摘要：現(xiàn)在的風(fēng)控系統(tǒng)是啥樣的對(duì)風(fēng)控的描述比較空泛，只是給出邏輯概念。至于如何去做一套完善的風(fēng)控系統(tǒng)，這個(gè)領(lǐng)域已經(jīng)有大量的投入和專家，可以去參考借鑒。應(yīng)該是互聯(lián)網(wǎng)內(nèi)風(fēng)控玩的最早最成熟的公司，筆者也有幸成為其國內(nèi)的第一批開發(fā)，學(xué)習(xí)到很多。

彈指間，一起創(chuàng)業(yè)已有大半年。這大半年間，累與成果并存，痛并快樂著，這自不用多提，應(yīng)該是這一行從業(yè)者的普遍感受了。現(xiàn)在每每反思以往，總結(jié)不足，其中一條就是技術(shù)團(tuán)隊(duì)過于封閉，悶著頭干活，發(fā)聲不足，既不利于引入別人的好的經(jīng)驗(yàn)，也沒法將自身的成果拿出去接受批判，這其實(shí)與我們的技術(shù)宗旨是不符合的，還是需要擠出時(shí)間往外看，向外喊。

本文將會(huì)是豈安科技技術(shù)團(tuán)隊(duì)的拋磚石，來引出小伙伴的總結(jié)分享，更重要的是能得到外界的批評(píng)指正，幫我們出謀劃策。這一篇將沒什么干貨，只是從我的角度對(duì)一些風(fēng)險(xiǎn)相關(guān)的概念進(jìn)行通俗化的闡述，希望能講明我們想要針對(duì)的問題是什么，我們的定位在哪里，技術(shù)的角度看需要去做什么，為什么要這么做，我們跟巨頭的差別在哪里。

筆者學(xué)術(shù)時(shí)代的老板是作可信計(jì)算的，當(dāng)年的課題便是信任與風(fēng)險(xiǎn)，所以恰巧也算是國內(nèi)較早在計(jì)算機(jī)領(lǐng)域?qū)︼L(fēng)險(xiǎn)一塊有所涉獵的人之一，當(dāng)時(shí)最頭痛的是，雖然很多人在這些方向都有相關(guān)的學(xué)術(shù)工作，但是對(duì)“信任”和”風(fēng)險(xiǎn)“這兩個(gè)模糊的概念，從來就沒有清晰公認(rèn)的定義，大家都是自說自話，概念上都是遷就自己的工作，對(duì)信任和風(fēng)險(xiǎn)都有著自己的見解，以至于光綜述里總結(jié)的定義就有上百種。

現(xiàn)在，工業(yè)界也出現(xiàn)了類似的情況，電商已經(jīng)燒了好些年頭，互聯(lián)網(wǎng)金融最近也大火，征信風(fēng)控的字眼更是隨處可見，幾番交道打下來，大家基本上還是在風(fēng)險(xiǎn)之上談風(fēng)險(xiǎn)，很少對(duì)其本身去作過多的定義和闡述，具體手段也限于傳統(tǒng)金融業(yè)經(jīng)驗(yàn)往線上的照搬，或者是具體漏洞的補(bǔ)缺，有些像手里拿著把箭在掃射。我依然執(zhí)拗以為，一定要先說清楚自己面對(duì)的問題是什么，才能更加的明白自己在做什么，做起事來才能有的放矢，不至于陷入被動(dòng)的攻防戰(zhàn)。

廢話一籮筐，直接給出我個(gè)人比較認(rèn)可的通俗定義，來方便闡述本文后續(xù)的概念：

風(fēng)險(xiǎn) = probability + outcome

這是我看到的一種比較全面的解釋。很多人認(rèn)為風(fēng)險(xiǎn)是帶來損失的概率，也有很多人覺得風(fēng)險(xiǎn)就是最終帶來的損失；就好像很多人認(rèn)為坐汽車風(fēng)險(xiǎn)高（因?yàn)檐嚨湈茁矢撸硪徊糠秩擞X得飛機(jī)更危險(xiǎn)（基本就是掛了），大家的側(cè)重點(diǎn)不同。

而作為風(fēng)險(xiǎn)相關(guān)的從業(yè)者，個(gè)人認(rèn)為兩者都需要考慮，所以和很多人一樣，直接做了加法，既包含可能性，也包含潛在的損失。

風(fēng)險(xiǎn)本身只是人對(duì)客觀事實(shí)的一個(gè)評(píng)估，重要的是如何去計(jì)算它，之后又如何去用來幫我們實(shí)現(xiàn)利益的最大化，這里給一張簡單抽象的圖來描述所謂的風(fēng)控邏輯上是一個(gè)什么樣的流程：

這里面對(duì)信任的定義是當(dāng)年從哲學(xué)論文里面摘出來的，算是相對(duì)靠譜的定義：

Trust = knowledge (weak) reduction

所謂的信任，就是利用一切可以用的知識(shí)（通俗常稱為證據(jù)，或者情報(bào)等），進(jìn)行一定的歸納。

這些知識(shí)包括：

一些常規(guī)的檢查工作，主要是做一些身份識(shí)別，合規(guī)的工作。這種是最常見的

社交信息，主要是一些關(guān)聯(lián)信息，可以通過交易、ip、手機(jī)號(hào)能找到一批其他個(gè)體的信息，可以有效的幫助判斷

歷史行為，被評(píng)估者的歷史行為有著極為重要的作用

上下文，當(dāng)前交易/活動(dòng)的具體特征，對(duì)當(dāng)下的判斷非常重要

其他信息

事實(shí)上，要做信任判斷還需要很多其他額外的知識(shí)。只是越多越準(zhǔn)確，那么所謂的uncertainty就越小，后續(xù)的決策才會(huì)越準(zhǔn)確。

現(xiàn)在一般傳統(tǒng)的就是作一些合規(guī)操作，時(shí)髦一點(diǎn)的就是在歷史行為和社交信息這一塊大做文章，來彌補(bǔ)傳統(tǒng)方式信息量的不足，還可以標(biāo)榜“大數(shù)據(jù)”，我們豈安科技也屬于后者。

所謂的風(fēng)險(xiǎn)決策，就是利用收集的信任信息，對(duì)所有可能的結(jié)果做一個(gè)損失（損失是基本客觀存在的）和概率（主要靠信任信息來推斷）的判斷，最終形成一個(gè)風(fēng)險(xiǎn)輪廓，來方便決策后續(xù)的就好辦了。

有了具體的風(fēng)險(xiǎn)輪廓，根據(jù)企業(yè)的風(fēng)險(xiǎn)承受能力和商業(yè)模式作指引，就可以做出相應(yīng)的決策了。一般而言，如果需要降低風(fēng)險(xiǎn)，需要采取措施去降低風(fēng)險(xiǎn)，或者是損失。

以現(xiàn)在流行的p2p舉例，要么是讓借貸人提供更多的材料去證明他違約的概率比較小；要么是平臺(tái)會(huì)收取一定比例的擔(dān)保費(fèi)用，來減少違約帶來的損失。

對(duì)風(fēng)控的描述比較空泛，只是給出邏輯概念。目前大多數(shù)的企業(yè)和機(jī)構(gòu)應(yīng)該都是這么干的，只是有的干得比較好，有的干的更好而已：

成熟度。大型、新型的企業(yè)會(huì)有一整套風(fēng)控框架，里面相關(guān)的人數(shù)量和角色也多，比較成熟；小公司往往投入不足，做法也山寨。

量化能力。小一點(diǎn)的企業(yè)往往只能作到定性分析，就事論事，最后主要靠拍腦袋。牛一點(diǎn)的可以做到定量分析，這樣能有個(gè)科學(xué)的定義和計(jì)算模型，才能腦袋拍得輕些。

持久性。小一點(diǎn)的企業(yè)往往只做當(dāng)前的case；大一點(diǎn)的公司整個(gè)流程是持續(xù)迭代的，而且是正反饋的，這樣它整個(gè)風(fēng)控模型就能不斷修正和完善。

至于如何去做一套完善的風(fēng)控系統(tǒng)，這個(gè)領(lǐng)域已經(jīng)有大量的投入和專家，可以去參考借鑒。我個(gè)人的資歷比較有限，只能提供兩個(gè)參考：

1、如果想從流程上去改善
如果你對(duì)類似CMM這樣的成熟度模型感興趣，不放參考Octave(Operationally Critical Threat,Asset,and Vulnerability Evaluation)，這同樣是CMU的SEI推出的，目的是提出緩解企業(yè)信息安全風(fēng)險(xiǎn)的方法論，它本身不是一套計(jì)算機(jī)系統(tǒng)，但在流程、理念、邏輯結(jié)構(gòu)、方法論上能有比較好的啟發(fā)。

2、如果想建一套完善的計(jì)算模型
可以參考paypal的架構(gòu)。paypal應(yīng)該是互聯(lián)網(wǎng)內(nèi)風(fēng)控玩的最早最成熟的公司，筆者也有幸成為其國內(nèi)的第一批開發(fā)，學(xué)習(xí)到很多。這個(gè)公司的商業(yè)模式就是建立在風(fēng)控上，所以投入也大，雖然就技術(shù)上而言非常保守，但其整體框架絕對(duì)值得一提，
如圖：

上圖是我以前畫過的我印象中P公司是如何處理risk的（依然是簡單概念圖）：

最大的投入是通過運(yùn)營作人工分析，一方面可以更細(xì)致更準(zhǔn)確的去處理各種高風(fēng)險(xiǎn)交易；另一方面在于找到了很多新的攻擊，人工標(biāo)注產(chǎn)生了很多樣本，這點(diǎn)是最關(guān)鍵的。

大量的分析師通過數(shù)據(jù)倉庫去做模型、做規(guī)則。最早的時(shí)候還沒有hadoop，他們靠商業(yè)的teradata來作這件事，算是先驅(qū)了。大部分模型、規(guī)則也簡單，頂多是logistic regression，勝在數(shù)據(jù)量大，以及龐大的ops團(tuán)隊(duì)支撐。

相當(dāng)數(shù)量的開發(fā)人員，去開發(fā)模型需要的數(shù)據(jù)，從數(shù)據(jù)庫里面計(jì)算出來，形成統(tǒng)一的變量接口，然后線上的系統(tǒng)就是在不停的跑了。

整個(gè)過程是循環(huán)的，在線系統(tǒng)標(biāo)注的高危交易會(huì)被繼續(xù)人工分析，然后成為新一輪的素材來實(shí)現(xiàn)整套風(fēng)控系統(tǒng)的不斷演化和改進(jìn)（Ocatave也是提出了類似這種迭代的模型）。

開發(fā)、ops、分析師三個(gè)角色明確分工，有機(jī)結(jié)合在一起。這是目前國內(nèi)大部分公司是很缺乏的。

整套系統(tǒng)里面每一塊都比較保守，有各自固有的問題，但勝在整個(gè)框架很好。體制的優(yōu)勢(shì)決定了其依然是現(xiàn)存的最成功的風(fēng)控系統(tǒng)，豈安科技的兩大系統(tǒng)（Warden和red.Q）也都是受此影響很多。

然而，以上只是描述了一個(gè)有錢公司的成熟系統(tǒng)是啥樣的，現(xiàn)實(shí)世界中，只有極少數(shù)公司能做到這個(gè)程度。很多公司（尤其是中小型互聯(lián)網(wǎng)公司）是這樣干的：

系統(tǒng)的脆弱點(diǎn)比較多，尤其是業(yè)務(wù)搬遷到互聯(lián)網(wǎng)后，暴露點(diǎn)增多。各種漏洞（技術(shù)上的和業(yè)務(wù)上的）層出不窮，黑產(chǎn)業(yè)的日益發(fā)達(dá)也帶來了更多的影響。

資源較少。一些金融相關(guān)的可能還好，大部分公司對(duì)此投入不足，忙不過來。

可利用的現(xiàn)成的技術(shù)少。風(fēng)控通常是比較復(fù)雜和昂貴的，只有大公司用的起，小公司投入不起，往往就是穿個(gè)褲衩就要面對(duì)各種攻擊了。

上述幾點(diǎn)造成，大部分公司根本沒能力去做詳盡的數(shù)據(jù)收集和量化計(jì)算，也就很難有個(gè)成熟的風(fēng)控模型或是系統(tǒng)去應(yīng)對(duì)互聯(lián)網(wǎng)上頻繁出現(xiàn)的攻擊，最終就變成了打地鼠模式：

每當(dāng)惡意（帶來損失）的事件發(fā)生，被動(dòng)的去應(yīng)對(duì)，而且只能作事后處理

每次事件的處理只能作就事論事的防范。這次一錘子不能幫你打下一錘子

量化能力上還是比較難對(duì)風(fēng)險(xiǎn)作定量分析，關(guān)注的指標(biāo)只能是命中率（打中多少衰神加分）和誤殺率（打中多少福神扣分）

當(dāng)帶來風(fēng)險(xiǎn)的主體比較難區(qū)分，偽裝的比較好的時(shí)候，這錘子就敲不下去了。比如現(xiàn)在一大危害羊毛黨，很難和正常用戶區(qū)分開來，造成無法防范

當(dāng)風(fēng)險(xiǎn)攻擊來得異常頻繁和快速，錘子也來不及敲。最近短信轟炸的攻擊行為忽然冒起，沒有健壯的風(fēng)控系統(tǒng)保護(hù)，只能素手無策

這個(gè)就是我們感受到的骨感的現(xiàn)實(shí)。

陸文，豈安科技聯(lián)合創(chuàng)始人，首席產(chǎn)品技術(shù)官
曾擔(dān)任PayPal資深高級(jí)工程師。參與豈安科技所有產(chǎn)品線的架構(gòu)和設(shè)計(jì)，帶領(lǐng)團(tuán)隊(duì)在數(shù)據(jù)挖掘、多媒體分析、跨數(shù)據(jù)中心分布式系統(tǒng)、高性能實(shí)時(shí)大數(shù)據(jù)計(jì)算、海量數(shù)據(jù)采集等領(lǐng)域進(jìn)行前沿研究和產(chǎn)品化，推動(dòng)豈安成為國內(nèi)領(lǐng)先的大數(shù)據(jù)解決方案提供商。

反爬蟲
來源：www.bigsec.com