业务安全蓝军测评标准白皮书（2024年版）

1 目录 一、业务安全蓝军测评标准6 1.1业务安全脆弱性评分(ISVS)6 1.2ISVS评分的参考意义8 二、业务安全蓝军测评案例13 2.1虚假安装蓝军测评案例13 2.2人脸识别绕过蓝军测评案例15 三、业务安全蓝军测评类型20 3.1基础测评20 3.2周期测评21 3.3行业横评21 四、业务安全蓝军测评场景23 4.1营销活动作弊场景23 4.2业务刷量场景24 4.3广告刷量场景24 4.4人脸识别绕过场景25 附：攻击效率指标取值高低参考27 1.物料获取效率27 2.技术对抗效率29 前言 互联网黑灰产成长至今，已形成了团伙化、自动化、生态化、上下游严密配合的产业链网。据统计，互联网黑灰产对互联网企业及线下实体行业每年造成近千亿元的损失。网络黑灰产的从业群体伪装成正常的业务请求不断蚕食鲸吞着企业业务的利益，如掠夺新人红包的羊毛党、利用企业平台流量批量进行恶意营销诈骗的引流产业、破坏企业推荐计费规则的刷量作弊产业等。随着互联网黑产攻击模式的成熟，运作模式的可复制性越来越高，业务安全问题日渐突显。 当前，企业在处理业务安全问题时往往面临着以下挑战： 攻防信息不对等：企业对黑灰产攻击手段及变化缺乏深入了解，造成攻击发现处理滞后、周期长的局面。 策略效果评估难：策略下发后，难以全面评估策略效果、及时发现黑产新的绕过手段等。评估体系缺失：不同于互联网基础安全，业务安全问题没有明确的边界。在基础安全中，多数攻击的危害程度已有像OWASPTop10这样的评估标准，而业务安全由于场景复杂，同时需要综合考虑用户体验及用户活跃，一直缺乏一套行之有效的评估体系。 与基础安全的严防死打不同，业务安全的目标通常不是杜绝攻击，而是将攻击限制在可控的范围内，从而确保业务的正常开展和业务规模的健康增长。 以营销活动场景对抗羊毛党举例，实体商品清库存的互联网促销活动、餐饮行业需要到店消费优惠折扣券等情况，对羊毛党的容忍度较高，业务安全的治理目标是将羊毛党控制在50% 以下，而针对特定客群的拉新活动，则希望补贴尽可能落在真人用户上，对羊毛党容忍度较低——真人将有一定转化率成为长期用户，羊毛党的转化率几乎为0，羊毛党占比过高将损失掉很多机会成本，那么业务安全的治理目标是将其控制在10%以下。可以看到，即使都是营销活动场景，活动类型和规则不同，评估的目标也会不同。 因此，企业的业务安全问题需要一套评估体系，能够数字化体系化地描述遭受攻击带来的危害程度及安全策略实施后的效果等。 基于以上需求与目标，威胁猎人在2020年发布了国内首个《业务安全蓝军测评标准白皮书》，填补了业务安全行业长期以来缺失攻击危害及安全策略效果评估体系的空白。时隔四年，威胁猎人结合第一版标准落地过程中遇到的挑战以及过去几年在各行业多家客户的业务安全蓝军实战经历，对第一版标准进行了修订和更新，发布了《业务安全蓝军测评标准白皮书 （2024年版）》。 5 01 业务安全蓝军测评标准 一、业务安全蓝军测评标准 1.1业务安全脆弱性评分(ISVS) 业务安全脆弱性评分（InteractionSecurityVulnerabilityScore）是从攻击者视角出发，将企业的某个业务对象设定为攻击目标，使用黑灰产的攻击方式对该对象发起模拟攻击测试，还原攻击过程，并结合最终的攻击结果评估黑灰产攻击给该业务对象带来的危害。 ISVS计算方式： ISVS=Max(攻击效率AE*目标达成率AR) 攻击效率AE(AttackEfficiency) 测评对象或达成目标不同，评估攻击效率取值的方式往往也会不同，通常可以分别从物料获取效率和技术对抗效率这两个角度来考虑。物料包括攻击过程中需要用到的手机号资源、账号资源、IP资源、设备资源、身份认证资源等，攻击者获取这些物料的成本越低，攻击效率越高，反之越低；技术则包括攻击过程中为了破解应用保护或绕过风控限制等，所用到的软件逆向技术、改机技术、改定位技术、人脸伪造技术等等，攻击者应用这些技术并攻击成功的门槛越低，攻击效率越高，反之越低。 注：关于攻击效率指标取值高低参考，详见附件。 目标达成率AR(AchievementRate) 目标达成率AR是指该攻击方案的最终测试结果达到预期攻击目标的比率。达到或超过预期攻击目标，取值为1。 如果是定量的攻击目标，比如预期在指定时间段内攻击成功10000次，实际攻击成功8000次，则目标达成率为(8000/10000)=0.8；如果是非定量的攻击目标，比如预期是绕过测评对象的人脸识别，实际结果也是绕过成功，则目标达成率为1，否则目标达成率为0；如果需要在限定的条件下才能达成目标，比如只有低版本安卓系统才可以攻击成功，则可以结合实际情况进行取值0到1之间。 以上两个指标各自评估出一个[0,1]区间的得分，相乘便得到ISVS评分，取值区间也是[0,1]。由于在测评过程中可能会采用多个攻击方案进行测评，需要综合多个攻击方案的ISVS评分，取最大值（基于木桶短板原则）。ISVS分数越高，则说明测评对象面临该攻击方案时越脆弱，若黑灰产使用该方案对业务发起攻击，造成的危害越大。 下图是XX产品面对五种攻击方案时ISVS取值的散点图分布： XX产品-业务安全蓝军测评结果 1.2ISVS评分的参考意义 企业在进行业务安全脆弱性评分(ISVS)时不是单纯追求低分，而是从攻击者视角，客观反映出当前业务安全的水位，及时暴露短板，并以此推动整改和治理。 1.2.1基线对比 前文提到业务安全的目标不是杜绝攻击，而是将攻击限制在可控的范围内。如果有明确的定义，比如使用黑产广泛掌握的攻击方式（攻击效率AE取值1）发起1000次攻击，攻击成功次数低于200属于可控，超出500属于失控，则可以建立两个ISVS评分基准值：可控 基线0.2和失控基线0.5。评分在区间[0,0.2)说明将攻击限制在可控的范围内，评分在区间(0.5,1]说明已经失控，急需加强安全建设。 以散点图形式对可控区间和失控区间进行直观展示： XX产品-业务安全蓝军测评基线 1.2.2纵向对比 测评对象和预期目标不变的情况下，ISVS评分也会随着业务安全水位的变化和黑灰产攻击方式的升级迭代而变化，因此业务蓝军测评需要周期性地进行，通过ISVS评分的纵向对比来反映安全建设工作的实际成效，以及是否出现了新的短板。 以散点图形式不同阶段ISVS评分进行直观展示： XX产品-业务安全蓝军纵向测评 1.2.3横向对比 跟行业内的同类业务进行对比测评，并通过ISVS评分来反映测评对象在行业内的安全水位。如果相比行业内的同类业务，ISVS评分偏高，则需要尽快加强安全建设，因为相对薄弱的业务必然会成为黑灰产的重点攻击对象。 以散点图来展示测评对象在行业内的安全水位情况： XX行业-业务安全蓝军横向测评 12 02 业务安全蓝军测评案例 二、业务安全蓝军测评案例 2.1虚假安装蓝军测评案例 虚假安装主要出现在业务营销推广当中，某些推广渠道会跟黑灰产勾结，伪造虚假的应用安装量，从而骗取企业的推广费用。 2.1.1定义测评对象和攻击目标 测评对象：某社交应用 预期攻击目标：攻击1周，每个攻击方案平均每天成功完成2000次虚假安装 2.1.2制定攻击方案 基于黑灰产研究所掌握的情报信息，从攻击者视角来看，虚假安装目前主要有两类攻击路径：1）在真实手机或模拟器上通过脚本模拟点击的方式进行应用的安装和启动，并通过群控批量控制多台设备，通过改机技术篡改设备的IMEI、安卓ID、Mac地址等参数来伪造新设备。2）破解应用的接口协议，编写自动化程序伪造应用安装和启动的接口请求，在请求参数中填入虚假的设备信息，在没有实际安装应用的情况下直接欺骗业务后台。 根据以上两种攻击路径，制定出四种攻击方案，如下： 方案一：通过模拟器来伪造多台手机设备； 方案二：使用真实手机，并通过软件改机的方式来伪造新设备； 方案三：使用真实手机，并通过定制ROM改机的方式来伪造新设备；方案四：破解应用接口协议，直接伪造安装和启动的接口请求。 2.1.3执行攻击并评估ISVS 攻击方案 方案说明 AE AR ISVS 方案一 该应用具备较强的模拟器检测能力，测试多款模拟器都无法正常启动该应用，即使根据黑灰产所掌握的方法刻意抹去模拟器特征也不能成功，因此攻击效率AE取值为0，ISVS评分也为0。 0 / 0 方案二 该应用具备较强的前端对抗能力，测试多款改机软件，均被应用检测出注入/Hook等痕迹导致无法正常启动该应用，因此攻击效率AE取值为0，ISVS评分也为0。 0 / 0 方案三 定制ROM改机通过篡改系统底层源码来篡改设备信息，导致应用无法对其进行有效的对抗，测试可以安装并启动应用，同时每次改机后都会认为是一台新设备的安装。但定制ROM改机在测评期间并没有被黑产广泛使用，且需要购买专门的设备，因此攻击效率AE取值为0.5，最终平均 0.5 0.6 0.3 每天完成的虚假安装次数为1200次，目标达成率AR为(1200/2000)=0.6，ISVS评分为0.5*0.6=0.3。 方案四 虽然协议攻击是黑产常见的攻击方式，但是该应用对接口协议做了加密，网络抓包只能看到加密后的内容无法直接进行协议伪造；同时该应用做了代码保护，无法直接反编译加密算法也无法直接调用加密函数。最终在高级逆向分析工程师投入一个月左右的时间才完成了协议算法的破解，这对于黑灰产来说技术对抗效率是比较低的，攻击效率AE取值为0.1。破解之后平均每天可以完成超过2000次的虚假安装，目标达成率AR为1，ISVS评分为0.1*1=0.1。 0.1 1 0.1 结合方案一到方案四的ISVS评分，测评对象的综合ISVS评分为0.3，同时可以给出评语：测评对象在防御虚假安装上具备较强的安全能力，黑灰产无法通过模拟器或软件改机伪造新 设备来制造虚假安装，而伪造协议的攻击方式对于黑灰产有着很高的技术门槛，可以采用定 期更换算法的方式来进一步限制这类攻击。对于定制ROM改机不具备检测能力，考虑到该 方式会被黑产越来越多地使用，需要尽早进行针对性防范。 2.2人脸识别绕过蓝军测评案例 人脸识别绕过主要出现在一些关键的身份认证场景当中，比如网络犯罪分子在掌握了受害者的账号密码之后，还需要绕过人脸识别，才能成功进行异地登录、转账等敏感操作。 2.2.1定义测评对象和攻击目标 测评对象：某金融应用 预计攻击目标：成功绕过应用的人脸识别，完成非本人的账号登录 2.2.2制定攻击方案 基于黑灰产研究所掌握的情报信息，从攻击者视角来看，绕过人脸识别有两个关键步骤，分别是生成虚假的人脸视频和控制手机摄像头播放人脸视频。 生成人脸视频有两种方式，分别是： 1）人脸活化：借助CrazyTalk等软件，基于受害者的照片生成眨眼、点头、摇头等动作的视频； 2）人脸替换：借助DeepFaceLab等软件，将提前录制好的视频中的人脸，替换成受害者的人脸。 控制手机摄像头播放人脸视频有三种方式，分别是： 1）拍摄电脑屏幕：在电脑上播放人脸视频，手机摄像头直接拍摄电脑屏幕； 2）手机摄像头劫持：购买黑灰产定制的过人脸手机，劫持摄像头的视频流； 3）云手机虚拟摄像头：利用云手机的虚拟摄像头功能，可以播放指定的视频。因此一共组合出2*3=6种攻击方案，如下： 方案一：人脸活化+拍摄电脑屏幕；方案二：人脸活化+手机摄像头劫持； 方案三：人脸活化+云手机虚拟摄像头；方案四：人脸替换+拍摄电脑屏幕； 方案五：人脸替换+手机摄像头劫持；方案六：人脸替换+云手机虚拟摄像头。 2.2.3执行攻击并评估ISVS 攻击方案 方案说明 AE AR ISVS 方案一 使用人脸活化方式制作出来的视频，无法通过检测，因此方案一的目标达成率AR取值为0，ISVS评分也为0。 / 0 0 方案二 同方案一 / 0 0 方案三 同方案一 / 0 0 方案四 摄像头对着电脑屏幕拍摄，无法通过检测，因此方案四的目标