CN115563605A - 一种基于安全云更新验证码的方法及系统 - Google Patents

Abstract

本发明公开了一种基于安全云更新验证码的方法及系统，包括如下步骤：S1.验证码云服务对外提供验证服务，并检测到黑产攻击时，云服务针对黑产攻击进行更新，生成新的安全策略，安全策略里增加规则限制；S2.云服务将此次黑产攻击的详情录入情报，情报包括攻击的源头、使用的工具、攻击中出现的问题和带来的影响以及将应对此次攻击的安全策略发布到业务安全情报模块；S3.私有化部署验证码和云服务具备相同的规则执行引擎；S4.使用私有化验证码的用户订阅云服务的情报，从云服务拉取最新情报并展示，用户可以查阅情报，判断是否需要从这份情报里更新本地部署的验证码，如果用户认为需要，可以直接一键更新。本发明可以提升验证码的攻防效率和安全效果。

Description

一种基于安全云更新验证码的方法及系统

技术领域

本发明涉及互联网中数据安全领域，尤其涉及一种基于安全云更新验证码的方法及系统。

背景技术

黑灰产，指的是电信诈骗、钓鱼网站、木马病毒、黑客勒索等利用网络开展违法犯罪活动的行为。稍有不同的是，“黑产”指的是直接触犯国家法律的网络犯罪，“灰产”则是游走在法律边缘，往往为“黑产”提供辅助的争议行为。

为了应对黑灰产，人机验证是互联网领域里一个基本安全技术。主要用于阻断机器和脚本的自动操作。从最早期的图片文字识别，到物体识别，然后是滑块验证，文字验证等。上面提及的这些传统的人机验证，更多是在验证码模块内部进行人机策略的调整和人机模型的更细。

现有的安全厂商提供安全验证码服务，分两种情况，一种是针对互联网等行业，适合saas服务；还有一种情况，诸如金融，银行，国企等，无法使用saas服务，只能私有化部署系统。人机验证是一项对抗很激烈的技术，因为黑灰产会持续去破解验证码。所以验证码需要有能快速更新的能力，更新的内容不限于验证码的图片，验证码的安全策略，验证码的人机识别模型等。传统技术一般是厂商自己的策略人员或建模人员根据自己的经验去优化和更新人机策略或模型，缺少安全云模块的支持，不能做到跨行业跨客户的情报和策略获取和沉淀，大多情况是由厂商到现场进行系统升级，或者提供更新补丁进行升级。

现有验证码系统，在攻防时效上较低。对最新的安全情报获取缺少有效手段。在不同行业和企业间的攻防能力和经验获取和复用上，缺少系统机制。在私有化部署验证码场景下，服务客户和升级成本比较高，而且比较难保证私有化验证码的更新迭代速度。

发明内容

针对现有技术存在的问题，本发明的目的在于实现一种基于安全云更新验证码的方法及系统，安全云综合了各个行业最新的业务安全情报、最新的攻击手段、最新的人机攻防策略升级包和风险数据，通过引入安全云模块，可以提升验证码的攻防效率和效果。

为实现上述目的，本发明提供一种基于安全云更新验证码的方法，所述方法包括如下步骤：

S1.验证码云服务对外提供验证服务，并检测到黑产攻击时，云服务针对黑产攻击进行更新，生成新的安全策略，安全策略里增加规则限制；

S2.云服务将此次黑产攻击的详情录入情报，所述情报包括攻击的源头、使用的工具、攻击中出现的问题和带来的影响以及将应对此次攻击的安全策略发布到业务安全情报模块；

S3.私有化部署验证码和云服务具备相同的规则执行引擎；

S4.使用私有化验证码的用户订阅云服务的情报，从云服务拉取最新情报并展示，用户可以查阅情报，判断是否需要从这份情报里更新本地部署的验证码，如果用户认为需要，可以直接一键更新。

S5.私有化话部署的验证码出现黑产攻击情况，服务商跟进处理以后也会将本次攻击的情况作为情报更新到业务安全情报模块；

S6.更新的内容不限于策略，也可以是黑名单数据，或者验证码的图片，字体等元素。

进一步，更新过程是将情报中的策略文件下载到本地，并导入本地验证码系统的数据库，验证码系统会加载这些策略并进行风险判断。

进一步，情报的来源包括两方面，一方面是安全云服务，另一方面是来自私有化服务，安全服务厂商提供给私有化用户安全运营服务，负责用户的线上业务安全。

另一方面，本发明提供一种基于安全云更新验证码的系统，所述系统用于实现根据本发明所述的基于安全云更新验证码的方法，所述系统包含业务安全情报模块、智能策略模块、风险数据模块和模型服务模块。

进一步，业务安全情报模块用于汇总互联网各行业黑灰产攻击信息、最新作弊工具、黑产动向形成情报，其中每个情报包括对应的数据分析以及应对的安全策略。

进一步，智能策略模块和情报彼此关联，智能策略模块用于按照行业和风险汇总应对黑灰产的安全策略，包括风险设备检测策略和风险账户检测策略。

进一步，风险数据模块用于汇总互联网各类黑产数据，包括风险ip、手机黑卡、设备黑库。

进一步，云服务和使用私有化服务的用户使用具备相同的规则执行引擎，所述规则执行引擎的作用是根据收集到的数据执行对应的规则并输出结果。

进一步，基于相同的所述规则执行引擎，策略具备迁移的基础，将策略从情报中心同步到私有化用户。

本发明的技术优势在于，将不同行业和企业间的相关的攻击情况和防控经验，以业务安全情报、智能防控策略升级包和风险数据的方式汇总到安全云，并推给用户，进行自动或半自动升级。验证码私有化部署的企业用户可以订阅情报并从情报直接更新本地的验证码。验证码系统需要支持动态更新一些验证要素，比如图片，文字，模型，策略等，能够实现提升验证码的攻防效率和效果。

附图说明

图1示出了根据本发明实施例一种基于安全云更新验证码的方法及系统的架构示意图。

具体实施方式

下面将结合附图，对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的描述中，需要说明的是，术语“中心”、“上”、“下”、“左”、“右”、“竖直”、“水平”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”、“第三”仅用于描述目的，而不能理解为指示或暗示相对重要性。

在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以根据具体情况理解上述术语在本发明中的具体含义。

以下结合图1对本发明的具体实施方式进行详细说明。应当理解的是，此处所描述的具体实施方式仅用于说明和解释本发明，并不用于限制本发明。

本发明的基础是业务安全服务厂商提供云服务和私有化服务。如图1所示，云服务是saas（Software-as-a-Service的缩写名称，软件服务化）形态的风控和验证码服务，企业直接调用接口的方式使用业务安全服务厂商的安全服务，比如某个客户接入业务安全服务厂商的云风控服务进行交易防护，客户需要把交易相关的业务数据发送给业务安全服务厂商，由业务进行风险识别，风险识别的方式包括但不限于检测用户的终端设备是否有风险，用户app是否被篡改，用户手机号是否是黑卡，用户ip是否是代理，用户是否使用常用设备等。基于云服务，业务安全服务厂商可以收集到各个接入客户的风险情况并沉淀出风险数据，所述风险数据包括风险设备、风险手机号、风险ip地址、以及风控的安全策略。一般风控的这些积累普遍具备行业属性，即这类数据会按照电商、游戏、保险、航司等行业进行归类。这也就是业务安全服务厂商安全云收集到的核心安全数据。而在本方案里，主要强调的一个点是将安全云的数据共享给私有化的验证码用户，因为私有化用户其安全系统是部署在用户自身环境里，具有封闭性，而业务安全仅靠自身数据肯定是滞后的，安全云的目的就是给私有化用户带来各行业的防护能力，让私有化用户可以具备软件服务化的能力。

根据本发明实施例的基于安全云更新验证码系统，所述安全云包含业务安全情报模块、智能策略模块和风险数据模块。

其中，业务安全情报模块用于汇总互联网各行业黑灰产攻击信息，最新作弊工具，黑产动向等情报，其中每个情报包括对应的数据以及应对的安全策略。情报可以理解为一个事件，甚至一个新闻，比如一个攻击事件发生后，应对这个攻击需要哪些安全策略，哪些风险名单数据等要素。安全策略是由安全人员分析攻击情况以后给出的，比如分析攻击来自哪些ip，哪些设备，从而提取数据黑名单数据。比如一个具体实施例中，某个用户的的营销活动出现漏洞，被黑产大量盗取，产生重大经济损失。业务安全情报模块收录这次攻击的情报，所述情报包括业务漏洞（比如没有限制一个账号可以领几张券），被攻击的手段（使用脚本自动化工具），以及如何应对这种攻击的安全策略。情报的获取主要来自云服务，安全服务厂商以云服务的方式提供给各行业业务安全服务，所以云服务可以获取到各行业的一手风险情况。除此之外，通过黑产群，论坛等方式也可以获取黑产最新动向。情报的来源有两方面，一方面是安全云服务，用户接入了安全云，云服务必然能第一手时间知道各类安全情报；另一方面是来自私有化服务，安全服务厂商提供给私有化用户安全运营服务，负责用户的线上业务安全，这也是收集情报的一个方式。

智能策略模块用于按照行业和风险汇总应对黑灰产的安全策略，比如风险设备检测策略，风险账户检测策略等。策略是在分析攻击事件以后生成，比如分析后发现某个垃圾注册的攻击，手机号都是一个号段的，然后可以把这个分析结果指定为防控策略。策略可以从云端直接下载，或者文件导入本地系统。策略的生成是在云端策略管理页面进行配置，配置完成后可以导出为策略文件。策略文件的内容可参见下表。

策略的具体定义如下表所示。

其中，策略是一组规则的集合，规则的形式是（左变量 操作符 右变量）。比如a>b,就是一个规则，具体例子是：设备近一小时关联的账户数量>3。

这个就是一个限制设备关联多账号的规则，一组这样的规则就形成一套策略。一套策略就可以用来识别某一种风险。比如上面提到的银行卡号被到风险就可以使用一套策略来检测。

智能策略模块和情报彼此关联，比如针对银行卡号被盗用的检测策略为：

用户的账号出现在非常用设备；

交易账户是陌生账号，首次交易；

交易地点异常，非常用地；

交易时间在夜里；

多笔频繁交易，金额均不大。

风险数据模块用于汇总互联网各类黑产数据，比如风险ip，手机黑卡，设备黑库等。风险数据模块可以独立使用，就作为风险名单，比如发现一批有欺诈风险的手机号，直接作为名单使用。另外也可以和风控策略项结合，比如发现一批有恶意攻击行为的手机号，这些手机号使用手机模拟器进行薅羊毛，那么可以创建一些安全策略，比如识别当手机在模拟器的环境下时或者手机号在指定的名单范围内，是有高风险的。

本申请中云服务和使用私有化服务的用户使用具备相同的规则执行引擎，这个引擎的主要作用是根据收集到的数据执行对应的规则并输出结果。基于相同的规则引擎，策略就具备迁移的基础，所以策略才能从情报中心同步到私有化用户。

规则引擎是一个应用，用来执行配置好的规则。规则形式如上表所示。

两个规则引擎应用，一个在云端，一个在私有化环境，在相同的输入数据和相同的规则情况下，得到的结果是一样的。

根据本发明实施例的基于安全云更新验证码的方法，其工作流程如下：

S1.验证码云服务对外提供验证服务时，如果遇到黑产攻击，比如在某次攻击中发现大量黑产来自某一个地区，云服务随后进行更新，加强了安全策略检测，策略里新增加规则对该地区的限制，比如限制该地区的ip访问频率和设备访问频率。

S2.云服务将此次攻击的详情录入情报，所述情报包括攻击的源头、使用的工具、攻击中出现的问题和带来的影响以及将应对此次攻击的安全策略以及其他更新内容一并发布到业务安全情报模块。

S3.私有化部署验证码和云服务具备相同的规则执行引擎。

S4.使用私有化验证码的用户订阅云服务的情报，情报模块是私有化验证码的一个模块。情报模块从云服务拉取最新情报并展示，用户可以查阅情报，判断是否需要从这份情报里更新本地部署的验证码，如果用户认为需要，可以直接一键更新，更新过程是将情报中的策略文件下载到本地，并导入本地验证码系统的数据库，验证码系统会加载这些策略并进行风险判断。策略文件的内容就是一组规则的集合，如前面的描述。

S5.私有化话部署的验证码出现黑产攻击情况，服务商跟进处理以后也会将本次攻击的情况作为情报更新到业务安全情报模块，流程和上述内容一致。

S6.更新的内容不限于策略，也可以是黑名单数据，或者验证码的图片，字体等元素。

其中，步骤S4中，更新过程包括以下流程：

S41.情报中的策略文件是对风控规则加密后（加密算法不限，一般AES）的文件，规则格式如下：

规则1：左变量 操作符 右变量；

规则2：左变量 操作符 右变量。

S42.策略文件是在一个情报里面，用户可以点击下载按钮下载到本地，由本地S43.验证码系统进行解密，将解密后的数据写入本地的验证码系统数据库。

S44.验证码系统会执行验证码的所有安全策略，新策略写入后，也会被验证码执行。

人机验证码是非常依赖更新和升级的系统。因为在与黑产的对抗中，需要持续更新才能保证防护能力。本发明通过云端情报的方式，将验证码的攻击情况实时下发给所有使用验证码系统的企业用户。企业用户可以第一时间获取到行业黑产的动向，并从情报获取到对应的更新包。

企业用户可以根据情报自主选择是否需要更新，比如情报里是发现某种中文字体已经被黑产可以自动识别，如果当前企业的用户使用的并不是这种中文字体，那么可以选择不更新。

在一个具体实施中：

某个商家进行一次营销活动，注册送积分。使用安全厂商的验证码进行人机安全防护。验证码类型为文字点击验证码。

活动结束后，商家反馈给安全厂商疑似被薅羊毛，因为很多注册用户手机号都打不通，疑似为黑卡。

安全厂商收到用户反馈，进行数据分析。首先发现验证码有自动化识别的问题，通过采集用户点击验证码的时间间隔，发现这批攻击者点击文字的间隔基本都在毫秒级别，不符合人类操作特性。

进而判断出攻击者可能通过文字识别软件自行识别图片上的文字。第二个发现攻击者使用一批特定的设备，在这些设备上频繁切换ip。第三个是发现这批手机号确实是虚拟卡，非真实用户。

安全厂商分析完数据后，提取针对本次攻击的防控方案，包括几个点：一是需要更新验证码的字体，提升软件识别难度，更新内容为一个字体文件；二是安全策略，具备内容为一个设备关联多个ip地址时要认定为风险进行拒绝；三是将这批攻击手机号作为黑名单。

安全厂商发布一个安全情报，里面包括具体的攻击情况和手段，并附有需要更新的文件。

在私有化版本的验证码系统里，有一个页面可以自动加载安全厂商的情报，私有化用户可以从情报里下载到上面的三个更新内容，并导入到本地的验证码系统里。这样私有化的验证码就完成了针对这次攻击的能力升级。

本发明的技术优势在于，将不同行业和企业间的相关的攻击情况和防控经验，以业务安全情报、智能防控策略升级包和风险数据的方式汇总到安全云，并推给用户，进行自动或半自动升级。验证码私有化部署的企业用户可以订阅情报并从情报直接更新本地的验证码。验证码系统需要支持动态更新一些验证要素，比如图片，文字，模型，策略等。

现有技术中使用私有化部署的企业用户，互相之间没有合适的信息共享渠道，对于同一行业发生的攻击行为，没有有效的信息共享和能力分享手段。本发明可以实现不同企业间安全信息共享和能力互通。

本方案的重点是将验证码的升级更新和云端情报关联，可以理解为将更新包作为可订阅的内容，用户可以从大量情报中筛选出适合自己行业和场景的内容，然后按需更新。本发明主要是解决验证码的防控非常多样，更新频繁，但这种更新又不一定适合所有用户，所以需要和情报进行结合，用情报将黑产的攻击记录并还原给用户，让用户可以自行选择。

在本说明书的描述中，参考术语“实施例”、“示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须针对的是相同的实施例或示例。此外，本领域的技术人员可以在不产生矛盾的情况下，将本说明书中描述的不同实施例或示例以及其中的特征进行结合或组合。

上述内容虽然已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在本发明的范围内可以对上述实施例进行变化、修改、替换和变型等更新操作。

Claims (10)

1.一种基于安全云更新验证码的方法，其特征在于，所述方法包括如下步骤：

S1.验证码云服务对外提供验证服务，并检测到黑产攻击时，云服务针对黑产攻击进行更新，生成新的安全策略，安全策略里增加规则限制；

S2.云服务将此次黑产攻击的详情录入情报，所述情报包括攻击的源头、使用的工具、攻击中出现的问题和带来的影响以及将应对此次攻击的安全策略发布到业务安全情报模块；

S3.私有化部署验证码和云服务具备相同的规则执行引擎；

S4.使用私有化验证码的用户订阅云服务的情报，从云服务拉取最新情报并展示，用户可以查阅情报，判断是否需要从这份情报里更新本地部署的验证码，如果用户认为需要，可以直接一键更新。

2.根据权利要求1所述的一种基于安全云更新验证码的方法，其特征在于，还包括以下步骤：

S5.私有化话部署的验证码出现黑产攻击情况，服务商跟进处理以后也会将本次攻击的情况作为情报更新到业务安全情报模块；

S6.更新的内容不限于策略，也可以是黑名单数据，或者验证码的图片，字体元素。

3.根据权利要求2所述的一种基于安全云更新验证码的方法，其特征在于，更新过程是将情报中的策略文件下载到本地，并导入本地验证码系统的数据库，验证码系统会加载这些策略并进行风险判断。

4.根据权利要求3所述的一种基于安全云更新验证码的方法，其特征在于，情报的来源包括两方面，一方面是安全云服务，另一方面是来自私有化服务，安全服务厂商提供给私有化用户安全运营服务，负责用户的线上业务安全。

5.一种基于安全云更新验证码的系统，其特征在于，所述系统用于实现根据权利要求1-4任一项所述的基于安全云更新验证码的方法，所述系统包含业务安全情报模块、智能策略模块、风险数据模块和模型服务模块。

6.根据权利要求5所述的一种基于安全云更新验证码的系统，其特征在于，业务安全情报模块用于汇总互联网各行业黑灰产攻击信息、最新作弊工具、黑产动向形成情报，其中每个情报包括对应的数据分析以及应对的安全策略。

7.根据权利要求6所述的一种基于安全云更新验证码的系统，其特征在于，智能策略模块和情报彼此关联，智能策略模块用于按照行业和风险汇总应对黑灰产的安全策略，包括风险设备检测策略和风险账户检测策略。

8.根据权利要求7所述的一种基于安全云更新验证码的系统，其特征在于，风险数据模块用于汇总互联网各类黑产数据，包括风险ip、手机黑卡、设备黑库。

9.根据权利要求8所述的一种基于安全云更新验证码的系统，其特征在于，云服务和使用私有化服务的用户使用具备相同的规则执行引擎，所述规则执行引擎的作用是根据收集到的数据执行对应的规则并输出结果。

10.根据权利要求9所述的一种基于安全云更新验证码的系统，其特征在于，基于相同的所述规则执行引擎，策略具备迁移的基础，将策略从情报中心同步到私有化用户。

Images