FinTech時代“危”與“機”同行
Fintech在金融生態(tài)中不斷擴張，不斷推出新的應(yīng)用和平臺。銀行、保險、證券和基金公司等金融機構(gòu)正將大量業(yè)務(wù)快速遷移到互聯(lián)網(wǎng)上，但在提供網(wǎng)上便利業(yè)務(wù)的同時，其亦面臨著嚴峻的新興交易欺詐與安全威脅的挑戰(zhàn)。撞庫、申請欺詐、盜用賬戶、用戶信息泄露、欺詐交易等行為令金融機構(gòu)遭受巨大的業(yè)務(wù)風險及商譽損害。
總體來說，金融科技時代的業(yè)務(wù)安全風險主要集中在以下三個方面：
一、由業(yè)務(wù)交叉帶來的賬戶安全問題
金融科技促使跨市場、跨行業(yè)、跨機構(gòu)的金融業(yè)務(wù)相互交叉嵌套，而過去“一套賬戶密碼應(yīng)用于多個業(yè)務(wù)系統(tǒng)”的用戶習慣，不僅給用戶自身賬戶安全帶來隱患，也給金融機構(gòu)的賬戶保護與身份識別增加了挑戰(zhàn)。近年來銀行卡被盜刷的新聞屢見不鮮，不法分子通過撞庫獲取用戶賬戶、密碼及短信驗證碼，可以遠程盜取用戶的銀行賬戶資金。
二、不斷創(chuàng)新推出的業(yè)務(wù)類型導致業(yè)務(wù)欺詐風險不斷增大
當下更多傳統(tǒng)金融業(yè)務(wù)依托互聯(lián)網(wǎng)展開，網(wǎng)絡(luò)直銷銀行、微信銀行等新興模式已成為各銀行搶占機遇的利器。然而新模式下持續(xù)推出的線上營銷活動卻讓“羊毛黨“有機可乘。某銀行為用戶準備的4000份總價值近百萬元的實體贈品，在活動上線的一分鐘內(nèi)即被羊毛黨一搶而光，致使市場促銷效果大打折扣， 造成巨大經(jīng)濟損失。
三、數(shù)據(jù)安全保護難度增大
2017年6月頒布的《網(wǎng)絡(luò)安全法》圍繞“以數(shù)據(jù)為中心的安全”做了廣泛而具體的規(guī)定。根據(jù)相關(guān)報告，數(shù)據(jù)泄漏所涉及的行業(yè)之中，金融行業(yè)首當其沖，24%的數(shù)據(jù)泄漏事件與金融機構(gòu)有關(guān)。因此對于金融機構(gòu)而言，如何防止爬蟲爬取客戶個人信息及其保單、賬單等數(shù)據(jù)信息，已經(jīng)成為金融機構(gòu)的重要課題。
安全是金融機構(gòu)的永恒課題，但目前金融機構(gòu)對金融科技大潮下的新興安全風險防護卻略顯力不從心。那么問題來了，如何才能保障FinTech時代下的金融業(yè)務(wù)安全？
“動態(tài)安全”為三大金融業(yè)務(wù)場景“以動化危”
新的金融安全問題需要用新的思路來化解。瑞數(shù)信息提出的“動態(tài)安全”新思路可以出色地解決傳統(tǒng)安全產(chǎn)品難以防御的業(yè)務(wù)安全問題，對金融機構(gòu)的業(yè)務(wù)安全實現(xiàn)更高水準的防護。
以下將通過三個造成巨大經(jīng)濟損失的典型場景及防護效果，分享瑞數(shù)動態(tài)安全助力銀行實現(xiàn)業(yè)務(wù)防護的具體案例。
1.客戶賬戶安全 - 防撞庫
作為一家網(wǎng)點遍布全國，擁有超過3億個交易賬戶，資產(chǎn)總額近10萬億人民幣的大型銀行，一旦有攻擊者利用自動化程序?qū)嵤┑顷憞L試，盜取合法賬號，后果將不堪設(shè)想。瑞數(shù)機器人防火墻Botgate對此進行全面動態(tài)防護，識別出44%的流量為自動化工具發(fā)起的撞庫攻擊請求，并進行攔截，使得該銀行異常請求比例在一天內(nèi)迅速下降，降至3%，高效保障了賬戶安全。
2.信用卡欺詐申請 - 防批量虛假申請
當今金融業(yè)務(wù)之中，真實用戶與虛假用戶共存，主動注冊與工具注冊同在。某銀行在開通網(wǎng)絡(luò)直銷銀行業(yè)務(wù)的首日，即收到近十萬次信用卡申請，此類請求不僅會大大增加銀行人工審核成本，影響正常用戶申請的處理效率，而且一旦虛假信息被審核通過，即可能發(fā)生惡意欠款事件，帶來嚴重經(jīng)濟損失。瑞數(shù)動態(tài)防御系統(tǒng)發(fā)現(xiàn)，在提交開戶申請的記錄中，95.26%都被判定為機器人自動提交的虛假申請；經(jīng)過有效過濾和阻攔，該銀行信用卡業(yè)務(wù)再未受到類似攻擊。
3.在線營銷安全 - 防薅羊毛
批量虛假申請會助長“養(yǎng)卡”的惡性風潮，為銀行日后各類優(yōu)惠促銷活動中出沒的“羊毛黨“提供溫床，致使活動效果大打折扣。而經(jīng)過瑞數(shù)動態(tài)安全的防護，該銀行一季度內(nèi)的一元搶購、低價秒殺、免費電影票等優(yōu)惠活動均順利進行，避免了因薅羊毛而產(chǎn)生的非法套現(xiàn)可能造成的100余萬人民幣的損失；并且由于活動實惠能真正為用戶所享，客戶數(shù)量也不斷攀升，銀行客戶端用戶同時在線數(shù)量達到230萬，是前一年峰值的3倍，突破歷史最高峰值。
構(gòu)建以“動態(tài)安全”為核心的主動防護新思路
不同于傳統(tǒng)防御方式大多基于特征庫、基于規(guī)則進行攻擊檢測和防御的靜態(tài)、被動特征，瑞數(shù)信息致力于打造一個主動防御系統(tǒng)，以動態(tài)封裝、動態(tài)驗證、動態(tài)混淆、動態(tài)令牌四大動態(tài)安全技術(shù)為支撐，從以下四個維度實現(xiàn)從用戶端到服務(wù)器端的全方位“主動防護”。
動態(tài)主動防御 - 做好風控前置
瑞數(shù)的動態(tài)安全技術(shù)可以通過主動防御來預測未知攻擊，幫助金融機構(gòu)提前做好防護，應(yīng)對業(yè)務(wù)欺詐威脅，充分實現(xiàn)“風控前置”。
一方面，瑞數(shù)利用動態(tài)封裝、動態(tài)混淆技術(shù)，隱藏攻擊入口，阻止針對性攻擊。瑞數(shù)“動態(tài)安全”對服務(wù)器網(wǎng)頁底層代碼進行封裝加密，并對客戶端輸入、提交的敏感數(shù)據(jù)內(nèi)容進行混淆變化，從而在服務(wù)器與客戶端之間實現(xiàn)持續(xù)的雙向動態(tài)加密，既隱藏了頁面漏洞、大幅增加攻擊難度，也增加了服務(wù)器行為的不可預測性。攻擊者無法分析頁面，就無法找到用戶填寫賬號、密碼、手機號等身份信息的對應(yīng)錄入口徑，也就無法獲取用戶信息進行下一步惡意操作。
另一方面，瑞數(shù)利用動態(tài)驗證、動態(tài)令牌技術(shù)，對攻擊來源進行人機識別，將自動化攻擊拒之門外。許多黑客會利用自動化工具批量開戶、批量申請信用卡，由于這些惡意請求并無明顯特征，常常以多IP源和低頻方式進行，因此很難判定是正常來源還是異常攻擊。瑞數(shù)“動態(tài)安全”通過對客戶端環(huán)境與操作行為進行驗證，嚴密檢查運行環(huán)境、瀏覽器指紋、疑似攻擊行為等因素，防止惡意終端訪問，并以一次性的頁面動態(tài)令牌為標志，確保業(yè)務(wù)邏輯的正確執(zhí)行，實現(xiàn)對自動化工具的動態(tài)識別，有效驗證訪問網(wǎng)頁的客戶端是“人”還是“自動化工具“，從而過濾大量的自動化攻擊噪音。
全程態(tài)勢感知 - 阻斷惡意攻擊
通過終端指紋采集、業(yè)務(wù)邏輯感知、操作行為感知以及陷阱異常捕獲等技術(shù)，可對交易全程感知威脅態(tài)勢，動態(tài)采集非法終端應(yīng)用、模擬合法操作、逆向破解及終端惡意代碼注入等各類終端安全威脅，并對其進行分析判斷，將惡意行為拒之門外。
協(xié)同智能響應(yīng) - 牽制攻擊行為
瑞數(shù)的動態(tài)防御解決方案可以對潛在的業(yè)務(wù)風險進行威脅取證，提供可視化分析和報告，并可與其它安全系統(tǒng)進行動態(tài)聯(lián)動，形成自動化協(xié)同響應(yīng)體系，智能攔截威脅，從而有效縮短響應(yīng)時間，快速牽制惡意攻擊行為。
動態(tài)威脅預測 - 形成防護閉環(huán)
瑞數(shù)動態(tài)安全解決方案結(jié)合了大數(shù)據(jù)和機器學習算法，基于本地威脅態(tài)勢、全球風險情報和第三方數(shù)據(jù)源，建立欺詐風險情報數(shù)據(jù)庫，讓用戶知悉惡意攻擊來源及動向；及時告警人為與自動化攻擊，并發(fā)現(xiàn)潛在的攻擊行為。同時根據(jù)動態(tài)趨勢預測的結(jié)果，即時應(yīng)對來自各方的安全威脅，調(diào)整防護策略，形成防護閉環(huán)。
正是通過上述四個維度的主動防護，瑞數(shù)信息的“動態(tài)安全”解決方案在中國為大量金融機構(gòu)的業(yè)務(wù)安全運營保駕護航。據(jù)統(tǒng)計，如今瑞數(shù)的解決方案每天可攔截超過6億次在線欺詐行為，保護5億多個賬戶和上萬億的交易額。
FinTech時代的科技變革，對金融行業(yè)的商業(yè)模式帶來顛覆性改變。正因如此，金融安全問題要運用更高的技術(shù)手段和更新的安全思路來解決。瑞數(shù)的“動態(tài)安全”技術(shù)可以幫助金融機構(gòu)主動應(yīng)對繞過現(xiàn)有安全防御機制的新興威脅，保護在線交易、網(wǎng)站和數(shù)據(jù)的安全。我們看到，瑞數(shù)信息所代表的不僅是高效的安全體系，更是一種與時俱進的創(chuàng)新探索精神，在金融科技時代，繪制出安全防護的新藍圖。
