互联网业务所面临的风险形式多样、变化快，因而在线业务风险控制，逐渐成为风控领域一个独立的分支，区别于传统金融风控，有一套与之对应的方法论和风控系统。

常见的互联网风控，会围绕账户安全、交易安全、资金安全、活动安全以及接口安全等来展开，以此对抗互联网欺诈行为、保障业务安全，其中对抗的对象有黑灰产、黄牛党及羊毛客等。

本文将从3个方面来阐述互联网业务，风控到底防什么、怎么防呢？

业务及威胁

互联网业务形式多样，体现在平台功能上会有较大差异。在业务风险点及威胁方面，部分说明如下：

业务点：

1. 注册（手机注册、邮箱注册、三方授权注册）

2. 登录（账密登录、手机验证码登录）

3. 找回密码（重置密码、修改个人信息）

风险点：

1. 机器批量注册

2. 撞库或暴力破解登录

业务点：

1. 打卡签到（签到积分、可兑换礼品或折现）

2. 红包领券（现金红包、满减券、抵用券）

3. 交易下单（用户交易订单、购买商品）

4. 支付购买（用户支付交易订单）

5. 抢购秒杀（购买限时优惠商品）

6. 社交互动（用户UGC内容、弹幕评论）

风险点：

1. 机器自动批量打卡

2. 黄牛、薅羊毛行为

3. 批量刷券、屯券

4. 恶意侵占库存

5. 刷单、套现

6. 垃圾信息

根据上述，账户体系的安全是其他业务的基础，与其他业务直接相关。

解决方案

根据不同业务平台的业务特定，一般会从两个方面寻找解决方案。一是技术角度，二是流程角度。

结合风控系统以及挑战系统，进行协同防御：

风控系统，包含实时风控系统和离线风控系统。实时风控系统，重点在于将专家经验或算法模型转化成策略、规则及指标，通过计算得到风险等级及评分。离线风控系统，重点在于离线数据挖掘，通过关联分析得到风险行为，进而围绕设备、IP、账户等维度沉淀得到风险标签库。
挑战系统，主要针对不同的风险等级，设置不同的挑战类型。如图片验证码、滑动验证码、短信验证码、语音验证码、邮件验证码、人脸识别验证、声纹识别验证等。对于不同的业务场景、不同的风险等级，匹配对应的挑战类型。

如图，按照用户访问路径，进行行为分析

这里再具体补充一点风控思路，供交流&学习：

将分散的注册或登录入口进行统一，防止遗漏入口被攻击利用
限制账户、IP、设备访问频次及关联数量，区分人机行为
对用户尝试登录、登录失败、登录成功等进行统计分析，对于出现高频访问的账户可能是出现暴力破解行为、出现高频高占比失败登录的IP可能是出现撞库行为，做好及时的预警及响应
通过用户行为记录，建立围绕设备、账户、IP等的用户风险体系
建立可信体系，减少可信用户的风控校验环节，提升用户体验。让正常用户无感体验、让欺诈用户寸步难行
选择合适的外部数据，建立黑灰名单共享数据库。将恶意的IP、邮箱、手机号等列入拦截名单或观察名单