业务安全

业务安全

去年我帮一家做跨境电商的业务安全朋友看后台日志，发现一个诡异的业务安全规律：每天凌晨三点到四点，总有几十个账号在批量下单，业务安全收货地址全是业务安全同一个海外仓。订单金额不大，业务安全每单几十美元，业务安全但频率极高。业务安全朋友一开始以为是业务安全刷单，后来才反应过来——有人在用他的业务安全平台做信用卡套现测试。那些订单最终全部拒付，业务安全平台不仅没赚到钱，业务安全还倒赔了支付通道费。业务安全

这就是业务安全业务安全要解决的问题。它跟传统网络安全不是业务安全一回事。防火墙、业务安全WAF、DDoS防护，这些是防黑客攻破系统。业务安全防的是“合法用户干非法的事”。账号是真的，密码是对的，请求格式也没问题，但行为本身是恶意的。

我观察到一个有意思的现象：很多公司舍得花几十万买下一代防火墙，却不愿意花几万块做业务风控。问起来就说“我们业务量小，没人盯着”。可攻击者恰恰挑的就是这种心态。羊毛党、黄牛、刷单客、薅补贴的，他们不挑大厂下手，因为大厂风控严。他们专找中小平台，成本低，收益快，被封了换个号继续。

业务安全的战场在数据里。举个例子，某生鲜电商发现每天有几百个新注册用户，注册后立刻领新人券，下单最便宜的一块钱矿泉水，用完券就再也不登录。正常用户不会这样。正常用户会浏览、比价、加购物车、犹豫，最后可能买也可能不买。这批账号的行为轨迹高度一致，像同一个人操作的。后来查出来，是一个羊毛群在批量注册。平台改了规则：新人券不能用于低于一定金额的订单。损失立刻止住了。

但规则不能拍脑袋定。我见过一个反例。某在线教育平台为了防刷课，规定同一IP下不能有超过三个账号同时在线。结果呢？一个家庭里父母加两个孩子，四个人用同一个WiFi上课，全被踢下线。客服电话被打爆。这就是典型的“误伤”。业务安全的核心难点在于：你既要拦住坏人，又不能挡住好人。而好人和坏人的行为有时候长得一模一样。

怎么区分？靠多维度的数据交叉。单看IP不够，还要看设备指纹、行为序列、时间规律、支付习惯。比如一个账号，注册十分钟内就下单，收货地址跟注册IP不在同一个城市，支付用的卡是虚拟卡，下单商品全是高价值易转手的。这几个信号叠加起来，风险分就上去了。单独看每一个都不致命，合在一起就很有问题。

我自己的经验是，业务安全没有一劳永逸的方案。你今天封了这批号，明天他们换一批设备继续来。这是一场持续的成本博弈。你要做的不是彻底消灭攻击，而是把攻击成本抬高到对方觉得不划算。当羊毛党发现薅你平台的成本比薅别家高出一倍，他们自然就走了。

还有一点容易被忽略：业务安全会跟用户体验打架。验证码、人脸识别、短信二次确认，每加一道关卡，转化率就掉一截。我见过一个金融App，为了防欺诈，转账前要过三道验证。结果正常用户嫌麻烦，转头用了别家。所以风控策略必须分层。低风险用户无感通过，高风险用户才上强度。这背后是一整套实时决策引擎在跑，毫秒级判断，用户根本感觉不到。

说到底，业务安全不是技术部门单独能搞定的事。它需要产品、运营、风控、客服坐在一起，把业务逻辑拆开揉碎，找到那些“只有坏人才会走的路”。然后在那条路上设卡。卡设多了，好人绕路；卡设少了，坏人直行。这个度，就是业务安全的全部艺术。