कैसे हमने चार हाथों और तीन सिर में एक एंटीफ्राड सिस्टम लिखा

तातारस्तान में एक छोटे लेकिन बहुत गर्व बैंक के इंटरनेट बैंकिंग में किए गए धोखाधड़ी लेनदेन का पता लगाने और रोकने के लिए एक इनडोर-समाधान के निर्माण के बारे में एक लेख। आप लेख के बारे में जानेंगे कि एंटीफ्रॉड की आवश्यकता क्यों और किससे है, आंतरिक विकास एक तैयार समाधान खरीदने की तुलना में सस्ता क्यों हुआ, और नए साल से पहले कोड की कुछ पंक्तियां क्या होती हैं।

अपने बारे में कुछ शब्द - एक आईटी कंपनी में एक सूचना सुरक्षा विशेषज्ञ जो गलती से (या शायद ऐसा नहीं है) एंटीफ्राड समाधान के विकास के लिए टीम में एक उत्पाद स्वामी बन गया। आईटी कंपनी खुद इंटरनेट बैंकिंग सॉफ्टवेयर के विकास में लगी हुई है।

यह सब कैसे शुरू हुआ?

स्वयं बैंक के लिए, यह सब इस तथ्य से शुरू हुआ कि रूसी संघ के सेंट्रल बैंक ने विनियमन संख्या 382-पी में संशोधन और परिवर्धन का एक मसौदा अपलोड किया, जिसमें कहा गया कि बैंक को ग्राहक की सहमति के बिना धन के हस्तांतरण को रोकना चाहिए। इसके अलावा, बैंक ऑफ रूस नंबर 2831-यू के आदेश के अनुसार, बैंक धोखाधड़ी की कार्रवाई सहित सभी घटनाओं के बारे में सेंट्रल बैंक को रिपोर्ट करने के लिए बाध्य है।

मेरे लिए, कहानी कार्यात्मक आवश्यकताओं के गठन और मौजूदा दूरस्थ बैंकिंग सेवा (इसके बाद - आरबीएस) के साथ एकीकरण के विकास में मदद करने के अनुरोध के साथ शुरू हुई। और दूर हम जाते हैं ...

इनपुट डेटा

विकास से पहले, तैयार किए गए विकास का अध्ययन करने के लिए, इस विषय पर शोध करना आवश्यक है जेली बाजार ब्राउज़ करें।
अध्ययन के दौरान, यह पता चला:

• RBS से पैसे चुराने के सबसे सामान्य तरीके - सोशल इंजीनियरिंग और फ़िशिंग
• सोशल इंजीनियरिंग का उपयोग करते हुए, वे या तो बैंकिंग सिस्टम को हैक करते हैं या क्लाइंट को स्वेच्छा से धन हस्तांतरित करने के लिए मजबूर करते हैं
• धोखेबाजों द्वारा वर्ष के लिए चुराई गई राशि इतनी बड़ी नहीं है, बैंक इस राशि के लगभग 10% की जांच और मुआवजे पर खर्च करता है
• एक तैयार एंटीफ्राड सॉल्यूशन की लागत धोखाधड़ी में शामिल राशि से 5-10 गुना अधिक है (भाषण को एकीकृत करने की लागत के बारे में अभी तक नहीं हुई है ...)
• FinCERT को रिपोर्ट करना आवश्यक है, सुनिश्चित करें
• आप बहुत ही अक्सर और महत्वपूर्ण मामलों को उजागर कर सकते हैं

एंटीफ्राड के विषय का विश्लेषण करते समय, कोडज़ॉन्ग लेखों ने मेरी बहुत मदद की। जो 4 साल पहले उन्होंने अपने अनुभव के बारे में ई-कॉमर्स में इस्तेमाल होने वाले एंटीफ्राड के बारे में लिखा था। मेरे मामले में, विशिष्टताएं अलग थीं, लेकिन जानकारी बहुत मूल्यवान थी।

इन स्थितियों के आधार पर, इस परियोजना को समेकित करने और अन्य टीमों की समस्याओं को हल करने के लिए विकास टीम को देने का निर्णय लिया गया, क्योंकि इस टीम में सबसे अनुभवी और शांत डेवलपर्स शामिल थे। दुर्भाग्य से, समय के साथ 3 डेवलपर्स की टीम में, केवल दो बने रहे। मैं बैकलॉग में लगा था, आवश्यकताओं का निर्माण, प्रलेखन और बैठकों का संगठन (हम काम करते हैं, लेकिन और कैसे)। ऐसा हुआ कि टीम में 4 हाथों ने कोड लिखा, और 3 प्रमुखों ने समस्या को हल किया।

जो मामले लड़े गए

ऐसा मत सोचो कि बैंक ने पहले लड़ाई नहीं की थी बुराई के साथ स्कैमर के साथ। सस्ती साधनों से लड़ा। हालांकि, एक प्रवृत्ति थी कि हैकिंग आरबीएस से संबंधित घटनाओं की संख्या बढ़ने लगी थी। 2018 में एक लोकप्रिय योजना एविटो खुली जगहों में एक तलाक थी - सोशल इंजीनियरिंग के तरीकों का उपयोग कर धोखेबाजों ने कार्ड नंबर को मान्यता दी, और संवाद में उन्होंने आरबी में प्रवेश करने के लिए एसएमएस को मान्यता दी। इस प्रकार, उन्हें किसी विशेष ग्राहक के इंटरनेट बैंकिंग तक पूर्ण पहुंच प्राप्त हुई। 2019 में, धोखेबाजों ने बैंक की सुरक्षा सेवाओं की ओर से ग्राहकों को फोन करना शुरू कर दिया, जिससे उनके सभी पैसे खोने की धमकी दी, लॉगिन विवरणों का पता लगाया, या उन्हें सभी धनराशि "सुरक्षित खाते" में स्थानांतरित करने का आग्रह किया।

विकास टीम का मुख्य लक्ष्य नए ग्राहक उपकरणों की पहचान करने और संदिग्ध वित्तीय लेनदेन को रोकने के लिए एक तंत्र बनाना था। बिल्कुल नए उपकरण क्यों? एनालिटिक्स ने दिखाया है कि अक्सर एसएमएस संदेशों के बजाय, PUSH सूचनाओं के माध्यम से पुष्टि कोड प्राप्त करने के लिए उन्हें स्मार्टफोन के माध्यम से दूरस्थ बैंकिंग तक पहुंच प्राप्त होती है।

इसके अलावा, FinCERT ने धोखाधड़ी वाले कार्यों में शामिल विवरणों की सूची भेजनी शुरू कर दी, अर्थात, उन्हें अवरुद्ध करना पड़ा।

एंटीफ्राड में विकास और एकीकरण

हमारे पास 2 शांत .NET प्रोग्रामर थे, आरबीएस का एक माइक्रोस्कोरवर्क आर्किटेक्चर, एक आरईएसटी एपीआई, विभिन्न आकारों के एक दर्जन ब्लैक लिस्ट और सभी प्रकार और रंगों की एक पूरी बहुत कुछ था, और कोई परीक्षक या डेप्स इंजीनियर नहीं थे। ऐसा नहीं है कि यह सभी स्कैमर से सुरक्षा के लिए एक आवश्यक रिजर्व था। लेकिन अगर आपको अभी भी इसे करने की आवश्यकता है, तो आप बंद नहीं करेंगे। केवल एक चीज जिसने मुझे चिंतित किया वह थी झूठी सकारात्मकता। 5 मिनट में 20 टिकटों को उड़ाने वाले एंटीफ्रॉड ऑपरेटर की तुलना में अधिक असहाय, गैर जिम्मेदार और खराब कुछ भी नहीं है। मुझे पता था कि जल्द या बाद में हम इसका सामना करेंगे।

सामान्य तौर पर, एकीकरण में कुछ भी गलत नहीं था। SLA ने अनुरोधों पर प्रतिक्रिया देने के लिए 3 सेकंड की सीमा निर्धारित की है। फिलहाल, औसत प्रतिक्रिया समय 0.3 सेकंड है। माइक्रोसर्विस आर्किटेक्चर ने एंटीफ्राड माइक्रोस सर्विस के लिए अनुरोध भेजने के लिए तीन लाइनों को जोड़कर मौजूदा समाधान के साथ एकीकृत करना आसान बना दिया। SMS या PUSH-notification द्वारा पुष्टि से पहले सत्यापन होता है।

समाधान वास्तुकला का एक छोटा स्केच:

विकास के पहले चरण में, लक्ष्य निर्धारित किया गया था - दो महत्वपूर्ण स्थितियों की जांच करने के लिए। सबसे पहले, जिस डिवाइस से लेन-देन का प्रयास किया जाता है वह ग्राहक के लिए नया होता है या उस पर भरोसा किया जाता है। दूसरी बात यह है कि क्या प्रॉपर ब्लैक लिस्ट में नहीं हैं। ये दो स्थितियां 70% घटनाओं को अवरुद्ध करने के लिए पर्याप्त हैं, बाकी के लिए, अधिक जानकारी की आवश्यकता है, उदाहरण के लिए, क्या लॉगिन / पासवर्ड, या कार्ड नंबर द्वारा लॉगिन किया गया था, जिस देश से आपने आरबीएस दर्ज किया था, आदि।

सत्यापन को लागू करने के लिए, आपको बहुत अधिक डेटा की आवश्यकता नहीं है - क्लाइंट की एक विशिष्ट पहचानकर्ता, उसके डिवाइस की पहचानकर्ता (स्वयं ग्राहकों पर बनाई गई - मोबाइल एप्लिकेशन और साइट पर जेएस-लाइब्रेरी), हस्तांतरण की राशि, हस्तांतरण विवरण। इन आंकड़ों के आधार पर, ऑपरेशन को अनुमति देने या अवरुद्ध करने का निर्णय लिया जाता है। जैसे ही पूरी प्रणाली ने औद्योगिक संचालन में ठीक से काम किया, टीम अगले चरण में आगे बढ़ी। FinCERT से सूची में सफेद सूची और स्वचालित लोडिंग हैं। फिलहाल, API के माध्यम से FinCERT को घटनाओं की रिपोर्ट भेजना डीबग किया गया है (यह एक अलग लंबी कहानी है)।

फिलहाल, निम्न भुगतानों को एंटिफर्ड सिस्टम में सत्यापित किया जाता है: कार्ड नंबर द्वारा पी 2 पी भुगतान, फोन नंबर की पुनःपूर्ति, विवरण द्वारा स्थानांतरण, इलेक्ट्रॉनिक पर्स की पुनःपूर्ति। जालसाज अक्सर 2,000-3,000 रूबल फोन नंबर या वॉलेट में स्थानांतरित करते हैं। कार्ड के मामले में, आमतौर पर राशि ग्राहक के सभी उपलब्ध फंडों के योग के करीब होती है। जांच के अलावा, एंटीफ्राड ऑपरेटरों के लिए एक पेज बनाया गया था, यह पूरी तरह से स्वायत्त प्रणाली बनाने के लिए संभव नहीं है - घटनाओं की निगरानी, ​​घटनाओं की जांच, ब्लॉक / अनब्लॉक करने के लिए एक व्यक्ति की आवश्यकता है, सिस्टम पर रिपोर्ट बनाएं। एक टीम में दो बैकएंड डेवलपर्स होने पर साइट बनाना मुश्किल होता है। हालाँकि, इसे सीखने में कभी देर नहीं हुई (टी-आकार के विशेषज्ञ टीम में हैं!)।

बहुत शुरुआत में, जब योजना और विश्लेषण करते हैं, तो आरबीएस क्लाइंट के अंदर मशीन लर्निंग, डायनेमिक नियम, एंटीवायरस को पेश करने के बारे में बहुत सारे विचार थे। हालांकि, विक्रेताओं और अन्य बैंकों के अनुभव को देखते हुए, आधे से अधिक मामले स्थैतिक नियमों को लागू करके बंद किए जा सकते हैं। अन्य सभी तरीकों के लिए बड़े संसाधनों की आवश्यकता होती है और ये इतने प्रभावी नहीं होते हैं। इसीलिए, दो डेवलपर्स और एक विश्लेषक (जो मैं खुद को ऐसा मानता हूं) की एक टीम न्यूनतम सुरक्षा उपायों और नियामकों की आवश्यकताओं को लागू करने के लिए पर्याप्त है।

दर्द

एंटीफ्राड के विकास में मूल नियम - कोई नुकसान नहीं है। किसी भी परिवर्तन और नए तरीकों का परीक्षण पहले परीक्षण पर किया जाना चाहिए, फिर निगरानी मोड में लड़ाई पर यह सुनिश्चित करने के लिए कि कोई समस्या नहीं है। सबसे खराब स्थिति में, गलतियों से वित्तीय हानि हो सकती है और ग्राहक वफादारी का नुकसान हो सकता है। हमारे मामले में, त्रुटि ने एंटीफ्रॉड सिस्टम की जांच और प्रबंधन करने वाले ऑपरेटरों की पीड़ा को जन्म दिया।

नए साल की शाम थी, शाम हो चुकी थी। सिस्टम ने न केवल मोबाइल उपकरणों, बल्कि क्लाइंट ब्राउज़रों के सत्यापन को भी लागू किया। EverCookie का उपयोग करना। डेवलपर्स में सुविधा शामिल थी, लेकिन इसका परीक्षण नहीं किया, क्योंकि पुस्तकालय मोर्चों पर पेश नहीं किया गया था। केवल 2019 के अंतिम कार्य दिवस पर, फ्रंट-एंड प्रोग्रामर ने शाखा को ठेस में डालने का फैसला किया (अच्छी तरह से, अगले वर्ष के लिए समान नहीं छोड़ें!)। इस वजह से, नए साल के सप्ताहांत के दौरान, एंटीफ्राड ऑपरेटरों ने सिस्टम की झूठी सकारात्मकता के रूप में बहुत सारे काम किए। यह नहीं कहा जा सकता है कि यह महत्वपूर्ण था, हालांकि, ऑपरेटरों को थोड़ा खेद है ... आखिरकार, यह परिवर्तन डालने से पहले काम 5 गुना अधिक हो गया।

परिणाम

एक वर्ष से भी कम समय में, एक बहुत छोटी टीम ने इंटरनेट बैंकिंग के लिए एंटीफ्राड सिस्टम लागू किया। दुर्भाग्य से, अभी भी बहुत काम है। एंटीफ्राड रूस मंच पर बैंकों और विक्रेताओं के प्रतिनिधियों के साथ बात करने के बाद, यह स्पष्ट हो गया कि स्कैमर्स हर साल नए तरीकों के साथ आते हैं, आप इस क्षेत्र में आराम नहीं कर सकते।

यदि यह दिलचस्प है, तो मैं 3 लोगों की टीम में सॉफ्टवेयर समाधान, मार्केट एनालिटिक्स और कैसे स्क्रैम को लागू करने के बारे में लिखूंगा।