騰訊安全云部助理總經(jīng)理李旭陽(yáng)
很高興有這個(gè)機(jī)會(huì)跟大家一起做一下分享。
看論壇的名字，大數(shù)據(jù)與云計(jì)算助力中國(guó)經(jīng)濟(jì)實(shí)現(xiàn)世界級(jí)騰飛，大數(shù)據(jù)對(duì)中國(guó)經(jīng)濟(jì)確實(shí)發(fā)揮非常大的作用。
經(jīng)濟(jì)發(fā)展隨之而來(lái)就有各種各樣的東西，黑色、灰色甚至觸犯刑法的東西就蠻多，大家看到的光輝一面比較多，我們一直打擊網(wǎng)絡(luò)詐騙這一塊，我們接觸時(shí)間比較久，我們發(fā)現(xiàn)確實(shí)比較觸目驚心。我這個(gè)主題把現(xiàn)在這種網(wǎng)絡(luò)上或者電話中、電信詐騙案例看一下，會(huì)說(shuō)一下我們簡(jiǎn)單的思路。
我的這些分享思路，如果要是大家在互聯(lián)網(wǎng)上做一些業(yè)務(wù)安全，我這個(gè)思路是對(duì)大家?guī)椭浅７浅７浅４?，?qiáng)調(diào)三個(gè)字，如果有人做這一塊是非常大。這個(gè)分享我以前做過(guò)，有的東西很難分享，做安全是講策略，人與人之間的對(duì)抗，對(duì)抗是不能公開(kāi)我的策略，如果我公開(kāi)我的策略，其實(shí)壞人知道我這個(gè)策略就失效了，后面我會(huì)講一下對(duì)抗中用到比較有意思的東西。后面還會(huì)講一些評(píng)估方法，這個(gè)也非常重要，不管你吹得天花亂墜怎么好，到最后沒(méi)有價(jià)值其實(shí)還是一點(diǎn)用也沒(méi)有。
最近好萊塢有部電影叫《極盜者》，講的大致這樣的故事，有一群壞人，比較酷，同時(shí)為了了解跟多的信息去破案，臥底就產(chǎn)生了，臥底無(wú)非了解他們犯罪模式了解更多信息?？戳诉@個(gè)電影，聯(lián)系到了我們做的工作還是很有感觸，因?yàn)槲覀冊(cè)诟鷫娜藢?duì)抗過(guò)程中，其實(shí)很多地方也是這么來(lái)做，我們要知道壞人怎么運(yùn)作，才能想辦法去阻止他。
我們相對(duì)于警方而言，我們是不帶槍或者沒(méi)有執(zhí)法權(quán)利的這種執(zhí)法者，我們看到一個(gè)壞人，我們能夠阻止他，但是我們不能抓他，只能跟他對(duì)抗讓他的成本上升，比如他要花5塊錢(qián)只能騙到4塊錢(qián)或者3塊錢(qián)，他就不做這件事情，我們讓他的門(mén)檻拉高，讓他在詐騙中獲益變少。
這是我們身邊經(jīng)常會(huì)發(fā)生的一些故事，我們可能在做的過(guò)程中，在前兩個(gè)月左右眼睜睜看到一對(duì)在深圳打工夫婦，我們發(fā)現(xiàn)他被騙了，然后我們?nèi)ヂ?lián)系他，聯(lián)系不到，然后警察聯(lián)系他，聯(lián)系不到他，晚上聯(lián)系到他的時(shí)候，被騙了7萬(wàn)塊錢(qián)。7萬(wàn)塊錢(qián)可能對(duì)大家來(lái)說(shuō)不算什么，但是對(duì)比較普遍或者對(duì)普遍藍(lán)領(lǐng)或者打工人員來(lái)說(shuō)7萬(wàn)塊錢(qián)是非常大的一個(gè)數(shù)字，可能他們一年都攢不了那么多錢(qián)，當(dāng)時(shí)我做這件事情內(nèi)心非常難受，包括這個(gè)案子也都是真實(shí)的案例，經(jīng)常自己存了一點(diǎn)錢(qián)被騙洗劫一空。
除了這些比較底層打工人員被騙，受過(guò)高等教育也是有被騙的。在去年春節(jié)前后有一個(gè)華北一個(gè)員工騙了1100多萬(wàn)，這個(gè)在報(bào)紙上有寫(xiě)，其實(shí)是我們發(fā)現(xiàn)。還有一個(gè)女的，40多歲一個(gè)女的被騙了500多萬(wàn)，把房子賣(mài)到，當(dāng)她自己知道被騙絕望跳樓自殺，非常多的一些故事，我們做這個(gè)事情的時(shí)候，我們接觸到這樣的故事就很有感觸，以至于這個(gè)東西正是驅(qū)動(dòng)我做這件事情的最大動(dòng)力，我們做這件事情沒(méi)有給公司帶來(lái)一毛錢(qián)利潤(rùn)，拿著公司高工資做了一些別人看上去比較二的事情，我們把它稱之為情懷。
我再簡(jiǎn)單介紹一下詐騙，這個(gè)主題盡量講得讓沒(méi)有知識(shí)背景的人也能夠聽(tīng)得懂。
詐騙產(chǎn)業(yè)鏈發(fā)展很快，比我們安全從業(yè)者或者比國(guó)家像警察之類要發(fā)展快得多，他們驅(qū)動(dòng)力是非常強(qiáng)的，就是變現(xiàn)賺錢(qián)。他們變化非?？?，一旦發(fā)現(xiàn)你跟他對(duì)抗馬上就換，而且他們?nèi)ψ觽鞯梅浅？?，各種各樣的詐騙，形形色色非常多，他們發(fā)展是非?？斓模粫?huì)我用數(shù)字證明，壞人比壞人做得好發(fā)展得快。
之所以出現(xiàn)這么嚴(yán)重的情況主要還是有幾個(gè)特點(diǎn)，第一，非常難防，各種各樣的詐騙非常多，用警察的話來(lái)說(shuō)，幾百種詐騙模式，總有一款適合你。你覺(jué)得你很聰明，他總能找到一種適合你。我舉個(gè)簡(jiǎn)單的例子，你有小孩在學(xué)校上學(xué)，突然給你打電話，說(shuō)你小孩怎么怎么樣。 我有一個(gè)同事手機(jī)打不通，告訴他爸，住院了不行了，要打錢(qián)過(guò)去。各種各樣的詐騙模式非常多，總有一款適合你。
后面難治，警察是有責(zé)任，但是他做不了。為什么？因?yàn)樗麤](méi)有數(shù)據(jù)。他在整個(gè)網(wǎng)上的詐騙環(huán)節(jié)中警察是什么也做不了，只能適合破案。我打個(gè)電話騙一個(gè)人，讓這個(gè)人打錢(qián)打到銀行卡上，所有東西不經(jīng)過(guò)警察，警察沒(méi)辦法中間攔阻所以非常難治。
難控，現(xiàn)在我發(fā)現(xiàn)每年增長(zhǎng)都非?？欤揪偷貌坏揭稽c(diǎn)點(diǎn)遏制?，F(xiàn)在應(yīng)該國(guó)家還有各地公安對(duì)稱之為非接觸式犯罪上升得非常快，真正的接觸式傳統(tǒng)犯罪其實(shí)已經(jīng)控制得非常好。
這是一個(gè)數(shù)字，是詐騙加上灰產(chǎn)，在電商或者銀行里面羊毛黨或者各種灰色軟件拉安裝APK，還有黑鏈大致在3萬(wàn)億左右。
89%，都是媒體上數(shù)據(jù)沒(méi)有太多的證實(shí)，也就八九不離十，大部分人碰到過(guò)詐騙信息，我都碰到過(guò)好多次，不管電話、短信也好。
尤其是有幾概念，我認(rèn)為有幾個(gè)詞會(huì)被說(shuō)濫，大數(shù)據(jù)，誰(shuí)都口口聲聲說(shuō)大數(shù)據(jù)，我現(xiàn)在聽(tīng)到大數(shù)據(jù)都想吐了。
還有就是安全，一說(shuō)安全，習(xí)大大說(shuō)什么什么安全，在公司 里又是什么什么安全，各種各樣到處都是安全，從業(yè)人一堆一堆的，具體是怎樣的，其實(shí)很多人還是理解一般。我說(shuō)一下我這邊從這種主題來(lái)說(shuō)，我把這種安全是分了三類。
一個(gè)就是習(xí)總最關(guān)注的國(guó)家安全。這一塊中國(guó)做得是非常好的，輿情，國(guó)外間諜滲透竊取國(guó)家機(jī)密或者恐爆等等。
還有企業(yè)安全，企業(yè)安全包括每個(gè)企業(yè)自己的ID系統(tǒng)的安全，防信息的挖取這是最基礎(chǔ)的每個(gè)公司都有，特別大互聯(lián)網(wǎng)公司都有。
還有非常重要是業(yè)務(wù)安全，這個(gè)在安全領(lǐng)域里面警察如果不算，算互聯(lián)網(wǎng)上面安全從業(yè)者，業(yè)務(wù)安全是從業(yè)人數(shù)最多的。我舉個(gè)簡(jiǎn)單的例子，我初步估計(jì)一下，就在互聯(lián)網(wǎng)公司，百度我了解不多，阿里也好、騰訊也好，他們真正安全從業(yè)者大部分是業(yè)務(wù)安全，然后再加上基礎(chǔ)安全，基本上可能這種安全從業(yè)者占總?cè)藬?shù)的10%左右，還是非常多的。業(yè)務(wù)安全它的范疇是非常廣的，每一個(gè)業(yè)務(wù)都是需要業(yè)務(wù)安全的，否則的話你這個(gè)業(yè)務(wù)肯定是要掛的。比如說(shuō)電商你要打假貨，你要抓羊毛黨這都是安全范疇。
比如說(shuō)百度搜索，它要打詐騙黑鏈違法鏈接要打掉也是處于業(yè)務(wù)安全，甚至防劫持等等。
還有騰訊做的游戲比較多，在游戲里面防外掛，這個(gè)就是它的業(yè)務(wù)安全，這個(gè)非常重要，如果做不好，失去平衡就掛了。所以業(yè)務(wù)安全是從業(yè)領(lǐng)域是最多的，也是各個(gè)企業(yè)非常關(guān)注的。所以我們經(jīng)常這樣說(shuō)，作為把安全理解成互聯(lián)網(wǎng)企業(yè)的入門(mén)門(mén)檻，你做得大了，你不做業(yè)務(wù)安全，肯定會(huì)掛。
還有2C，普通用戶普通網(wǎng)民的安全。這個(gè)比如說(shuō)你的信息泄漏，設(shè)備商、個(gè)人信息泄漏，還有社工詐騙，以前安全的公司，卡帕斯基，比如360走的公共安全這一塊，從安全主題大致分為這樣的一個(gè)情況。
在這一塊為什么要說(shuō)社工詐騙，我今天重點(diǎn)分享社工詐騙，國(guó)家安全層面做得不錯(cuò)，企業(yè)安全企業(yè)還是做得不錯(cuò)，公共安全真正缺乏有人關(guān)注或者說(shuō)從現(xiàn)在來(lái)看形勢(shì)是最差的一塊，我重點(diǎn)講一下社工詐騙。
社工詐騙常見(jiàn)手段非常多，你中了什么什么《奔跑吧，兄弟》節(jié)目多少多少錢(qián)，報(bào)紙上也有這樣的廣告，你訂個(gè)機(jī)票，收到短信告訴你航班取消等等。
我們最近幾天監(jiān)測(cè)到最火爆的詐騙網(wǎng)上兼職，告訴你網(wǎng)上刷單給你返傭，上當(dāng)受騙的人是大學(xué)生和沒(méi)有工作這部分人，沒(méi)工作就自然想到從網(wǎng)上賺點(diǎn)錢(qián)，就上當(dāng)了，最近是非常嚴(yán)重，我們重點(diǎn)在打擊這一塊。這批大概兩撥人合作在做，一部分在廣西，一部分是在浙江。比如說(shuō)你在網(wǎng)上看到各種各樣的兼職，基本上都是騙子。
說(shuō)到詐騙方式，有了詐騙方式一定要把信息公布出去，所以他有自己的傳播方式，當(dāng)然這種詐騙不是說(shuō)現(xiàn)在有了互聯(lián)網(wǎng)才有了社工詐騙，很早以前就有了，在互聯(lián)網(wǎng)很不發(fā)達(dá)的時(shí)候就有了，比如在報(bào)紙上，富婆征婚，房車(chē)各類，100%是騙子，小廣告、報(bào)紙之類這些都是騙子，報(bào)紙的小廣告。
然后還有電話，詐騙電話，電話傳播模式，像詐騙短信，搜索引擎也是重點(diǎn)傳播渠道。上次有一個(gè)人還給我們吐槽，在南京的時(shí)候，他是一個(gè)領(lǐng)導(dǎo)，他在國(guó)外受到航空詐騙，他就去網(wǎng)上搜了一下出來(lái)一個(gè)電話，被騙了2千塊錢(qián)，他在網(wǎng)上搜索到的信息剛好排在最前面，官方客服打過(guò)去，搜索引擎在里面充當(dāng)了為虎作倀，至少幫騙子做了很多事情。還有信息發(fā)布網(wǎng)站，婚戀、招工等等。
還有UGC平臺(tái)，熱門(mén)網(wǎng)絡(luò)評(píng)論帖、微博、朋友圈，還有騰訊的QQ包括Email，凡是有信息發(fā)布溝通都可能變成騙子去傳播的一些方式，形形色色都非常多。
我再說(shuō)挑戰(zhàn)。為什么這個(gè)社工詐騙那么嚴(yán)重。 信息太多了，壞人躲在正常請(qǐng)求里面是非常少的，舉一個(gè)網(wǎng)址，真正惡意網(wǎng)址占所有用戶訪問(wèn)的正常的網(wǎng)址里面可能只有萬(wàn)分之五或者更低，你去里面找很難找，大海撈針，惡意比例太低了。
還有壞人不像以前黑客，做病毒的人秀技術(shù)，展示一下自己很牛等等，現(xiàn)在完全為了賺錢(qián)，只要能賺到錢(qián)，什么low手段都無(wú)所謂，持續(xù)跟你對(duì)抗。
這種現(xiàn)在新型出現(xiàn)社工詐騙，傳統(tǒng)廠商已經(jīng)基本上完全失效了，這邊有個(gè)圖不是太清楚，我們可以看到，比如在社工詐騙里面釣魚(yú)網(wǎng)址或者欺詐網(wǎng)址是很重要的一個(gè)載體。從最近的一起，前幾天的一個(gè)報(bào)告來(lái)看，前面都是國(guó)產(chǎn)，你可以看到后面幾家國(guó)外，惡意網(wǎng)址的攔截率基本是零，沒(méi)有任何作用。既然傳統(tǒng)的這種模式都失效了，要做，OK，因?yàn)樗奶攸c(diǎn)就是大數(shù)據(jù)，用大數(shù)據(jù)的方法來(lái)解決這個(gè)問(wèn)題。
當(dāng)然有了大數(shù)據(jù)的方法，是不是就可以做好？答案肯定沒(méi)有，現(xiàn)狀就是社工詐騙很猖獗，既然用這個(gè)方法沒(méi)做好還是有原因。為什么？它的責(zé)任口徑是在警察這一邊，但是就像我剛才說(shuō)的，警察是沒(méi)有數(shù)據(jù)沒(méi)辦法切入詐騙的整個(gè)鏈條里面，他是沒(méi)法做。有責(zé)任的人沒(méi)法做。
還有一個(gè)數(shù)據(jù)很分散，比如說(shuō)他要形成一個(gè)詐騙環(huán)節(jié)可能需要運(yùn)營(yíng)商的數(shù)據(jù)，可能需要銀行的數(shù)據(jù)，但是這些數(shù)據(jù)其實(shí)是不好串，串不起來(lái)。
假如說(shuō)警方想去做這件事情或者說(shuō)有這種公司想去做這種事情，要想接觸運(yùn)營(yíng)商的數(shù)據(jù)，想去接觸銀行數(shù)據(jù)，這個(gè)是不太可能的。當(dāng)然這個(gè)也有比如說(shuō)因?yàn)榉傻鹊纫?guī)定，這是用戶隱私你不能接觸，你不能因?yàn)槟阋霭踩憔腿シ恋K大部分的隱私，其實(shí)也是蠻有道理。再加上真正做這種事情，專業(yè)人才，我認(rèn)為還是在國(guó)內(nèi)的幾個(gè)大的互聯(lián)網(wǎng)公司，一般小的互聯(lián)網(wǎng)公司可能還是有比較優(yōu)秀的人，這個(gè)不否認(rèn)，但是畢竟是占得少。
比如說(shuō)我們做安全，我們做了十年，然后我們比如說(shuō)網(wǎng)址欺詐，我其中一個(gè)團(tuán)隊(duì)十個(gè)人，從09年一直做到現(xiàn)在十個(gè)人，里面核心員工做了5、6年，就做一件事情，這種消耗或者這種投入還是非常巨大的，這還是僅僅人力成本，如果再加上設(shè)備成本，設(shè)備我們有400臺(tái)服務(wù)器做這件事情。真正能做這些事情或者做得有效果，短期有效這些人出自大公司有經(jīng)驗(yàn)的人。
當(dāng)然這是解決方法，用大數(shù)據(jù)方法去解決，其它方法不好解決。雖然有很多的困難，但是用大數(shù)據(jù)方法去解決其實(shí)還是有一些方法，我們先不說(shuō)可以不可以數(shù)據(jù)，假如有機(jī)會(huì)得到數(shù)據(jù)，有機(jī)會(huì)做這樣的事情，怎么辦？大數(shù)據(jù)的方法，大數(shù)據(jù)的方法各種各樣的分享太多了，基本上都是所謂機(jī)器學(xué)習(xí)、人工智能等等。簡(jiǎn)單來(lái)說(shuō)其實(shí)就是把多維度數(shù)據(jù)抽取出來(lái)，有用數(shù)據(jù)維度，把黑白名單分出來(lái)，通過(guò)算法去把白樣本、黑樣本特征提取出來(lái)，制定規(guī)則，未知樣板做出來(lái)然后機(jī)器學(xué)習(xí)，這個(gè)東西很簡(jiǎn)單。
我會(huì)簡(jiǎn)單開(kāi)始真正介入到業(yè)務(wù)安全和壞人對(duì)抗，后面這三四個(gè)概念我認(rèn)為還是很有意思，大家至于理解多少我就不管。
染色，我只講兩個(gè)方法，一個(gè)稱之為順藤摸瓜。這個(gè)什么意思？我舉一個(gè)簡(jiǎn)單例子，比如說(shuō)我們發(fā)現(xiàn)一個(gè)網(wǎng)址是惡意的，我們又找到網(wǎng)址注冊(cè)人，發(fā)現(xiàn)它的email，我們發(fā)現(xiàn)惡意網(wǎng)址網(wǎng)頁(yè)，我們發(fā)現(xiàn)網(wǎng)頁(yè)用了固定的模板，我們一想壞人他去找人開(kāi)發(fā)網(wǎng)頁(yè)應(yīng)該大部分都是用的同一個(gè)模板，我們通過(guò)這個(gè)關(guān)鍵信息或者一個(gè)信息，我們就去找使用這個(gè)模板的網(wǎng)頁(yè)有多少，都是哪些，又抓出來(lái)了很多，通過(guò)另外一種手段沒(méi)有檢測(cè)出來(lái)的惡意網(wǎng)頁(yè)。OK，我稱之為順藤摸瓜，核心意思就是說(shuō)你要找到一個(gè)壞人某些破綻，通過(guò)這個(gè)破綻才去找到其它的東西去補(bǔ)充找到壞人，這是順藤摸瓜，通過(guò)一個(gè)線索找惡意的東西。
還有找賊窩。物以類聚人以群分，其實(shí)壞人也都是聚集在一起的，不是單干的，壞人是團(tuán)伙作案，一個(gè)人做什么什么樣的事情，一圈人也是做什么什么樣的事情，這是很容易理解。比如說(shuō)有一個(gè)案子，找賊窩有時(shí)候是很美妙的東西，有這樣一個(gè)小的案子。一個(gè)屌絲程序員想找漂亮老婆，突然認(rèn)識(shí)一個(gè)空姐，他就想到怎么找到空姐女朋友。
既然認(rèn)識(shí)這個(gè)空姐怎么找到其他空姐認(rèn)識(shí)女朋友，之前比較簡(jiǎn)單的方式，通過(guò)空姐的微博或者朋友圈去看看其它圈子，她的圈子里面交的女性大部分是空姐，大概這個(gè)思路。我們做安全也是這樣，比如在廣西賓陽(yáng)、海南儋州等等，幾大賊窩很?chē)?yán)重。
上面說(shuō)到了一些找到壞人和檢測(cè)壞人方法，這個(gè)會(huì)講到對(duì)抗方法，這個(gè)也很有意思，應(yīng)該是去年的電影，《模擬游戲》，我是沖著圖靈去的，講的圖靈故事。這里面主線在二戰(zhàn)期間圖靈去破譯德國(guó)的密碼叫Enigma，花費(fèi)很大精力去破解這個(gè)密碼。當(dāng)時(shí)團(tuán)隊(duì)要把這個(gè)東西馬上報(bào)告軍方，軍方資助他，圖靈攔住了，這個(gè)是絕密不能夠擴(kuò)散，我們把這個(gè)東西范圍非常小，告訴了軍情六處，策略出來(lái)了，一定要把保密的范圍非常小，你去問(wèn)別人的時(shí)候，你什么安全策略，別人會(huì)告訴你安全策略但不會(huì)告訴你為什么。
