AG公司云
洞见RSAC | 生物行为识别手艺在社工诈骗中的应用剖析与探索
2021-06-08
1 什么是社工诈骗？
人为因素才是清静的软肋，有意、无意的行为可造成潜在的威胁或者一连串的效果 。2021年DBIR数据泄露报告（Data Breach Investigations Report）中提到85%的数据泄露涉及人的因素 。社工攻击正是使用人的因素，指导使用人们接纳行动或泄露神秘信息，以抵达网络信息、诓骗或会见系统等目的的“圈套” 。
“社会工程诈骗”（SEF）是指诈骗者使用社工手段，获得小我私家的信托，并“诱骗”他们分享神秘信息，甚至将资金直接转移给攻击者 。SEF严重依赖于人际互动，受害者通常不知道爆发了什么 。使用社工攻击举行诈骗，一直司空见惯，带来的损失也是逐年增添 。
2 社工诈骗类型
社工诈骗攻击着实在事情和生涯中很常见，好比莫名收到“亲友或向导”电话或“XX公司”的邮件，要求提供私密信息、转账等 。随着攻击手段的生长，社工诈骗攻击的手法也爆发着转变，出于差别的阶段性目的或者实时性角度，保存几种典范的方法：
l 静态凭证收获：是一样平常较量常见的离线攻击手段，好比网络垂纶、电话垂纶、短信垂纶，诱骗受害者自愿交出证件或敏感信息 。
l 陷阱诱骗：是一种近实时的攻击手段，攻击者通过提供某种形式的资助，诱骗受害者在PC或移动装备上装置远程会见工具 。
l OTP网络：一样平常是实时举行攻击，如通过电话举行诈骗，网络OTP，并连忙使用，举行注册或支付 。
l 深度社工：一样平常是实时举行攻击，使用语音诈骗，诱使用户直接把钱转给骗子 。
3 生物行为识别手艺
生物行为识别手艺通�？捎糜谄饰鍪褂枚褚馊砑⒒等嗽硕⒃冻探邮苷撕诺确椒ň傩械奈淳谌ㄓ没Щ蚶谈呐趟慊僮鞯男形� 。人在与人、装备交互历程中，都有其特定的、可识别的方法，生物行为特征可以识别不切合已识别模式的异常行为，如诈骗者行为模式 。以下是三个例子：
l 应用程序熟悉度异常：诓骗者使用受损害的身份重复攻击一个站点，通常对站点及其应用程序流程体现出熟悉，操作流通，这是通俗用户所不具备的 。
l 操作快捷性：由于使命性子，诈骗者攻击并试图包括成百上千的账户，诈骗者经常使用高级盘算机手艺（很少在通俗用户中见到），诸如键盘快捷键和功效键等 。因此，节约时间和加速历程的手艺可能是诓骗运动的标记 。
l 数据输出流通性：通俗用户可以从恒久影象中快速说出小我私家信息，如姓名、电话号码、地点和信用卡信息，而诈骗者往往不得不依赖短期影象，体现在输入这些信息时，从时间上保存差别 。这也是区分诈骗者与正当用户的标记 。
这种生物行为识别手艺要领能够在账户设置历程中实时识别潜在的诓骗者 。
4 社工诈骗剖析与检测
针对社工诈骗，其防护战略除了从治理和意识上举行培训、学习提升之外，也可以从手艺上举行增强 。差别的社工方法，其检测思绪差别 。关于垂纶社工，可通过袒露的域名、样本等举行威胁特征剖析 。可是，关于一些隐藏性较高的社工诈骗攻击，如电话语音诱导转账诈骗，这类手段通常缺少显着的威胁特征，难以识别 。
社工诈骗实质上是对身份认证的盗用，以抵达恶意的目的 。通过生物行为识别手艺，接纳基于危害的一连身份认证，逐步剖析用户行为的危害，以识别诈骗操作 。生物行为识别手艺综适用户实体行为剖析和生物特征识别手艺，从差别维度，对用户身份和行为举行一连检测，得出危害值 。使用机械学习、弱信号评分累加等方法，融合各维度弱的身份识别危害值，剖析识别高可信的诈骗操作 。其主要框架如下图所示 。
一连的危害剖析依赖于IP信息、4A信息、PIN、短信，以及用户小我私家行为等信息 。使用这些信息，从差别级别举行危害剖析，识别潜在异常危害 。
l User-level检测：剖析用户泛起了新类型用户行为，不切合历史习惯，例如，关于父辈，所接触的线上支付一样平常多以移动端举行支付为主，PC端支付较少 。当某次支付接纳PC端支付，则可体现为异常 。
l Population-level检测：剖析用户的行为在频次上泛起异常转变，例如，用户转账频次凌驾一样平常次数、转账工具从未泛起过，均不切合历史转账的行为 。
l Biometrics-level检测：从用户的生物行为特征上体现出来的差别，来剖析异常行为 。例如，使用键鼠行为（击键频率、击键时间距离漫衍等）举行身份识别和行为确认 。
这些潜在的异常危害，能够描绘出用户在差别维度下的异常行为 。通过举行机械学习或者评分累计的方法，综合这些差别级别的弱检测信息，剖析社工诈骗攻击，可提高识别的可信度 。
5 使用击键行为的身份识别探索
2021RSA大会上有学者的报告中指出，用户在注重力不专注的情形下，相比一样平常操作，操作按键生物行为保存差别 。
通过用户击键行为特征举行身份判别，一种典范思绪如下图所示 。网络键鼠操作行为，训练检测模子 。随后，随实时数据分批次举行检测，并融合检测效果，输身世份识别危害值 。
在日志监测历程，当发明高危害评分的身份正在举行生意时，则保存被诓骗的危害 。
6 总结
社工诈骗攻击是一种典范的攻击方法 。结适用户的生物行为特征举行异常检测，可强化对社工诈骗行为的识别 。怎样在古板检测要领的基础上，融合差别级别用户行为特征，更精准的描绘用户行为，识别种种社工诈骗攻击，是一个需要一连探索的偏向 。
