不可忽视地业务安全问题-唯品会.pdfVIP

不可忽视的 电商业务安全问题 议题 •背景介绍 •典型案例 •解决之道 •QA 电商业务安全备受挑战 凡是能换成金钱的，都会有人去攻击或尝试 今天是免费的资源，明天可能就是重要的资产 需要重点保护的对象 用户账号/密码 用户钱包/银行卡 用户隐私数据 代金券、优惠券、礼品卡、积分、虚拟币 物流、库存 订单、商业数据 …… 严峻的威胁和挑战 我们面对的是： 黑/灰产业链 白帽子黑客 竞争对手 第三方分析公司 合作伙伴 供应商 外包商 内部人员 …… 典型电商业务流程——登录/浏览/选品 典型电商业务流程——下单/支付/物流 更多电商平台背后的系统 物流 仓储 系统 电商 客服 平台 支付 营销 系统 供应 开放平台 商 议题 •背景介绍 •典型案例 •解决之道 •QA 账户安全——所有安全问题的入口 账户安全——盗号、撞库等身份盗用问题 • “撞库”攻击的形式 • 尝试登录大量 【用户名+密码】组合 • 利用已泄露的多家网站用户数据库 • “盗号”产生的风险 • 用户隐私受影响 • 账户资金受影响 • 企业投诉和赔付率上升 账户安全——盗号、撞库等身份盗用问题 • “撞库”攻击的形式 • 尝试登录大量 【用户名+密码】组合 • 利用已泄露的多家网站用户数据库 • “盗号”产生的风险 • 用户隐私受影响 • 账户资金受影响 • 企业投诉和赔付率上升 账户安全——问题往往没那么简单 • 用户界面 • 防护策略 • 对抗手段 • PC登录界面 • 图形验证码 • 验证码识别云平台 • WAP • 短信验证码 • 短信验证码云平台 • APP • 访问速率控制 • 秒换代理服务器IP • 微信 • IP限制策略 • …… • 联合登录 • …… • …… 8000人工后台！ 账户安全——对抗的力量 • 企业的力量 • “黑产”的力量 • 缺人 • 有钱 • 缺钱 • 有人 • 缺技术 • 有技术 • 缺设备