用户行为风控与权限管理

水深无声 2024-03-26 22:15 67阅读 0赞

我们知道在安全的黄金法则中，大致分为三步：身份认证、授权、审计和问责。  
认证其实包括两个部分：身份识别和认证。身份识别其实就是在问「你是谁」，你会回答「你是你」。身份认证则会问「你是你吗」，那你要证明「你是你」这个回答是合法的。可信的身份认证是建立安全保障体系的第一步。  
我们所说的风控系统（风险行为管控）更多是在认证这一步发挥作用。假设我们平台有个管理员安全意识不强，账号设置了弱密码。如果我们不对密码强度进行校验也不触发邮件短信提醒，对登录时密码错误次数也不做限制，那么黑客不停的尝试最终会爆破登录成功。  
在这第一步如果被突破的话，黑客就拿到了管理员身份，那后续的权限管控是没有办法的。  
我们的风控系统可以怎么做？举个例子，在连续输错五次密码时，对账号进行锁定。用户需要验证邮箱或手机来解锁，解锁成功后检测密码强度，强制修改密码。

授权（权限管理）是第二步。在确认完「你是你」之后，下一个需要明确的问题就是「你能做什么」。毫无疑问，在系统或者应用中，我们的操作都会受到一定的限制。比如，某些文件不可读，某些数据不可修改。这就是授权机制。除了对「你能做什么」进行限制，授权机制还会对「你能做多少」进行限制。比如，手机流量授权了你能够使用多少的移动网络数据。

风控系统和权限管理本质都是输入当前用户属性（包括用户自身特征、行为特征），根据事先的编排执行一系列规则策略，输出判断结果。规则引擎不存在技术独特性，根据相应的 DSL 编写，向树图模型可视化自动化编排发展。  
如需接入算法模型，结构简单时效性高的模型可以作为 RPC 供策略实时调用，复杂度高的模型可以离线跑批修正黑名单、画像评分或专家规则等。

如果按照上面的划分，风控系统作用在认证步骤，一个典型的规则如下，关注用户属性和行为特征，这里的「用户」泛指业务请求所有字段。规则生效一般为通用惩罚如黑名单、锁定禁用、多因素认证 等

if （ IP NOT IN 白名单 && IP 十分钟登录次数 > 10）{
        
        加入 IP 黑名单，生效时间 30 分钟
        
        if ( USER_ID IS ROOT ){
        
            账号锁定
        } else {
        
            短信验证
        }
    }

权限管理的典型规则如下，更关注于用户属性，规则返回结果为权限集合

if （ IP IN 白名单 && USER_NAME IS CTO）{
        
        if ( TIME IN 工作时间 ){
        
            查看工资
        } else {
        
            无法查看
        }
    }