背景：
在互联网业务蓬勃发展的当下，各类创新模式如春笋般涌现，为我们的生活带来了前所未有的便利。但在这繁荣的背后，风险也如影随形。就拿曾经红极一时的某互联网金融平台来说，在快速扩张的过程中，过于注重业务量的增长，却忽视了风控体系的建设。他们在贷款审批环节过于宽松，缺乏对借款人信用状况、还款能力的深入核实 ，仅凭一些简单的资料就轻易放贷。结果，随着时间的推移，大量借款人逾期还款甚至直接违约，坏账率急剧攀升。最终，这家平台资金链断裂，不仅自身陷入了破产危机，还让众多投资者血本无归，引发了社会的广泛关注和担忧。
类似的事件并非个例，在电商领域，虚假交易、恶意刷单现象屡禁不止；社交平台上，信息泄露、网络诈骗也时有发生。这些风险事件不仅给企业带来了巨大的经济损失，损害了用户的切身利益，还严重影响了互联网行业的健康发展，破坏了市场的信任环境。所以，构建一个完善、高效的互联网风控体系迫在眉睫，它就像是互联网业务的 "安全卫士"，为行业的稳健前行保驾护航。
一、互联网黑产常用攻击手段
1、基础攻击手段：批量操作与资源侵占
黑产的基础攻击手段以"批量自动化操作"为核心，旨在快速侵占平台资源、获取初始权限或直接套取利益，具有实施成本低、覆盖面广的特点。典型方式包括：一是DDoS攻击，通过控制"僵尸网络"在短时间内发起海量无效请求，耗尽服务器带宽与计算资源，导致网站或APP无法响应正常访问，实现实质下线，进而胁迫企业支付赎金；二是垃圾注册，利用脚本、注册机等工具批量创建虚假账号，这类账号被广泛用于刷流量、点赞评论、恶意差评等水军行为，严重扰乱平台生态秩序；三是薅羊毛，黑产通过虚假身份、群控设备等方式批量参与平台营销活动（如新人红包、满减优惠券、返利活动），套取平台福利资源后转售变现，造成企业营销预算浪费与经营损失；四是黄牛/刷单，通过技术手段垄断热门商品、票务等资源的抢购权，后期加价出售牟利，或通过虚假交易提升商家信用等级，破坏市场公平竞争环境。
2、进阶攻击手段：信息窃取与身份伪造
进阶攻击手段更具隐蔽性与危害性，核心目标是窃取敏感信息或伪造身份实施精准欺诈，往往给企业与用户带来不可逆的损失。主要包括：一是数据窃取，黑产通过SQL注入、漏洞攻击等方式非法入侵平台数据库，批量盗取公民个人信息（如姓名、手机号、身份证号、银行卡信息）、企业商业机密等数据，再通过暗网转售给下游黑产链条获利；二是撞库登录，利用互联网已泄露的用户账号密码信息，生成"字典表"批量尝试登录其他网站或APP，一旦匹配成功即可获取用户有效账号权限，进而实施盗刷、信息篡改等操作；三是DNS劫持，通过攻击ISP服务器、篡改用户设备DNS设置等方式，劫持用户网络访问链路，将正常访问导向钓鱼网站，或直接窃取用户传输数据；四是精准电信诈骗，黑产通过暗网获取公民精准隐私数据（如出行记录、消费习惯、家庭信息），编写定制化诈骗剧本，以客服、公检法、银行等名义实施定向欺诈，诈骗成功率显著提升。
3、核心攻击工具：技术升级下的对抗利器
黑产攻击的专业化进程，核心驱动力是攻击工具的持续迭代升级，且工具迭代速度与风控技术形成直接对抗态势。当前黑产常用的核心攻击工具可分为四大类：一是设备伪造工具，这是黑产批量操作的基础工具，如改机工具可修改设备IMEI、MAC等核心信息生成虚假设备指纹，硬改工具通过自定义ROM固件随机生成设备参数，群控工具可通过一台电脑远程控制数百台移动设备，实现标准化批量操作；二是账号验证工具，用于突破平台账号注册与验证环节的限制，如猫池设备可批量插入、控制管理数百张SIM卡，接码平台通过对接大量手机号资源，自动读取并分发短信验证码，快速完成批量账号的注册与验证；三是系统篡改工具，用于获取设备最高权限并修改业务逻辑，如Root（安卓）、越狱（iOS）工具可突破系统权限限制，Xposed（安卓）、Cydia Substrate（iOS）等Hook框架可拦截并修改APP运行代码，实现自动抢红包、一键新机、跳过风控检测等作弊功能；四是环境模拟工具，用于构建虚假的业务访问环境，如模拟器可在电脑上模拟移动设备运行环境并预装作弊软件，定制浏览器可修改User-Agent、Cookie等内核参数伪造真实用户访问痕迹，自动化脚本可按预设逻辑实现浏览器的批量注册、登录、交易等操作。
二、反欺诈体系构建
业务全流程防控体系：终端风险识别+云端风险决策+AI，一体化反欺诈解决方案；
1、风险防控流程：
2、反欺诈防控体系：
3、设备指纹
设备：用户和业务系统的载体，浏览器、手机、电脑、小程序....
设备指纹：（Device Fingerprint）生成设备ID的产品和技术，通过采集稳定的终端设备信息经过组合算法生成；
特点：
•不会因为用户对设备的日常使用而改变，不同设备的设备ID也不同；
•为每一台设备生成风险标签，标记这个设备潜在的业务风险，供分析决策使用；
采集方式：
•主动采集模式：通过SDK或JS脚本事先在终端埋点采集终端设备信息，然后将采集信息以加密方式上报到云端，云端服务根据后台复杂的算法生成唯一的设备ID返回给前端；
•被动采集：终端与后台服务器建立连接过程中，从网络报文中提取出多个维度的特征集，在后台使用机器学习算法识别终端设备；
4、基于用户行为的生物探针
黑产的网络欺诈攻击大多发生在用户登录之后，如何安全、有效且无伤用户体验的身份验证就显得尤为重要。
•
5、生物探针
生物探针通过采集用户使用终端设备（手机、电脑等）传感器数据和屏幕轨迹数据，通过特征工程、机器学习，为每个用户建立多维度生物行为特征模型，生成用户专属画像，进行人机识别、本人识别。生成用户画像使用非敏感生物学特征（不采集人脸、声纹和隐私数据），通过算法模型确保唯一性，并能对抗伪造和复制。
无感认证可以在用户登录场景提供轻量级的风控能力，应用场景包括欺诈作弊检测、身份认证（涵盖真人与机器、本人与非本人）等。该技术可与传统风控手段和认证方式共同使用，在大幅度提升用户体验的同时，有效保障用户账号、资金和隐私安全。
无感认证的基础：1）自然人、机器人的操作行为存在差异。2）每个人都有自己不可复制的行为习惯。3）通过这些差异即可识别用户的身份。
无感认证构建：通过手机采集用户使用手机的数据，然后对数据做特征工程，将抽取的特征输入训练好的算法里，算法给出是本人还是非本人的决策，当新的操作数据与源数据差异较大时，会认为存在较大风险。
生物探针应用场景：
◦登录场景：采集用户的使用终端行为数据，为其建立专属的行为模型，模型训练完成之后，当用户再次发生登录行为时，生物探针SDK就会采集用户当前的行为数据，传输后端进行匹配，判断是否本人登录，进而决定是否允许登录。
◦小额转账免短信场景：同登录场景原理，若行为匹配免短信认证，否则要求短信、指纹或人脸认证。
◦支付免密
◦信用卡、消费、借贷申请场景
6、智能验证码
验证码本质是为了防止用户利用机器人程序自动注册、登录、恶意投票、发送垃圾邮件、恶意尝试密码等登陆尝试，保证网络安全；
基本原则：对人容易、对机器难、有趣好玩；
各种验证码对比：
|------|------|------|------|
| 验证类型 | 防御能力 | 用户体验 | 综合评价 |
| 滑块拼图 | 2 | 4 | 低 |
| 图文点选 | 3 | 4 | 中 |
| 文字点选 | 3 | 4 | 中 |
| 语序点选 | 4 | 3 | 中 |
| 空间旋转 | 4 | 4 | 高 |
| 空间推理 | 5 | 3 | 高 |
7、风控中枢决策引擎系统
7.1 决策引擎
•决策引擎作用：是整个风控体系的核心枢纽，他是面向风控运营人员设计额，以规则编辑和规则执行为主要任务的计算平台，通常还包括灰度测试、数据统计分析等功能。决策引擎会对接终端风控系统、实时指标计算平台、风控数据画像、机器学习和模型平台等各类风控子系统。
•决策引擎特点：
1）灵活性：面向泛业务场景设计，灵活支持注册、登录、交易、发帖、弹幕等大量场景，只需要为不同场景编辑不同规则即可。
2）易用性：决策引擎面向风控运营人员设计，使用者不需要有编程基础，只需要鼠标点击或拖拽，简单键盘输入，即可完成场景规则设计和数据引入。
3）实时性：a、规则生效实时性，任何规则修改，线上决策集群可以秒级生效；b、规则执行实时性，大量规则的执行时间可以控制在几十毫秒以内。
7.2 规则引擎
•规则引擎作用：是决策引擎的核心，包括规则管理、规则推送、规则执行等。规则引擎是一种集成在应用程序中的组件，使用预先定义的语言编写，实现业务规则和程序代码的分离。
•规则引擎特点：
①流程分支复杂，条件判断非常多，常规的if.else编码难以实现，维护成本高。
②不确定性需求多，频率高，随时可能业务变更。
③业务变更不依赖开发人员，可以由业务人员进行变更。
•常用规则引擎：
①脚本引擎：Apache Groovy，Jruby,阿里巴巴QLExpress
②开源规则引擎：Drools
③商业规则引擎：ILOG
7.3 规则执行
•规则变更和重新加载执行
•规则执行过程
◦数据输入到规则引擎
◦规则引擎根据场景选择规则集
◦规则领域模型转换模块，把规则集转换成脚本语言
◦脚本引擎加载脚本语言
◦脚本引擎接收数据，执行规则
•
8、海量数据实时指标计算
•指标抽象模型：时间窗口、事件、主属性、副属性、计算逻辑，指标配置自动添加计算任务，即时生效；
|-------------------|-------------------------------------|----------------|--------------|-----------|------------|------------|--------------------|
| 指标类型 | 示例 | 关联风险 | 时间窗口 | 事件 | 主属性 | 副属性 | 计算逻辑 |
| 频度-出现次数统计 | 1）IP最近5分钟注册次数 2）手机号最近1小时收短信次数 | 多：垃圾注册、短信轰炸 | 1）5分钟 2）1小时 | 1）注册 2）短信 | 1）IP 2）手机号 | 无 | 求和 |
| 频度-关联个数统计 | 1）1天内同一设备接收短信的手机号个数 2）7天内同一设备充值的账个数 | 多：群控设备、群控账号 | 1）1天 2）7天 | 1）短信 2）充值 | 1）设备 2）设备 | 1）手机号 2）账户 | 1）手机号去重求和；2）账户去重求和 |
| 活跃天数 | 账户最近7天活跃次数 设备最近1个月活跃次数 | 少：僵尸用户 | 1）7天 2）1个月 | 登录 | 1）账户 2）设备 | 无 | 账户登录次数求和 |
| 移动距离 | 设备最近1小时移动距离 设备最近24小时移动距离 | 远：虚假定位 | 1）1小时 2）24小时 | 移动 | 设备 | 无 | 多次GPS定位，移动距离求和 |
| 常用习惯 | 账户最近7天常用设备型号 账户最近30天常用登录城市 | 型号\城市不一致：账户被盗 | 1）7天 2）30天 | 登录 | 账户 | 1）设备 2）城市 | 设备型号\登录城市超过阀值 |
| 趋势计算 | 账户最近1天多笔交易支付金额递增 账户最近1天先小额后大额支付 | 盗卡盗刷 | 1天 | 支付 | 账户 | 无 | 多笔支付，支付金额满足先小额后大额 |
| 其他，如最近连续次数，事件时间差等 | 账号最近5分钟密码连续错误次数 | 账户暴力破解 | 5分钟 | 登录 | 账户 | 无 | 密码连续错误求和 |
8.1 实时指标计算方案
|-----------|-------------------------------------------|-----------------------------------------------------|-------------------------------------------------------|
| 框架 | Storm | spark stream | flink |
| 架构 | 主从模式，原生流计算 | 基于spark，主从模式，可以理解为小颗粒时间维度上的spark DAG，实际上是微小时间窗口的批处理 | 主从模式，原生流计算 |
| 数据处理模型与延迟 | 亚秒级别 | 秒级 | 亚秒级别 |
| 一致性保障 | At least once,在trident模式下支持exactly once语义 | 支持exactly once | 支持exactly once |
| 容错性 | 低，ack机制 | 高，WAL和RDD机制 | 中，基于chandy-lamport distributed snapshots checkpoint机制 |
| 吞吐量 | 低 | 高 | 低 |
| 易用性 | 低，不支持SQL streaming | 高，支持SQL Streaming,Batch和Streaming采用统一编程框架 | 高，支持SQL Streaming，batch和streaming采用统一编程框架 |
| 成熟度 | 比较稳定 | 比较稳定 | 新型框架，应用范围广，高速发展中 |
9、风险态势感知系统
风险态势感知系统的方法基于统计分析的方法、基于半监督、无监督算法的聚类方法和基于业务情报的方法，这些方法基于以下几个前提：
•正常业务具有连续性和稳定性，异常事件具有波动性；
•正常用户总是表现出分布离散性，而黑产总是表现出聚集性；
风险态势感知系统流程如上，通过多种统计方法，发现系统潜在风险，通过预警系统通知运营人员进行响应
持续完善中。