安全攻防技能30讲
何为舟
前微博安全研发负责人
立即订阅
3670 人已学习
课程目录
已完结 40 讲
0/4登录后,你可以任选4讲全文学习。
开篇词 (1讲)
开篇词 | 别说你没被安全困扰过
免费
安全基础概念 (5讲)
01 | 安全的本质:数据被窃取后,你能意识到问题来源吗?
02 | 安全原则:我们应该如何上手解决安全问题?
03 | 密码学基础:如何让你的密码变得“不可见”?
04 | 身份认证:除了账号密码,我们还能怎么做身份认证?
05 | 访问控制:如何选取一个合适的数据保护方案?
Web安全 (7讲)
06 | XSS:当你“被发送”了一条微博时,到底发生了什么?
07 | SQL注入:明明设置了强密码,为什么还会被别人登录?
08 | CSRF/SSRF:为什么避免了XSS,还是“被发送”了一条微博?
09 | 反序列化漏洞:使用了编译型语言,为什么还是会被注入?
10 | 信息泄漏:为什么黑客会知道你的代码逻辑?
11 | 插件漏洞:我的代码看起来很安全,为什么还会出现漏洞?
12 | 权限提升和持久化:为什么漏洞修复了,黑客还是能够自由进出?
Linux系统和应用安全 (5讲)
13 | Linux系统安全:多人共用服务器,如何防止别人干“坏事”?
14 | 网络安全:和别人共用Wi-Fi时,你的信息会被窃取吗?
15 | Docker安全:在虚拟的环境中,就不用考虑安全了吗?
16 | 数据库安全:数据库中的数据是如何被黑客拖取的?
17 | 分布式安全:上百个分布式节点,不会出现“内奸”吗?
安全防御工具 (7讲)
18 | 安全标准和框架:怎样依“葫芦”画出好“瓢”?
19 | 防火墙:如何和黑客“划清界限”?
20 | WAF:如何为漏洞百出的Web应用保驾护航?
21 | IDS:当黑客绕过了防火墙,你该如何发现?
22 | RASP:写规则写得烦了?尝试一下更底层的IDS
23 | SIEM:一个人管理好几个安全工具,如何高效运营?
24 | SDL:怎样才能写出更“安全”的代码?
业务安全 (6讲)
25 | 业务安全体系:对比基础安全,业务安全有哪些不同?
26 | 产品安全方案:如何降低业务对黑灰产的诱惑?
27 | 风控系统:如何从海量业务数据中,挖掘黑灰产?
28 | 机器学习:如何教会机器识别黑灰产?
29 | 设备指纹:面对各种虚拟设备,如何进行对抗?
30 | 安全运营:“黑灰产”打了又来,如何正确处置?
知识串讲 (3讲)
模块串讲(一) | Web安全:如何评估用户数据和资产数据面临的威胁?
模块串讲(二)| Linux系统和应用安全:如何大范围提高平台安全性?
模块串讲(三)| 安全防御工具:如何选择和规划公司的安全防御体系?
特别加餐 (5讲)
加餐1 | 数据安全:如何防止内部员工泄漏商业机密?
加餐2 | 前端安全:如何打造一个可信的前端环境?
加餐3 | 职业发展:应聘安全工程师,我需要注意什么?
加餐4 | 个人成长:学习安全,哪些资源我必须要知道?
加餐5 | 安全新技术:IoT、IPv6、区块链中的安全新问题
结束语 (1讲)
结束语 | 在与黑客的战役中,我们都是盟友!
免费
安全攻防技能30讲
登录|注册

30 | 安全运营:“黑灰产”打了又来,如何正确处置?

何为舟 2020-03-04
你好,我是何为舟。
在前面的课程中,我们介绍了 IPDRR 的前三个部分,并且着重讲解了风控系统的框架、算法以及设备指纹的相关技术。学会了这些机制和手段,你已经能够识别出大部分的黑产了。那我们是不是可以直接将识别的结果抛给业务,让业务自行处理呢?
在一个专业的业务安全方案中,这当然不可以。因为,识别出黑产仅仅是第一步,采取合适的手段处理黑产,才是业务安全长治久安的根本。
那么,针对黑产的处理,我们有三个参照原则:
采取适当的拦截策略,防止黑产快速绕过业务安全策略
给予一定震慑,防止黑产变本加厉
保持情报收集,做好和黑产持续对抗的准备
今天,我们就结合这三个原则来看一下,有哪些运营手段可以对业务安全起到正向作用,切实打击黑产。

业务中处理黑产的手段

在识别出黑产之后,运营的第一步一定是在业务中对黑产进行处理。处理的手段有很多种,它们能起到的效果也截然不同。接下来,我们就来具体分析一下这些手段的特点和它们能产生的效果。

1. 直接拦截

在 27 讲中我们讲过,在不同的识别模式下,黑产的拦截方案也不同:同步模式下,我们可以直接拒绝黑产的当次登录请求;异步和离线模式下,我们可以拒绝对应的账号在登录后继续使用业务。这都属于直接拦截,拦截之后,黑产都将无法继续使用业务,自然也就无法对业务产生任何影响了。
取消
完成
0/1000字
划线
笔记
复制
© 版权归极客邦科技所有,未经许可不得传播售卖。 页面已增加防盗追踪,如有侵权极客邦将依法追究其法律责任。
该试读文章来自付费专栏《安全攻防技能30讲》,如需阅读全部文章,
请订阅文章所属专栏。
立即订阅
登录 后留言

精选留言(4)

  • 小老鼠
    可不可以讲下SM1.SM2,SM3,SM4.

    作者回复: 就是几种加密算法,分别对应对称、非对称和散列加密。我觉得不做密码学相关研究,可以不用深入了解细节。

    2020-03-14
  • qinsi
    淘宝的用户验证变成刮出小鸡了,收集了多年的刮刮卡刮奖用户交互数据终于派上了用场 (手动狗头

    作者回复: 可以可以

    2020-03-05
  • qinsi
    Google reCAPTCHA, v2只需用户勾选复选框或点击按钮,v3不需要用户交互

    作者回复: Web端使用reCAPTCHA确实可行,不过移动端目前还是做不到无感验证,主要因为移动端没有“鼠标滑动”这一关键信息。

    2020-03-04
  • leslie
    老师之前推的6本书昨天刚刚到:准备后续开始看,不过部分书籍中一些已经大致看了一下。
    可能书籍中的部分知识偏早,一些措施已经被使用了或者漏洞部分已经被厂商修复了;不过还是发现了可能的隐患吧,cookie的问题以及系统参数的问题。
    更广度的方式没有研究,不过本文讲解中的部分方式其实用户体验并不好;如:滑动条、随机声中的中英文汉字,微信的多好友验证是用户体验最差的-经常会有朋友不记得或被怀疑成诈骗信息以及小广告。
    老师在谈滚动条时忽略了一点:机器拖动不止匀速且可能一步到位-匀速直线运动,人拖滚动条总会过一点或提前一点就停下来,起床过拱桥一样-变速曲线运动。自动化的前提其实是方式收集:如何收集各种数据,然后对其进行分析;不断循环探索的过程。
    以上是我对于今天课程的理解:谢谢老师的讲解;期待后续课程的分享。

    作者回复: 验证这一块没有讲特别细,需要思考的确实比较多。很多时候,其实使用用户体验差的方案,是为了更好的安全性。比如在新设备登录微信,只靠密码肯定是不够的,而用户可能手机号也换了,短信验证走不通,这个时候,就只能依靠其他的信息来做验证了,比如微信的关系。不过现在有了声纹和人脸,安全性大大提高,这种用户体验差的验证方式基本可以杜绝了。

    2020-03-04
收起评论
4
返回
顶部