积淀6年，「蚂蚁终端安全立体防区」三层技术架构首度揭秘( 三 ) 近几年移动技术的发展出现了

【积淀6年，「蚂蚁终端安全立体防区」三层技术架构首度揭秘】请求不可信会带来如数据爬虫、数据泄露，造成秒杀带来的业务结果不公平。因此，终端安全必须保证几个比较基础的安全可信，云端风控可以将更多的精力聚焦在业务相关的防控，而不是这些基础的防控上。
作为传统基于数据的风控模式的补充，我们当时把思路投向了手机厂商，通过和手机厂商合作，构建软硬结合的安全基础设施。可信中间件AntDTX是在这个思路和理念下的一个具体探索。
二、蚂蚁终端立体防控体系技术架构的演进
从业务流量流动的视角，我们根据蚂蚁集团副总裁兼首席技术安全官韦韬首创的安全平行切面架构思想，将整个互联网风控分成了几大防区。流量从移动终端开始，经过APP发出业务请求，进入网关，最后进入到业务服务器；对应地我们也将防控分为几个防区：

文章图片
最下面的防区，我们把它定义成前面提到的和生态手机厂商合作的生态防区；往上，就进入我们的APP防区；流量请求从APP发出会进入各自互联网公司的网关，进入流量层防区；再往上，就进入到各大互联网公司业务的服务器，我们定义为云端的防区。在整个探索过程中，我们逐步形成了端边云的立体防控体系，今天我们在整个蚂蚁安全风控体系的99%场景里都部署了这套立体化防控体系。整个端边云立体的防控体系，在技术架构中，被分成三大作战区：

文章图片
“端”作战区，核心思路是通过软硬结合的方式，加固可信终端，来实现业务的第0环和第1环的防护。在端作战区，有三个显著特点：第一个特点是动态对抗。黑产比我们快，攻防的迭代和升级过程当中不可避免会面临版本发布。 APP版本的发布都会有一定的周期，黑产会利用发布周期造成的版本碎片化，达到攻击目的。所以我们探索了动态对抗机制，动态和策略体系随着黑产的变化去调整。
第二个特点是无感接入。互联网风控大部分都是事件驱动和事件接入的模式，在哪个业务点防控我们就去埋相应的点，防控对整个业务侵入性是比较大的。我一直在思考，如何实现防控对业务的「无感化与无侵入」。这也是业务最想看到的，你保护我可以，但别天天打扰我。怎么实现无感的介入？通常互联网APP是一系列互联网请求组成打包的东西。对互联网业务来讲最小的力度就是业务请求、业务调用，也被称为RPC 。我们通过对设备和RPC染色，构建设备和请求的DNA ，从而实现在各个业务点的请求做无感的插入和埋点，这样在整个客户端就不需要针对各个业务场景做埋点。
第三个特点是软硬结合。防区从APP深入到整个系统、硬件可信终端。这是整个端治理的体系过程中做的探索。
“边”作战区，业务请求离开APP进入接入层，也就是边。通常各类风险数据泄露的数据爬虫、传统的攻击，都是发生在这个区域。在边这一块的防控体系，我们会对每个业务请求做一个卡口、管控。业务请求会带着端上带来的可信信息。这些信息有的是端上做的风险识别，有的是云端计算下发下去的。这些业务请求到达“边”时，整个网关层会做精准的防控和管控。
大家也能看到“边”的作战区更多的像一个引擎，在探索的过程中，我们将端和边做了深度融合，在到达业务层之前做第一道风险过滤。这一层的风险独立于具体的业务形态，更多是通用恶意流量的防控。比如，虽然还不知道你在云端打算干什么坏事，但已经提前判断你是坏人了。