永安在线-业务安全蓝军测评标准_24页_49mb

业务安全蓝军测评标准白皮书总结

核心内容概述

本白皮书由鬼谷实验室发布，旨在为互联网企业构建一套针对业务安全的蓝军测评标准，帮助企业识别和评估业务安全风险，优化风控策略，提升业务安全防护能力。蓝军测评通过模拟黑产攻击行为，提供详细的攻击流程、攻击成本、收益、效率及影响评估，从而帮助企业更好地理解黑产攻击模式及影响。

主要观点

• 黑产攻击特点：黑产已形成团伙化、自动化、生态化、上下游配合的产业链，攻击方式多样，对业务造成严重威胁。
• 业务安全目标：不同于基础安全的“严防死打”，业务安全的目标是控制攻击流量占比，平衡攻击损失与业务收益，实现收益最大化。
• 测评体系构建：提出一套业务安全脆弱性评分（ISVS）和蓝军测评输出指标，包括ROI、AE、AOT、EV、SCS等，帮助量化评估攻击危害。
• 测评类型与流程：蓝军测评分为A类、B类、基础测试、行业横评、周期测评五类，每类测评根据测试项的性质和复杂度，设定不同的测试周期与评估标准。测评流程包括需求沟通、测试项推荐、标准确定、授权范围明确、实施测试及输出结果。

关键信息

1.1 业务安全脆弱性评分ISVS

• 定义：通过综合计算攻击成本、效率、收益及攻击流量占比等指标得出的评分，用于衡量黑产攻击对业务活动的危害程度。
• 计算公式：
  $$
  ISVS = \frac{ROI \times AE \times ATR}{SCS} + EV
  $$
• 子指标说明：
  • ROI（投入产出比）：值越高，越容易吸引攻击。
  • AE（攻击效率）：值越高，攻击收益越高。
  • ATR（攻击流量占比）：值越高，对活动价值的损害越大。
  • EV（额外价值）：值越高，吸引攻击的稳定性越高。
  • SCS（供给链成熟度）：值越高，攻击稳定性越高。

1.2 蓝军测评输出内容

• 情况说明：
  • 产业链现状说明：描述黑产攻击流程、资源使用、行话等。
  • 团伙规模：估算攻击团伙规模及对业务的影响。
• 攻击指标评估：
  • ROI、AE、AOT、EV、SCS等指标用于评估攻击的可行性与危害。

2.1 测试项说明

• 以电商平台“XX购”的优惠券活动为例，测试项为“10元满10.01元使用优惠券活动”，攻击成功标准为1小时内完成100次注册并成功领取优惠券。

2.2 测评结果案例分析

• 产业链现状说明：包括攻击方式、变现方式、投入产出说明等。
• 投入产出比ROI：
  • ROI为7.05，超过损害临界点2.9，属于第二级别危害。
  • 该ROI值将吸引2%~6%的黑产团伙发起攻击。
• 攻击效率AE：
  • 测试项攻击效率为15P次/h（P为攻击设备数量），属于中等水平。
  • 攻击效率对盈利影响有限，主要影响因素为变现渠道的容量。
• 攻击流量占比AOT：
  • 羊毛党领券量占总领券量的约51.6%，造成较大业务损耗。
• 额外价值EV：
  • 测试项中账号无额外价值，评分1。
• 供给链成熟度SCS：
  • 所有资源均为成熟稳定类型，评分10。

3.1 测评种类说明

• A类场景评估：针对长期功能或活动，测试周期为1~3周，输出包括产业链现状、团伙规模、ROI、AE、AOT、EV、SCS等。
• B类场景评估：针对短期活动，测试周期为1~3天，需在三月内进行A类评估或基础测试。
• 基础测试：用于评估账号等基础资源，缩短测试周期。
• 行业横评：对同行业不同公司的相同测试项进行横向比较，测试周期为1~4周。
• 周期测评：用于长期活动，测试周期和输出内容与A、B类一致。

4. 测评流程说明

1. 沟通测试需求
2. 蓝军测评小组输出推荐测试项文档
3. 讨论确定测试项及“攻击成功标准”
4. 明确测评授权范围及各部门责任
5. 实施测试
6. 输出测评结果

5. 测评场景及测试项目说明

• 营销活动作弊场景（薅羊毛）：
  • 适用行业：电商、类电商、媒体等。
  • 测试项目包括特定优惠券获取、拼团、助力邀请、签到奖品等。
• 恶意营销引流作弊（引流出粉）：
  • 测试项目包括特定内容批量发送、特定场景批量发送等。
• 账号注册登录：
  • 测试项目包括账号流转途径、恶意注册等。

6. 第一篇测评报告

• 鬼谷实验室计划在3月23日发布第一篇基于该标准的测评报告，涵盖电商行业主流业务的安全测试与行业横向评比。

附录关键信息

表1-1 羊毛场景ROI值与危害程度对照表

• 不同行业、不同ROI值对应不同的危害程度。
• ROI值越高，危害程度越高，活跃羊毛党比例越高。

表1-2 攻击效率评分表

• 根据攻击效率对盈利产出的影响，设定不同评分标准。
• 攻击效率评分越高，盈利影响越小。

表1-3 账号额外价值评分参照表

• 账号是否具备额外价值（如社交属性、支付能力等）决定评分。
• 评分越高，账号对黑产的吸引力越大。

表1-4 攻击资源供给链成熟度评分参照表

• 资源是否稳定、获取难度决定评分。
• 成熟稳定资源不减分，获取难度高则减分。

鬼谷实验室介绍

• 鬼谷实验室成立于2018年2月7日，隶属于永安在线（原威胁猎人）。
• 专注于业务安全问题研究与解决方案开发，提供蓝军测评服务，帮助企业识别与评估黑产攻击风险。