隆重发布:BREAK业务风险枚举与规避知识框架v0.1.0

渗透技巧 1年前 (2022) admin
480 0 0

隆重发布:BREAK业务风险枚举与规避知识框架v0.1.0

介绍

BREAK 是英文“Business Risk Enumeration & Avoidance Kownledge”的缩写,是一个开放式“业务风险枚举与规避知识”框架。该框架通过对各种业务风险进行分类、介绍与枚举,为使用者提供了一个完整的业务风险全景图,并对业务规避风险、提升能力提供了规避知识。

背景

随着信息安全能力对业务的覆盖与落地,以及业务对安全需求的加深,如果安全还是单单停留在网络安全范畴,仅仅是提前发现和修复各种漏洞,显然是无法保证业务正常的安全运营的,也无法满足业务安全的更高需求。

为此,我们根据多年以来对业务安全的理解和积累,推出 BREAK – “业务风险枚举与规避知识框架”,旨在为企业蓝军在开展业务安全评估过程中提供指导和依据,同时框架中的业务风险规避知识也为安全能力建设、业务安全运营、风控能力提升提供指引。

方法

框架整体按照:风险维度、风险场景、风险点的划分原则,框架包含若干风险维度,每个风险维度包含若干风险场景,每个风险场景包含若干风险点。

风险维度指代看待风险的不同角度,目前包含:业务维度、内容维度、身份维度和对抗维度。其中业务维度包含:营销风险、交易风险、游戏运营风险;内容维度包含:用户内容风险和违规引流风险;身份维度包含:身份风险和盗号变现风险;对抗维度包含身份对抗风险、设备对抗风险和非法请求风险。

目前框架共收集和整理风险点68个,后续会根据情况和反馈进行动态添加、升级或调整。每个风险点由风险编号、风险标题、风险描述、攻击描述、攻击复杂度、风险影响、规避手段和参加资料组成。风险编号通过 R00xx 的方式来进行唯一编号(效仿Mitre ATT&CK),以便后期交流和情报传递。而攻击描述可以指引企业蓝军更好地进行安全能力评估,规避手段可以帮助企业红军或业务风控来加强安全能力建设,以降低业务风险。

需要注意的是: 业务风险和漏洞不是一回事情。一般来说漏洞是由于业务编码的缺陷导致的,可以通过修改代码去除缺陷来修复漏洞;而业务风险很大程度上并不是由编码缺陷造成的,只是攻击者对正常业务逻辑的一种非预期的利用。也因此,在大部分情况下,并不能完全消除风险,只能将风险降低到一定的可接受范围。所以并不一定可以通过直接修改代码来修复漏洞,通常业务风险需要外挂安全能力、构造风控模型来减缓攻击、降低攻击ROI或缩小攻击面。

风险列表

目前版本的全部风险列表如下(详细资料请参考 BREAK 框架):

风险编号 风险标题
R0001 流程自动化
R0002 卡券枚举
R0003 秒拍出价
R0004 拍卖狙击
R0005 营销活动作弊
R0006 批量小号作弊
R0007 虚假裂变
R0008 广告欺诈
R0009 广告引流
R0010 团伙代充
R0011 账号倒卖
R0012 游戏外挂/脚本
R0013 批量退款
R0014 恶意占库存
R0015 恶意差评
R0016 刷量刷榜
R0017 虚假交易
R0018 干扰搜索结果
R0019 刷单
R0020 文本内容风险
R0021 图片内容风险
R0022 音频(流)内容风险
R0023 外部链接风险
R0024 视频(流)内容风险
R0025 恶意挖墙脚
R0026 违规商品
R0027 经营数据盗爬
R0028 敏感数据泄露
R0029 验证码恶意消耗
R0030 批量注册
R0031 撞库攻击
R0032 凭证破解
R0033 密码喷射
R0034 自动化养号
R0035 凭据复用
R0036 多因素破解
R0037 第三方账号聚合
R0038 登录扫码欺诈
R0039 CC攻击
R0040 撞卡攻击
R0041 支付卡破解
R0042 盗卡盗刷
R0043 黑卡支付
R0044 仿冒转账
R0045 积分盗刷
R0046 未成年人识别对抗
R0047 人机识别对抗
R0048 人脸识别对抗
R0049 代登录、代下单
R0050 风险设备识别对抗
R0051 逆向分析
R0052 HTTP请求分析
R0053 虚拟设备对抗
R0054 恶意退货
R0055 低价购风险
R0056 虚假好评
R0057 退货造假
R0058 闪退套利
R0059 恶意拒收
R0060 洗钱/诈骗
R0061 手机二次号
R0062 信用卡/借款套现
R0063 实时评论广告引流
R0064 拆单套利
R0065 恶意索赔
R0066 消息骚扰
R0067 恶意客诉
R0068 权益滥用

规避手段

目前版本的全部规避手段列表如下(详细资料请参考JDArmy BREAK框架):

编号 标题
A01 人机识别挑战
A02 接口签名
A03 爬虫识别
A04 频率限制
A05 数量限制
A06 恶意内容识别
A07 多因素验证
A08 增加负载
A09 时间限制
A10 异常环境识别
A11 退出登录态
A12 强制改密
A13 访问端代码混淆
A14 反调试
A15 风控策略
A16 威胁情报
A17 身份授权判断
A18 身份认证
A19 身份行为审计
A20 身份处罚策略
A21 终端标记
A22 协议加密
A23 生物特征识别

协作 & 贡献

本框架采用JSON格式进行了系统描述,详见“/src/i18n/zh-CN/BREAK.json”文件,其中:

风险维度放于“riskDimensions”中,并通过其内的“riskScenes”来划分场景;

风险场景放于“riskScenes”中,并通过其内的“risks”来划分风险;

风险放于“risks”中,并通过其内的“avoidances”来承载规避手段;

规避手段放于“avoidances”中。

各协作者可以通过直接修改 BREAK.json 文件来与我们进行该系统框架的协作开发。亦可通过在github上提issue来给我们提供意见或建议。

链接

  • 框架地址:https://break.jd.army/

  • Github:https://github.com/JDArmy/BREAK


?点击原文查看知识框架

原文始发于微信公众号(梦之光芒的电子梦):隆重发布:BREAK业务风险枚举与规避知识框架v0.1.0

版权声明:admin 发表于 2022年10月31日 下午4:38。
转载请注明:隆重发布:BREAK业务风险枚举与规避知识框架v0.1.0 | CTF导航

相关文章

暂无评论

您必须登录才能参与评论!
立即登录
暂无评论...