业务安全的Red Team

甲方安全建设是守城站,保护目标在城内,主战场却在城前,加高加厚城墙,设关卡,挖壕沟,出入关口盘查,层层布控,这是安全建设的日常,也是本职,电商业务安全的假想敌是羊毛党和刷子,虽然他们时时刻刻盯着城墙裂缝,但强攻城墙的成本太大,纵观已发生的损失金额巨大的被薅事件,大多是防守方失误或活动配卷差错导致的,相当于城门大开和护卫无能,想以红队的思路进行业务安全攻防,本质上测试城墙坚硬程度,而真正的攻击者是探测城门和守将,战场是错峰的,内部要探测城门和守将,通过巡检或制度是最合适的方法,通过业务安全红队模式的性价比是极低的。(2019.11.8)

回头想,Red Team模式只能做业务安全极小的一块,体系化的建设其实可以参考应急响应的架构,走事前、事中、事后的模式:

  • 事前:活动评审、优惠卷与作用类目成本计算、无门槛劵的流程管控;
  • 事中:走Red Team模式,巡检、舆情监控;
  • 事后:业务、安全、仓储、商官一体化的应急响应方案制定与演习。

电商业务安全也可以通过体系化的建设提升安全水位。(2020.01.21)

安全与业务视角的差异

有热度为D的某商品1000件,成本价2000,标价2600,做清库存活动,生成 2600 - 650 优惠卷,仅限新人。结果被众包刷单,全部刷走。

安全视角:活动被众包刷单,新用户价值为0,商品成本价2000,卷后实际支付1950,活动大致损失为:(2000-1950) * 1000 = 50000 ,加仓储、快递成本,本次活动损失5W+

业务视角:热度为D的滞销品,根据交易公式计算,标价浮动范围为:0.97 - 1.1
库存尾单,仓储成本每件每月1元,拉新成本30元一位,活动大致收益为:(1950-2000*0.97+30+1)*1000 = 41000,拉新、促活、增加GMV,本次活动收益4W+

安全和业务间有一条鸿沟,这是部门特性决定的,安全很难了解业务或活动机制,只需要关心其「安全性」即可,业务不懂安全,只需其有「兜底」能力即可。

战术与打法

能否以Red Team的方式,重新审视业务和安全工作,以安全的视角赋能业务,以业务的视角回补安全呢?