的時候，壹文財富發布公告稱，平臺遭遇了不法人員冒用其他人員的信息進行注冊投資，法務部門已經凍結了投資金額在 540-800 元一些賬戶的賬號，要求手持身份證和提現銀行卡的賬戶進行實名認證。
它這個公告一推出，好多羊毛黨出現反彈，在一些論壇上發一些帖子，一些投資者看到也會產生一些恐慌情緒，隨后壹文財富就遭遇了擠對，導致它后期到期的投資資金回款遭遇延期兌付，形成連鎖反應。
其實，它的背后根本原因是，它在拉新的時候產生了大量的羊毛黨賬號，而且這些資金投資期限很短，基本上對它活動資金上帶來了壓力，特別是在新興的一些中小網貸，都會采取這種做法，在快速獲客和吸納資金方面推廣一些活動，通過和廣告商和其它的第三方平臺，甚至還直接和羊毛黨的團長（羊頭） 進行一些合作，談一些推廣的提成。
這些團長（羊頭）通過 QQ 群或者其它在線群發布一些任務，里面的羊毛黨就會進行投資、注冊，羊毛黨完成注冊后拿著截圖來給團長看，會直接返現他一部分推廣的資金，同時這個羊毛黨投資的錢也可以拿到一些利息，包括后期一些投資的紅包。這就完成了整個的接單、注冊投資、交單返現，這就是薅羊毛的過程。
羊毛黨的危害
通過上面這三個案例，我們可以很直觀地感覺到羊毛黨的危害。
1、運營成本高，推廣費用在短時間都被羊毛黨薅干，導致資損。
2、本來推廣的費用是給正常用戶的一些福利，結果被羊毛黨薅走，影響正常用戶的體驗和一些網站活動的口碑。
3、對服務器帶來一定的壓力，嚴重的話會導致服務器宕機，影響活動的正常進行。
前段時間就有一家 P2P 的公司，活動剛開始就導致了羊毛黨集中過來薅羊毛，結果導致它的服務器直接宕機，活動3個小時內甚至一段時間內，基本上都是直接關閉、停止活動了。
4、對網站平臺，羊毛黨的資金，復投率比較低，他通過短期的投資拿到一些紅包、投資券返現之后，基本上就直接兌付、走人，換其它平臺繼續。所以，到期有幾種兌付的風險。像有一些網站平臺都會受到這些資金的影響，導致自己跑路。
羊毛黨的形式
最初是線下會出現一些優惠活動，限時優惠、滿減折扣，還有一些成團的團購，最初羊毛黨在這個范圍的時候還比較小。
后面，就演變成線上線下同時進行，只不過最初線下可能會多一些。隨著電商的發展，在線上也會有各種活動，比如拉新、注冊新用戶紅包，或者是邀請好友返現，每個好友邀請一個得多少的現金紅包，還有優惠券、滿減券、點券，這是電商時代。
到14年左右開始，隨著 P2P 的出現，又出現了新形式的薅羊毛，也是通過拉新和募集資金邀請新用戶，有投資體驗金、邀請用戶的一些返現。互金這一塊兒主要是拉新、引流、募集資金。
羊毛黨的趨勢
1、初期是小作坊。
一個人有多個賬號，邀請親朋好友可以拿到一些返現紅包、邀請紅包。這個在電商時代比較典型，也是商家愿意看到的一些正常引流方式。
2、包工頭。
一個稍具有規模的羊毛黨的團體，接到單，對某個店鋪進行交易量的刷單，還有一些廣告任務。這個規模主要是以學生、家庭主婦為主，擼個小錢，最典型的可能就是一些注冊賬號，綁定一些身份證賬號或者是銀行卡號，還有是做一些人臉認證，還包括一些下單的刷單交易、點擊廣告。
其實，在這一塊兒有比較多的欺詐產生。之前經常會看到新聞，學生被騙，或者是某某被騙，主要也是在這里，他刷單自己投入資金，前期他投資會給他一定的返現，隨著后面投的錢多，就會被騙，會遇到直接拿著錢跑路的情況。
3、專業刷手。
這個團體已經是比較專業的了，基本上已經形成了上下游完整的產業鏈。
像專業刷手，是一個團隊，可以直接對活動進行狂擼、狂薅，月入萬元是很輕松的，甚至是更多。這個比較典型的場景就像 O2O、電商，還有在共享、互聯網、互金等。在互聯網業務全面開花，規模也成型了。
14年之后，開始出現針對互金的羊毛黨。
主要就是有一些內部平臺，因為內部人員也想拉新、募集資金，可能就和羊毛團的團長直接談判，談判一些拉新的返現，還有一些能力不強的團長（羊頭），可能還有一些上級的代理，這個代理可能是一些廣告公司或者第三方平臺。
隨著政策的收緊，包括網站平臺的跑路，羊毛黨也有風險的，所以這一塊兒相對比 14、15年，15 年是羊毛黨發展最好的，現在羊毛黨也有一些風險。
剛才我們講到，專業刷子有已成型的產業鏈。
產業鏈，主要是各種活動信息的共享，還有薅羊毛經驗的交流。網上有好多社區、論壇、QQ 群，群里會有羊頭，他從平臺內部或者上級代理拿一些任務，進行任務分發。
職業刷手也會在論壇或群里發一些作案的手法還有教程出售，由黑客來尋找漏洞，制作一些軟件和工具。比如批量注冊的軟件、刷單的軟件、IP 的代理、各種模擬器、群控軟件等。
有了這些工具之后，職業的刷手還需要一些賬號，賬號有卡商和專門出售賬號的團伙，卡商基本上會從運營商內部或者代理處拿一些卡，有專業的設備來養卡。
賬號基本上從地下施工庫，還有一些黑客進行一些脫庫、撞庫包括一些木馬來采集的一些用戶的隱私信息。
還有一些釣魚網站，當然還有一部分就是內鬼泄漏一些我們的用戶隱私信息。比如，大家之前經常接到一些廣告電話，包括從房產中介、甚至是物業都會泄露一些用戶信息。還有一些批量的注冊軟件注冊一些賬號。
這些賬號也分等級，不同等級的賬號賣的價格不一樣，有些最初的賬號可能信息有限，還有一批賬號可能綁定了一些身份證、銀行卡，這個賬號可能質量稍微高一些，賣的價錢貴一些。也專門有團伙來進行賬號的清洗，還有對賬號進行養白，養白就是這些白賬號可以正常地參加活動或其它的交易。
接碼平臺，主要就是有工具、賬號之后，注冊的時候我們一般都會收到短信驗證或者是用圖文驗證、或者是語音說幾句話，這個有專業的接碼平臺，我們發的這些信息直接就通過卡上的號碼，直接被電腦提取到一個軟件上，這個軟件后面就有一些人工進行讀碼，讀取到我這個短信是多少，然后再返回給前端的軟件。
最后面的就是一些套現和協助銷贓，比如說我們在某一次活動搞的一些充值卡、優惠卡，這個銷贓的時候會折扣收買給代理商、店鋪，比如說充值卡，充值卡搶到的是多少面額的，可能折扣賣給商家，商家再以一定的折扣再賣給用戶，中間就會賺取一些差價。
還有一些實物的二手市場的一些轉賣，這個是信息共享的一些論壇和 QQ 群，基本上各種活動信息，包括一些網盤上的工具，還有一些 QQ 群，基本上都是信息的共享和任務的分發。
這個是接碼平臺，接碼平臺上面也有好些像針對不同網站的項目，可能每接受一次驗證碼的價格也不一樣，基本上都在幾毛錢左右。
群控軟件，大家可以看一下上面左側的這張圖，這個是主控設備，右側和下側基本上就是一些被控的設備，基本上通過主空設備做操作，就能同步到所有的設備上，通過這個就可以登錄多個賬號進行一些操作。
最開始的就是弱防護，弱防護基本像專業殺手或者是黑灰產就通過模擬器，基本上就可以達到集中式的一些方位，或者做一些薅羊毛的事情。
隨著弱防護加上了，我們基本上能知道的一些基礎手段，比如說設備識別，識別 IMEI 號或者是其它一些信息甄別這個設備。這個也有針對性地出現了一些設備牧場，設備牧場的這種攻擊，基本上在一部分上就繞過了你對真機的檢測，因為他這塊兒放的就是真機。
驗證（電話驗證），電話驗證我們就會上下形成一些短信，包括一些語音驗證，這是攻的手段，防的手段也有專業的設備，比如說貓池，卡商就會把一些卡放到貓池的設備上，可以簡單理解成虛擬的手機，手機設備可以插多張卡，他這個設備連接到電腦，就可以直接讀取上行的短信，并且他下行發短信。
后期的一些防范手段又出現了各種驗證碼，像圖文的、文字、問答式的，包括現在出現了一些滑動的行為式的，還有點擊式的。攻的手段也有打碼平臺，后臺是人工打碼，就是人工來識別驗證碼。所以，攻防對抗是不斷在持續演進。
除了產業鏈這些攻防對抗的手段，我們還需要做哪些？
1、端上做保護。
比如說針對一些批量刷接口的情況，可以做一些接口協議上的保護，還有業務邏輯上的一些防護，比如一些活動的一些邏輯防護（推理的一些算法，或函數之類的）。
2、完善產品邏輯。
比如剛才的薅樣毛案例一，天貓商城的生日積分，它就是業務規則上有漏洞，包括有些產品邏輯上也有漏洞，比如限制這個活動只能參加一次，或者一天只能參加幾次，這個是業務上的漏洞。還有開發代碼上有一些漏洞，實際上也是邏輯上的遺漏。
3、防撞庫和脫庫、用戶的信息保護。
主要是進行一些弱密檢測，還有泄露的一些賬號，包括黑灰產拿賬號進行撞庫清洗，這塊兒也要做一些防護。
我們前兩年經常會看到某些大型網站，被黑客脫庫，所以這塊兒我們在數據安全上也要做一些保護，包括像密碼類一些敏感數據的加密，不能原文來進行存儲，這樣的話即使被撞庫了，他拿到真實密碼的成本也會高一些。
我就結合一些實際的經驗，主要從活動前、活動中、活動后，列了一些方案。
活動前。我們一定要對活動的方案進行全面檢查，并且找專業的安全人員來進行一些 review。
1、完善業務邏輯。比如領取現金紅包，可以限制一天領取的次數，包括整個活動期間的領取次數，還有金額的限制。
2、設置活動門檻。比如說，我們這次活動針對的新用戶的，限定是綁定手機或者是綁定身份證號的才能參與；規則上也要設置，比如同手機或者同設備只能參加一次；權益額度的設置，比如有 5 元、10 元、1 元的。最后，還有一個活動解釋權，一旦我們發現有一些可疑的賬號，我們可以對它做一些處理。
3、端上做些安全防控。剛才也講到了，大家經常會忽視掉端上的，以為端上做一些加固就可以達到一定的安全水平，其實這只是心理上的一些安慰。現在比較專業的黑灰產對于一般的加固很難做防護了，現在基本上看黑灰產做一些批量注冊、刷活動也好，他基本上都繞過了這個安全，通過直接解析你的協議來進行一些刷接口。
我今天也看到了一篇文章，像 ofo 的鎖通過藍牙和手機服務端進行通信，驗證之后獲取一把鎖的鑰匙，通過藍牙傳給鎖的硬件，就可以達到開鎖。其實，它這個藍牙的協議就被破解了，所以它在這種協議保護上肯定做得不夠。
4、業務應用一定要增加風險識別能力。我們對正常的用戶請求能識別出他的請求是正常的還是可疑的，或者就是異常有問題的，我們可以實時對這個活動做一些相響應。
活動中。主要還是對活動權益的消耗速度做一些監控。
1、建立活動監控。
這個很重要，比如我們可以監控每 5 分鐘、每小時，甚至每一分鐘我們權益的消耗速度，比如我推廣分用，我本來預算一天投放的金額假如是 100 萬，但是你遇到一些羊毛黨，可能在一分鐘基本上就把你的預算領一大半，甚至是領完。
2、有能力動態調整領取的概率。
比如像抽獎類的，我們可以動態調整一些中獎概率，根據活動權益消耗的速度來動態調整（概率和發放數量）。
3、建立風險大盤。
在活動中我們可以檢測這個風險的一些情況，對于惡意請求我們能做到心中有數，知道這個惡意請求來自哪個地域、甚至是來自哪個城市，包括他集中的 IP 或集中的設備是怎樣的，甚至他的賬號有什么特征。
4、服務器的自我保護機制。
包括大家基本上能力了解到，像天貓雙十一，它的服務器都有一些流量控制，或者限流、降級，基本上它能保證部分用戶的正常使用，而不是說遭到羊毛黨或惡意請求之后，整個服務器不可用，導致所有用戶都不能參加活動。
活動后。這是容易忽視的地方，活動后可能這個權益被羊毛黨甚至是其他惡意的用戶領取了，但是活動后我們也可以對他做一些監控和各控制。
比如領取權利的使用。我們可以限制一些使用的范圍，比如滿100或幾百才能使用，像理財產品我們可以提高一些門檻，比如投資1萬以上才能使用某些折扣券或者是理財券，半年期或者一年期起。
權益的一些使用方式也要做一些監控，它是不是集中在某些店鋪來集中消耗，看一下權益消耗的占比，也能發現一些問題，可以及時低止損。
1、業務。
活動前的一些評審和預案，就是在活動開始前要做一些安全評審，包括活動的玩法有沒有漏洞，還有活動運營中的一些預案，怎么應對一些突發情況。
比如我投入的一些預算的消耗，甚至一些比如說針對服務器，或者是活動進行中的一些異常情況都要有應對方案。還包括活動前的一些黑板名單的一些準備，比如某些特定高價值的用戶，還有比較低質量、長久不活躍的用戶，看我們的活動目的是怎樣的，要準備一些名單，有定向的一些運營方案。
2、技術風控體系。（很重要的一方面）
風控體系這塊兒就可以對我們的某些活動，避免一些惡意的薅羊毛、黃牛甚至其它的一些惡意行為（比如欺詐），都可以做一些保護。
這個活動的前端保護主要就是剛才講到的端上的一些保護，對業務邏輯的一些防護，還有接口協議上的一些防護，還有系統的一些自我保護，就是防止惡意流量直接壓垮服務器，包括我們實時風險的一些識別，及時阻斷惡意請求，避免我們后續的運營的一些成本，比如說怎么發放獎品、甚至一些獎品的使用。
活動中對風險大盤的監測（也很重要）。我們及時要做到心中有數，知道我們現在活動的一些情況，正常用戶、惡意用戶或者疑似用戶的一些訪問情況。還有事后風險的一些報告分析、實施的分析。
3.法律上對活動做一定程度上的保護。
特別是最近的網絡安全法發布之后，其實對個人隱私，個人私密信息還有一些信息數據的惡意獲取方面都有規定。已經有一些人因為這些違反法律而受到罰款、拘役等。
這個實施風控體系要求還是比較高的，先要做好一個完整的，或者是比較成熟的一個防控體系，最重要的幾點。
1、穩定性。
做一些保證，不能因為風控體系的引入，導致正常的業務邏輯走不通，或者是運行過程中導致各種使用不了的情況。
2、性能。
一定要在毫秒級就要返回，不能用戶在一次抽獎或者一次領紅包進來之后，業務系統請求風控體系，就在這里卡上很長一段時間，這個在用戶體驗上就非常不好。
3、風險識別的一些層次和維度。（最重要）
風險基本上，像我們公司提供多環節、多維度地來進行一些防控，包括從這張圖上也可以看到，下面藍色的，就是一些業務活動，比如說前端像APP，或者是web、H5頁面，它直接調接口，就請求到業務系統里，這是沒有風控體系，是這樣的一個流程。
風控體系就是上面綠色的這一部分，首先從端上我們也會先做一些保護，保護我們一些業務邏輯，比如像web、H5上面就可以做一些像 js 的一些加固，包括 APP、端上的一些加固和保護，接口協議也會做一些保護，還包括抗 constID 布點，我們也設備指紋，能定位到一臺設備。
有端的防護之后，業務請求過來我們就通過實施決策，我們有多層次的，我們可以記時間序列有一些策略，還有一些請求的來源分析，包括我們剛才提到的，布點的設備指紋，還有其它的一些環境信息，我們可以關聯做一些策略，包括三方一些風險的一些數據，比如說像IP、手機號，剛才提到的活動前的一些白名單的準備。還有歷史風險也可以做一些關系上的挖掘。
二次驗證，二次驗證主要是在實時風險決策的時候，我們會對一些疑似的請求做一些二次驗證。因為，實時防控不可能做到百分之百，可能有一部分人是比較疑似的，我們會通過比如說短信驗證，或者是滑動驗證，或者是其它的比如說是實行輸入身分證號、密碼，就說這種認證手段再進行一次疑似的一些確認。
最后，就是智能分析，這個主要就是結合實事的數據和歷史的行為數據，我們可能在一個更長跨度的時間序列上做一些行為上的分析和關系上以及各種特征上的一些挖掘，來補充這種維度數據，輔助我們實施決策的一些準確率。這塊兒就涉及到線下的一些建模和一些特征挖掘。
這塊兒就是風控體系的一些架構。
1、互聯網環境。
暴露在互聯網環境，移動手機像安卓、IOS甚至其它的一些IOT設備，還包括一些H5頁面，還有像PC上的Web頁面，因為暴露在互聯網的環境，基本上可以理解成，就是黑灰產在手里，所以這一塊兒我們架構上有端安全上的防護（這會兒要先做）。
2、企業的私有化環境里。
就屬于業務系統這一部分，請求這個首先要接受一個網關，這個網關的作用就是，有一些惡意請求，或者一些非正常的請求，包括協議上，更為識別，他這次調用就是非法調用，我們網關層就可以攔截大量的非法請求，防止它把壓力傳到業務系統，導致業務系統宕機影響活動進行。
所以，在網關這個節點上，我們就可以做一些惡意的流量，做一些攔截，剩下的一部分流量可以流進業務系統。
業務系統的最下面這一部分就是整個風控體系，業務系統通過WebAPI就可以接入風控體系，風控體系主要分了這幾部分。
部分一，實時決策。
實時決策就是剛才提到的，通過業務系統請求WebAPI一個請求進來，比如說用戶注冊或者抽獎的一個請求進來，我就可以實時判斷他這次請求是正常的，還是有風險的，或者是有一定的嫌疑。
實時決策的右邊，策略模型管理和智能分析。這塊兒我們進行多層次的防護，比如記憶時間序列的、記憶行為的、記憶名單的、記憶關系的、記憶環境信息的，統一的策略和模型我們是在這兩塊兒進行處理。
部分二，策略模型。
主要是靈活做一些靈活的策略的配置，還有我們線下訓練的模型的一些在線服務，可以多綜合地來識別這次請求。
部分三，智能分析。
主要是針對歷史行為、關系網，還包括其它特征的挖掘，還有異常點的檢測，做一些離線分析。
實時決策和策略模型這塊，基本上針對的是實時和進線的，智能分析這一塊側重在離線，就是更長期的一個行為上的判斷。這塊兒也是我們多維度、多層次的一個防控的設計。
部分四，智能監控。
我們可以實時監控到整個風險的一些情況，還有智能分析的一些數據情況，還有整個風險的態勢，就是一些趨勢，包括其它的一些各種監控功能，還有一些未定性監控包括一些報表，可能都在我們智能監控這塊兒會有。
上面這個風控管理控制臺，這個主要是給安全管理員使用，他用來管理，剛才提到的上面的一些安全策略或者一些指標、模型、名單、統籌的風險大盤情況，包括地域分布的，地域城市，包括IP、設備情況、用戶情況，基本上通過這個控制臺都可以做統一的一些管理。
整個體系最上面，大數據基礎架構這邊，我們自己整套體系都是基于數據平臺來做的，包括數據存儲上，海量數據存儲還有一些計算，都是在底層的一個架構上來給一個支撐，這個是整個風險體系的一個架構。
剛才提到的多層次、多維度的防控體系，這個多層次決策體系：
1、實時決策。
提供毫秒級的一些相應，利用一些策略和請求的一些實時計算，同步識別風險，直接阻斷惡意風險，正常用戶直接放過，有疑似的風險會通過一些二次驗證，比如驗證碼、短信或其它驗證方式進行一些驗證。
2、進線分析。
我們會有秒級、分鐘級、小時級、天級、月級的一些計算，我們會計算各種特征，為實時決策這一塊兒提供一些指標參數。
指標主要對一些，像安全策略，會使用到多個特征，指標是安全策略里面的某一個特征項，這個指標主要是對實時數據做一些初步的加工，來更方便地給這個安全策略使用。
進線分析，也可以從多維度來監測安全的一些狀態，能及時發現一些異常，并給據報警。
3、離線挖掘。
就可以根據各種離線數據做一些模型的訓練、特征挖掘，為實時決策還有離線的一些處置，提供一些依據。比如，后面的一些特征挖掘、模型平臺訓練、用戶的一些風險畫像、設備風險畫像，還有一些關系網的一些挖掘、計算。這個是多層次的決策分析。
還有剛才提到的，除了多層次的一些防護，我們還要對活動中的數據做一些監控，還有一些管理，我們這個有風險。
1、風險大盤。
我們通過風險大盤就可以直觀地來看我們一些風險的現狀和風險的一個趨勢展示，可以讓管理員登錄系統，第一時間能夠快速地獲取到目前系統的一些風險的情況。
2、事件接入。
事件接入主要是針對活動，前端請求進來的一些接入引檔，怎么來接入這個風控，包括我們預設的一些指標、策略，還有預設的其它的一些模型的使用和配置。
3、策略配置。
主要就是控制臺，就是剛才的最上方，給管理員操作的一個風控控制臺，提供了詳細的策略的配置界面，管理員就可以根據各種風險類型，來選擇這個系統，使用哪些默認的策略，也可以自定義一些安全的策略和規則。
策略配置這塊兒，我們也可以引入一些觀察模式和灰度模式，讓策略上線過程中，我們可以不影響正常業務使用，只是做效果的觀察，也可以導入少量的灰度流量進來進行一些驗證。
4、監控與報告。
系統提供了自動化的監控的能力，我們可以從左圖上看到，我們實施的風險情況、正常請求情況、趨勢圖，也可以持續監測一些關鍵的指標，一旦發生異常情況，我們就可以直接觸發我們的監控，可以得到通知。
這個報表功能也可以定制化一些日報、周報、月報的能力，幫助管理者可以更好地掌握業務安全的一些狀態。
像風控體系剛才也提到了，不可能做到百分之百地識別這種風險，所以會有一些疑似的風險，針對這些疑似的風險，可能我們會采取一些后續的二次驗證。最傳統的驗證流程，不管是正常用戶、一次客戶、惡意用戶，統一是彈出一些驗證碼、短信驗證、語音驗證，基本上對正常用戶也會有一些打擾，我們公司有無感驗證，主要是結合我們后臺的一個智能風險識別體系，我們可以通過風控引擎，多層次、多環節來區分這些用戶，正常識別用戶，正常用戶的合，不需要通過其它任何操作，可以直接通過正常的業務請求，大幅度提升了用戶體驗，基本上正常用戶是沒有任何感知的。
無感驗證（正常用戶沒任何感知），疑似用戶，基本上超過90%的正常用戶基本上是無需要驗證打擾的，對于疑似用戶的風險請求，我們就記憶行為特征的一些驗證技術，實時確認請求的真實性，發現這個請求意有疑似風險的時候我們會彈出驗證，讓他來輸入一些驗證碼，或者是進行一些滑動驗證，或者上行短信進行驗證，這個基本上就可以實時攔截超過 95% 的一些惡意請求。
無感驗證就兩個層次：
層次一，正常用戶不打擾，直接過去了。
層次二，對可疑的用戶驗證完之后，確認它是可信的身份之后，下次再防衛就不需要再滑動或者再認證，直接就通過了。
基本內容就是這些。
我們目前也在招聘一些職位，包括j'ava工程師、大數據開發、安卓、前端、算法工程師、算法專家，都有相應的崗位，大家可以訪問一下我們的官網了解一下頂象技術。
問題1，這些羊毛黨都是專職的嗎？都是哪些人在做呢？
回復：羊毛黨也有區分的，比如是“羊腿”、“羊頭”這些東西，基本上也是有層次感的，像剛才介紹過的一些小作坊或者個人的，這些羊毛黨，他也基本上就是在校學生或者家庭主婦，也是從一些信息共享的論壇或者QQ群里賺一些零花錢，可能這些是相對比較業余的，也只是看一些經驗，有一些活動就參加一下。
有專職的，職業的羊毛黨，就是做職業刷手，這種職業刷手的也收入基本上都是很高的，這些人通過我們的檢測來看，各種團伙啊，這種年齡層次上還是比較年輕，學歷也是初中、高中，甚至不到高中，甚至是小學畢業、初中畢業，但基本上都很聰明，這些人很有想法、能找到平臺或規則的漏洞。
問題2，現在對薅羊毛的黑客會有一些畫像嗎？從哪幾個維度來做畫像？
回復：剛才也講到了，我們上面有個分析平臺，就是在實時防控上，可能會基于時間序列，我們做一些短期的實時指標，或者一些訓練好的模型，甚至一些名單，或者一些環境信息、進線指標我們也可以做一些分析。在離線分析這一塊兒，我們會綜合他的各種行為，包括常用訪問頁面行為、登錄行為、點擊的行為、環境關系上的、訪問的一些軌跡、行為上，我們會對用戶做一些畫像，還有綜合他的各種維度信息。
具體的維度，比如說環境信息、設備信息、賬號信息、關系、行為上的一些分析。
問題3，有沒有針對中小企業的解決方案啊？
回復：其實，我們公司就是針對中小企業，提供安全的產品和解決方案的，我們有私有化部署、SaaS服務。
比如，最近在進行的雙十一活動，已經有很多的企業已經在試用我們的（產品），包括我們免費的SaaS服務、私有化部署，已經在使用了。
問題4，雙十一活動中，你們如何防止無辜用戶被錯殺？
回復：在雙十一活動中，包括之前參加的歷屆的一些雙十一活動，像用戶被錯殺，基本上在任何一家活動進行中，可能都會遇到這種錯殺的情況，但是比例很低，大部分的黑灰產像剛才提到的95%的，基本上都會我們攔截掉，被無辜錯殺的這些用戶，也可以完善我們的風控模型，當成一些樣本來重新訓練我們的模型，因為攻防對抗本來就是在實時的演進過程中。
問題5，對普通的淘寶商家而言，做個活動還得部署風控體系，會不會成本太高？
回復：這個風控體系可以訪問我們的官網看一下，這個風控體系集成起來其實是很快的，如果開發投入的話，接入的話，基本上是在天的級別的，成本不會太高，這個風控體系如果是自己整套構建的話，成本會比較高。所以，我們現在實際也有一些私有化產品和SaaS產品，現在接入是很快的，基本上是幾天，包括測試、接入、測試，基本上是幾天的時間就可以了。
問題6，風控對模擬器的檢測是怎么做到的？
回復：具體的方法方式我在端這塊兒也不是特別了解的，不過我們產品有端產品和業務風控產品。
我們在端產品上，我們已經能檢測到是不是虛擬器、模擬器、虛機，我們都能檢測到，具體檢測的技術手段，專家會比較清楚，我這塊兒主要就是在業務防控這邊，可能是相對比較清楚一些。
問題7，是因為有風險數據的積累，所以錯殺率低吧？
回復：風險數據積累只是一方面的，整個風控體系其實數據只是最初的一個層次，后面還有多層次的。包括從時間序列上的一些聚合、環境信息上的、模型策略上的，數據這一層面，只能說黑名單只能先攔一道，這是歷史數據的一些積累。
比如有一些人在黑名單里邊，他可能就永遠在黑名單里。所以，數據對我們來說只是一個層次，風控產品是能集成數據的，包括我們風險體系里邊有黑名單，也可以集成其它的，比如說策略、模型、指標和其它的。
第三個大的層次，就是對離線關系網、行為的分析，包括特征挖掘，所以數據風險，數據積累只是很小的一方面，應該是風險體系里面的一個手段。
若想獲得此次公開課完整PPT，請關注雷鋒網旗下微信公眾號宅客頻道（微信ID：letshome），回復“防羊毛黨 ”。
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
