日志并不是簡單的存下來，從風(fēng)控分析的需求來看，通過IP、用戶名、設(shè)備等維度在一個(gè)較長的跨度中搜索信息是非常高頻的行為，同時(shí)還存在在特定類型日志，比如在訂單日志或者支付日志中按特定條件搜索的需求。

而這些主要是為了能夠讓分析人員可以快速的還原風(fēng)險(xiǎn)CASE，例如從客服那邊得到了一個(gè)被盜的案例，那么現(xiàn)在需要從日志中查詢被盜時(shí)間段內(nèi)這個(gè)用戶做了什么，這個(gè)過程如果有一個(gè)界面可以去做查詢，顯然比讓分析人員用grep在一大堆文件中查詢要快的多，并且學(xué)習(xí)門檻也要低得多。

如果在日志做過標(biāo)準(zhǔn)化的前提下，也可以進(jìn)行后續(xù)的業(yè)務(wù)語言轉(zhuǎn)譯，將晦澀難懂的日志字段轉(zhuǎn)化為普通員工都能看得懂的業(yè)務(wù)語言，也能極大的提升分析師在還原CASE時(shí)閱讀日志的速度。

2實(shí)時(shí)或定時(shí)的計(jì)算加工消息成變量&檔案

例如在分析某個(gè)帳號(hào)被盜CASE的時(shí)候，往往需要把被盜期間登錄的IP地址和用戶歷史常用的IP地址進(jìn)行比對(duì)，即使我們現(xiàn)在可以快速的對(duì)原始日志進(jìn)行查詢，篩選一個(gè)用戶的所有歷史登錄IP并察看被盜IP在歷史中出現(xiàn)的比例也是一個(gè)非常耗時(shí)的工作。
再比如我們的風(fēng)控引擎在自動(dòng)判斷用戶當(dāng)前登錄IP是否為常用IP時(shí)，如果每次都去原始日志里面查詢聚合做計(jì)算也是一個(gè)非常“貴”的行為。

那么，如果能預(yù)定義這些變量并提前計(jì)算好，就能為規(guī)則引擎和人工節(jié)省大量的時(shí)間了，而根據(jù)這些變量性質(zhì)的不同，采取的計(jì)算方式也是不同的。不過還好我們有一個(gè)標(biāo)準(zhǔn)可以去辨別：頻繁、對(duì)時(shí)效敏感的利用實(shí)時(shí)計(jì)算（比如訪問頻率、時(shí)間間隔）；而相對(duì)不頻繁、對(duì)時(shí)效不敏感的利用定時(shí)計(jì)算（比如用戶的常用IP、設(shè)備，即使少算短期內(nèi)的登錄記錄，也不會(huì)受到太大影響）

3選擇規(guī)則引擎將人工策略自動(dòng)運(yùn)行

一個(gè)設(shè)計(jì)優(yōu)雅的規(guī)則引擎是把分析師的經(jīng)驗(yàn)決策和數(shù)據(jù)最終轉(zhuǎn)化為風(fēng)險(xiǎn)輸出的核心模塊，首先說為什么需要規(guī)則引擎而不是選擇硬編碼邏輯——
筆者無數(shù)次遇到過這種場景，一個(gè)上午剛剛上線的策略，沒過1個(gè)小時(shí)，攻擊者或者欺詐者就已經(jīng)試出繞過策略的方法了，如果你的風(fēng)險(xiǎn)控制邏輯是硬編碼，那么恭喜你，再走一遍開發(fā)測試發(fā)布流程。

快速響應(yīng)是安全的生命線，無法想象還有比被攻擊者胖揍48小時(shí)然后才反應(yīng)過來去擋臉更讓人沮喪的事情了。

所以策略引擎必須能把策略邏輯從業(yè)務(wù)邏輯中解藕出來，讓防御者可以靈活配置規(guī)則在靜默模式下驗(yàn)證和實(shí)時(shí)上線生效，并可以去隨時(shí)調(diào)整。

類似的開源框架有很多，各有優(yōu)劣，但如果需要降低學(xué)習(xí)曲線，必須進(jìn)行一層包裝（這里又是一個(gè)比較大的話題，就先略過了）。

1、Sharding會(huì)影響到你的策略

為了支持并發(fā)和性能，通常在利用集群計(jì)算變量的時(shí)候我們會(huì)用到sharding。
sharding方式會(huì)按IP把數(shù)據(jù)分配到不同的運(yùn)算單元中去處理，在讀取結(jié)果的時(shí)候按IP去集群中的某臺(tái)機(jī)器中去拿數(shù)據(jù)，以大幅提升并發(fā)處理讀取計(jì)算結(jié)果的能力。
那么，現(xiàn)在如果我想去按某個(gè)USER去拿數(shù)據(jù)的時(shí)候，就會(huì)發(fā)現(xiàn)一個(gè)用戶在不同IP下的信息被保存在不同的服務(wù)器上了，所以單一的Sharding分配肯定是不合理的，這點(diǎn)必須要注意。

2、策略中用到的變量，能不用現(xiàn)場算的就不用

有些簡易的策略引擎設(shè)計(jì)中用到的變量都是到數(shù)據(jù)庫里現(xiàn)場算的，雖然可以極大的提升靈活性（新的變量不需要考慮歷史數(shù)據(jù)回補(bǔ)），但會(huì)極大的影響穩(wěn)定性和響應(yīng)時(shí)長，尤其在業(yè)務(wù)請(qǐng)求爆發(fā)的時(shí)候幾乎都會(huì)出現(xiàn)宕機(jī)無響應(yīng)的問題。
要知道業(yè)務(wù)研發(fā)對(duì)安全的結(jié)果并不是那么敏感，但如果出現(xiàn)了問題導(dǎo)致應(yīng)用不穩(wěn)定給人添麻煩，被拋棄可能就是早晚的事情，所以變量一定要盡量做到提前計(jì)算，并且設(shè)立緩存機(jī)制。

3、對(duì)風(fēng)險(xiǎn)分析要用到的計(jì)算資源有充分的認(rèn)識(shí)

毫不夸張的說，合格的風(fēng)險(xiǎn)分析要做的實(shí)時(shí)、準(zhǔn)實(shí)時(shí)計(jì)算量要大過應(yīng)用內(nèi)所有計(jì)算的總和甚至超過幾倍。
其實(shí)這也很好理解，比如一個(gè)典型登錄場景，業(yè)務(wù)要做的邏輯最主要的就是檢查密碼和帳號(hào)的身份是否吻合，而風(fēng)控要把這登錄用戶的歷史檔案全部拉出來看個(gè)遍，然后根據(jù)風(fēng)控策略來決定是否放行。所以在規(guī)劃風(fēng)險(xiǎn)分析要用到的資源時(shí)請(qǐng)不要吝嗇，按業(yè)務(wù)5X甚至10X的標(biāo)準(zhǔn)來評(píng)估風(fēng)險(xiǎn)分析的資源需求。

如果說信息采集主要看的是安全產(chǎn)品經(jīng)理的溝通協(xié)調(diào)能力，設(shè)計(jì)風(fēng)險(xiǎn)分析功能更多的就是考驗(yàn)安全產(chǎn)品經(jīng)理的邏輯思維能力。

到了這樣一個(gè)階段，外部冗雜的溝通協(xié)調(diào)已經(jīng)結(jié)束，但如何最大化利用前期打下的基礎(chǔ)，需要對(duì)風(fēng)險(xiǎn)問題的分析、決策過程有一個(gè)非常清晰的認(rèn)識(shí)，這里也有一個(gè)比較好的標(biāo)準(zhǔn)來去檢驗(yàn)：
分析平臺(tái)設(shè)計(jì)的差，那么就只有設(shè)計(jì)者自己會(huì)用；設(shè)計(jì)的好，你會(huì)發(fā)現(xiàn)處理投訴的客服、分析師都會(huì)很樂意來用你的分析平臺(tái)為他們解決問題。

但是分析出來的東西不能光自己看著High，還得去阻攔這些風(fēng)險(xiǎn)才能真正產(chǎn)生業(yè)務(wù)價(jià)值。

到了第三步我們離整個(gè)系統(tǒng)核心框架的搭建就只剩一步之遙了，那么讓我們看看這個(gè)環(huán)節(jié)要考慮什么：

1、最終呈現(xiàn)給業(yè)務(wù)研發(fā)直白的判定結(jié)果

我們最終從數(shù)據(jù)中發(fā)現(xiàn)的報(bào)警和問題最終是要在業(yè)務(wù)邏輯中去阻攔的，在接入這些結(jié)果的時(shí)候，往往分析師覺得可以提供的信息有很多，比如命中了什么規(guī)則、這些規(guī)則是什么、什么時(shí)候命中的、什么時(shí)候過期，其中最讓接入方心煩的當(dāng)屬風(fēng)險(xiǎn)分值當(dāng)仁不讓了，很多接入風(fēng)控的研發(fā)看到這些分值就一腦袋包：你到底想讓我做什么，攔還是不攔？這時(shí)候如果你喏喏的再丟出個(gè)多少分值以上要攔，研發(fā)多半都會(huì)跟你說直接給我結(jié)果就好了。
是的，很多風(fēng)控接口設(shè)計(jì)的都十分累贅，無用信息多到研發(fā)會(huì)覺得你在故意浪費(fèi)帶寬，其實(shí)一個(gè)code list給他們說明對(duì)應(yīng)希望做的操作就好，一定把你覺得那些很牛逼的中間結(jié)果等等包裝成最終結(jié)果再給出去。

2、T＋0還是T＋1

舉個(gè)例子來解釋實(shí)時(shí)(T+0)和異步（T＋1）風(fēng)險(xiǎn)判斷的區(qū)別。

T+1
你在打拳擊比賽，選手A只會(huì)打臉，上來就照著你臉來了一拳，你分析了一下打臉很疼而且不科學(xué)，在第二拳往臉揮過來時(shí)你突然告知對(duì)方不可打臉，對(duì)方就成功的被你克制住了。這就是T+1的特點(diǎn)，至少要在第二次風(fēng)險(xiǎn)攻擊才可以生效；

T＋0

拳擊比賽第二場對(duì)陣選手B，同樣被打臉后你說不可打臉，對(duì)方說好，結(jié)果沖著肚子就來了一拳。你說禁止打肚子，對(duì)方又一拳打腋下。這時(shí)你發(fā)現(xiàn)要在對(duì)方揮拳馬上打到你之前就要禁止。
這就是T＋0了。
因?yàn)門＋0在接入的時(shí)候要額外承擔(dān)很多計(jì)算成本，結(jié)果要現(xiàn)場算出來而延時(shí)要求又很高，所以一般都只在攻擊者得手關(guān)鍵步驟采取實(shí)時(shí)判斷（比如訂單支付或者提現(xiàn)請(qǐng)求）。而對(duì)于其他場景可以選擇T＋1方式，比如登錄或者提交訂單等。

3、阻斷邏輯到阻斷產(chǎn)品

這一點(diǎn)我們豈安在對(duì)外演講的時(shí)候介紹過很多，在阻斷風(fēng)險(xiǎn)的時(shí)候事件發(fā)生的點(diǎn)是不同的，但短期又不可能讓業(yè)務(wù)研發(fā)在所有的地方接入風(fēng)險(xiǎn)阻斷怎么辦？
所以我們需要考慮幾個(gè)基本的保底措施，比如統(tǒng)一的驗(yàn)證碼驗(yàn)證頁面在IP層全局防止任何爬蟲腳本行為，在賬號(hào)層通過登錄態(tài)管理統(tǒng)一攔截單個(gè)賬號(hào)在登錄后任何風(fēng)險(xiǎn)行為（全局強(qiáng)制登出）。
可能這些措施在體驗(yàn)上不是最好的，但是在發(fā)生特殊問題的時(shí)候要等研發(fā)給你臨時(shí)加阻斷邏輯這個(gè)時(shí)間就沒法控制了。

1、接入風(fēng)控阻斷的邏輯位置

登錄的時(shí)候賬號(hào)輸入框鼠標(biāo)失焦就要去走風(fēng)控了，登錄結(jié)果出來之后再去判斷就沒意義，而資金相關(guān)的一般是在跳轉(zhuǎn)去收銀臺(tái)之前，你會(huì)發(fā)現(xiàn)一般風(fēng)險(xiǎn)判斷都是在結(jié)果出來之前（收集本次行為完整日志之前），所以如果你要做T+0判斷，就要求研發(fā)在進(jìn)行風(fēng)險(xiǎn)判斷的時(shí)候要提供更完整的信息，而不是只給個(gè)IP或者賬號(hào)名就行了（往往T＋1就之要這些就夠）。

2、對(duì)業(yè)務(wù)流量充分調(diào)研并關(guān)注

平時(shí)可能流量很小的業(yè)務(wù)，突然因?yàn)槟硞€(gè)活動(dòng)（比如秒殺）流量大增，除了在接入之初要對(duì)風(fēng)險(xiǎn)判斷請(qǐng)求有了解，對(duì)后續(xù)的活動(dòng)也要提前準(zhǔn)備，否則如果資源預(yù)估不足，突然又趕上這個(gè)點(diǎn)接了T+0接口有很多要現(xiàn)場計(jì)算的邏輯，陡增的業(yè)務(wù)流量分分鐘教你做人。

3、bypass ！ bypass ! bypass

風(fēng)控風(fēng)險(xiǎn)判斷的最基本原則就是要不影響業(yè)務(wù)邏輯，所以超時(shí)機(jī)制在一開始就要嚴(yán)格約定并執(zhí)行，一旦發(fā)現(xiàn)風(fēng)控接口超過預(yù)計(jì)響應(yīng)時(shí)間立馬放行業(yè)務(wù)請(qǐng)求。

4、讓一線同事們知道你在做什么

任何風(fēng)控準(zhǔn)確率都不是100%的，所以在和研發(fā)溝通好接入后一定要告訴一線同事們風(fēng)控阻斷可能出現(xiàn)的表象，以及大致的原因，以避免一線客服們對(duì)風(fēng)險(xiǎn)攔截的投訴不知道如何解釋，并給出具體的阻斷回復(fù)措施（加白名單、刪除黑名單等等，上帝們?cè)谀承┤兆颖热?15維權(quán)意識(shí)是非常強(qiáng)的）。

阻斷是最終產(chǎn)生真實(shí)價(jià)值的環(huán)節(jié)，另外也是關(guān)聯(lián)部門最敏感的環(huán)節(jié)（嚇唬我半天逼著我把風(fēng)控接了，結(jié)果一天到晚給我出毛病？生產(chǎn)環(huán)境是給你們玩的？?。?，請(qǐng)保護(hù)這至關(guān)重要的信任，你后面會(huì)越做越順的。

風(fēng)控系統(tǒng)和大部分的產(chǎn)品項(xiàng)目一樣，最終需要對(duì)領(lǐng)導(dǎo)層匯報(bào)這個(gè)項(xiàng)目為公司帶來了什么價(jià)值，這是評(píng)估項(xiàng)目成功與否的要素；

另外是哪里做的不夠好，如果改善了能帶來更多的價(jià)值，給出了預(yù)期才有后續(xù)資源的補(bǔ)充，整個(gè)項(xiàng)目才能轉(zhuǎn)起來形成一個(gè)良性循環(huán)。

現(xiàn)在開始說說這個(gè)系列的最后一話：如何對(duì)風(fēng)控系統(tǒng)進(jìn)行效果評(píng)估與優(yōu)化。
我們看一下這個(gè)環(huán)節(jié)要考慮的：

1.找到錢在哪里
風(fēng)控項(xiàng)目的基本價(jià)值在于省錢，而省錢的思路基本有三種：直接攔截風(fēng)險(xiǎn)帶來的止損（比如提前阻止了一筆欺詐交易所挽回的損失）；提升服務(wù)穩(wěn)定性所帶來的業(yè)務(wù)基本指標(biāo)提升（比如因阻止風(fēng)險(xiǎn)事件所降低的服務(wù)響應(yīng)延時(shí)而提升的業(yè)務(wù)轉(zhuǎn)化）；降低服務(wù)不可用概率事件所帶來的直接業(yè)務(wù)損失（比如降低了風(fēng)險(xiǎn)事件導(dǎo)致服務(wù)宕機(jī)所帶來的營收損失）。

可以看出這三點(diǎn)是按風(fēng)險(xiǎn)事件的暴力程度做出的簡單劃分，其實(shí)也還有很多其他不同的視角來分類，很大程度上和對(duì)應(yīng)企業(yè)的互聯(lián)網(wǎng)業(yè)務(wù)形態(tài)有關(guān)。

而我們做這樣劃分的目的是為了：在一開始就明確風(fēng)控項(xiàng)目從哪里可以挖掘效益。
很多情況下風(fēng)險(xiǎn)事件不是一個(gè)獨(dú)立的問題，而是一個(gè)鏈條，由一些看起來影響不大的問題逐層深入。比如，交易欺詐并不是一個(gè)獨(dú)立的問題，而是因?yàn)樽?cè)環(huán)節(jié)發(fā)生的垃圾注冊(cè)問題攻擊者手里有了大量的賬號(hào)所導(dǎo)致的，所以任何一個(gè)風(fēng)險(xiǎn)問題都是有價(jià)值的。
無利不起早，作為風(fēng)險(xiǎn)分析者應(yīng)當(dāng)有能力找到其中的關(guān)聯(lián)轉(zhuǎn)化關(guān)系，并預(yù)測對(duì)方的得手點(diǎn)進(jìn)行效果評(píng)估會(huì)有更好的效果。

2.有效利用預(yù)期價(jià)值的力量

天下沒有100%準(zhǔn)確的風(fēng)控策略，所以在接入攔截的過程中業(yè)務(wù)方可能存在種種阻力，往往的一個(gè)誤區(qū)是沒有攔截就認(rèn)為風(fēng)控沒有效果。
其實(shí)，效果評(píng)估不只是在最后項(xiàng)目落地評(píng)估價(jià)值所用，在推行項(xiàng)目中間也有很好的效果，雖然沒有攔截，但預(yù)期效果放在那里，這對(duì)決策者平衡業(yè)務(wù)影響有著重要的價(jià)值。

3.學(xué)會(huì)考慮企業(yè)財(cái)務(wù)目標(biāo)

風(fēng)控系統(tǒng)并不是一個(gè)可有可無的東西。其實(shí)大部分企業(yè)中安全已經(jīng)是業(yè)務(wù)的必要組成部分了，那么我們知道在資源有限、而業(yè)務(wù)風(fēng)險(xiǎn)問題無限的情況下，所有的資源投入都必然有一個(gè)優(yōu)先級(jí)，而這個(gè)優(yōu)先級(jí)與整個(gè)企業(yè)發(fā)展的現(xiàn)狀必須是牢牢捆綁在一起的。
講簡單些：風(fēng)控系統(tǒng)解決什么問題，評(píng)估出的效果與企業(yè)目前業(yè)務(wù)關(guān)心的問題息息相關(guān)。
如果企業(yè)目前的業(yè)務(wù)重點(diǎn)在一次年度促銷活動(dòng)，那么風(fēng)控的重點(diǎn)就應(yīng)當(dāng)在促銷羊毛黨；如果企業(yè)目前面臨嚴(yán)重的賬戶盜用投訴問題，那么重點(diǎn)就應(yīng)在賬號(hào)安全。尤其在風(fēng)控系統(tǒng)啟動(dòng)之初，配合系統(tǒng)的需求交付時(shí)間選擇對(duì)應(yīng)的重點(diǎn)問題，對(duì)于項(xiàng)目效果的評(píng)估是一個(gè)巨大的加分項(xiàng)，切記一開始就貪大貪全。

4.策略的生命周期和健康度

風(fēng)控系統(tǒng)的規(guī)則有多少？哪些已經(jīng)很久沒有觸發(fā)了？產(chǎn)生誤判投訴的對(duì)應(yīng)規(guī)則有哪些？一個(gè)新規(guī)則在建立起初的效果肯定是最有效的（因?yàn)檫@時(shí)風(fēng)險(xiǎn)問題正在發(fā)生，而規(guī)則正好對(duì)應(yīng)了風(fēng)險(xiǎn)），但隨著時(shí)間其有效性是呈快速下降的趨勢。
比如，攻擊者都知道網(wǎng)站三次輸入密碼錯(cuò)誤觸發(fā)驗(yàn)證碼，他們會(huì)傻傻的嘗試第三次猜測密碼的概率有多大？那么，是否有人在定期的去統(tǒng)計(jì)分析這些規(guī)則的效率？這就是風(fēng)控產(chǎn)品的重要運(yùn)營環(huán)節(jié)了。
而運(yùn)營風(fēng)控產(chǎn)品所要付出的代價(jià)，往往大于常規(guī)互聯(lián)網(wǎng)業(yè)務(wù)產(chǎn)品，并且是保證項(xiàng)目能夠持續(xù)產(chǎn)出價(jià)值并不斷迭代進(jìn)化的一個(gè)前提。

業(yè)務(wù)風(fēng)控是一個(gè)非常具有挑戰(zhàn)性的項(xiàng)目，我一直把它比作一種競技游戲，而這種攻防不同于傳統(tǒng)安全（在傳統(tǒng)安全你并不能有足夠的技術(shù)能力預(yù)測所有人的攻擊方法），它更強(qiáng)調(diào)邏輯和預(yù)測——
攻守雙方在一個(gè)雙方充分了解的環(huán)境下（業(yè)務(wù)邏輯簡單到任何人都可以理解，但又可以產(chǎn)生無數(shù)的變化和組合）不斷的博弈。

而這正是業(yè)務(wù)風(fēng)控系統(tǒng)的樂趣所在。

業(yè)務(wù)風(fēng)險(xiǎn)問題足夠簡單而又足夠復(fù)雜，正是這樣的原因其參與攻擊者并沒有太高的門檻限制。處于國內(nèi)互聯(lián)網(wǎng)的環(huán)境下，任何一家企業(yè)都不可能逃開業(yè)務(wù)風(fēng)險(xiǎn)問題的影響。
作一個(gè)比喻，這片土壤是有著自己的一些特質(zhì)的，企業(yè)如果是生長在這片土壤中的一顆樹，投入足夠的養(yǎng)分才能快速生長，而業(yè)務(wù)風(fēng)險(xiǎn)則是寄生于樹木竊取養(yǎng)分的角色，只有能夠充分抵御這種風(fēng)險(xiǎn)的才能成長為參天大樹。

作者介紹 劉明  豈安科技聯(lián)合創(chuàng)始人，首席產(chǎn)品技術(shù)官 超過6年的風(fēng)控和產(chǎn)品相關(guān)經(jīng)驗(yàn)，曾就職網(wǎng)易，負(fù)責(zé)《魔獸世界》中國區(qū)賬戶體系安全?，F(xiàn)帶領(lǐng)豈安互聯(lián)網(wǎng)業(yè)務(wù)風(fēng)控團(tuán)隊(duì)為客戶提供包括了明星產(chǎn)品Warden和RED.Q的風(fēng)控服務(wù)。