隨著暑期的臨近和假期出行需求的激增，新一輪的搶票大戰(zhàn)即將開始。無論是國內(nèi)還是國際，只要是緊俏線路，往往一票難求。購票難度的增加，激發(fā)了各種搶票手段的盛行。從瀏覽器、插件等方式進行免費刷票，到通過在線旅游平臺有償搶票服務(wù)，黃牛黨們從線下?lián)尩搅司€上。

黃牛們不止搶火車票、機票，各種演唱會門票、手機預(yù)售票、電信運營商限時放送的手機靚號等等都在他們的目標(biāo)范圍內(nèi)?！盀槭裁袋S牛能搶到票，我們就搶不到呢？帶著這個問題，我們咨詢了瑞數(shù)信息首席戰(zhàn)略官馬蔚彥。

不是黃牛手快，是自動程序快

在百度搜索框輸入“黃牛搶票軟件”，可以搜索出1,410,000個相關(guān)結(jié)果。這些搶票軟件能讓黃牛屢屢得手。搶票軟件其本質(zhì)就是機器人程序，它是針對某個網(wǎng)站業(yè)務(wù)所設(shè)計的定制化軟件，能夠自動化地實現(xiàn)網(wǎng)站的購買業(yè)務(wù)操作流程。例如，普通消費者登錄頁面，填完所有必選框差不多需要2-5分鐘的時間，但是機器人程序可以自動快速填充資料，短短2-3秒內(nèi)就可以完成多人的訂票工作，快人一步。這也形成了熱門商品、演唱會門票剛開賣，隨即銷售完畢的怪異現(xiàn)象。

“擬人化”攻擊識別難

黃牛搶票現(xiàn)象使消費者被迫也去尋找各種搶票軟件，造成市場秩序混亂。不僅損害了普通消費者的利益，而且也讓銷售方的品牌形象受損。那么從技術(shù)角度來看，該如何識別并杜絕機器人程序“擬人”搶票行為呢？

馬蔚彥指出，由于與業(yè)務(wù)相關(guān)性大，傳統(tǒng)這類問題往往是通過應(yīng)用開發(fā)進行解決。常規(guī)的做法是通過購票業(yè)務(wù)操作提交的頻度、數(shù)量等進行限制和判別“擬人”行為。但當(dāng)遇到高頻率且持續(xù)時間長的機器人程序攻擊時，自動化程序會發(fā)動成千上萬個多IP來源的操作，并且看起來就像正常的使用者在登錄，傳統(tǒng)的特征碼與規(guī)則庫匹配完全無法辨識，防御手段幾乎完全失效，從而影響正常的購買訪問。

機器人防火墻扭轉(zhuǎn)攻防格局

瑞數(shù)信息另辟蹊徑，其自行研發(fā)的機器人防火墻采用全新概念設(shè)計的動態(tài)安全技術(shù)架構(gòu)，并不依賴限制頻度、數(shù)量的機器人判定方式，而是以動態(tài)生成令牌、動態(tài)驗證訪問行為等方式判斷“人”與“機器人”。馬蔚彥表示，這種識別是否自動化操作的機制，使得防護功能不依賴某個特定應(yīng)用，任何模擬業(yè)務(wù)邏輯的“非人”訪問行為，均可被識別。

瑞數(shù)信息的動態(tài)安全架構(gòu)由四大核心技術(shù)構(gòu)成：

動態(tài)封裝：對網(wǎng)頁底層代碼做動態(tài)封裝，隱藏攻擊入口，升攻擊難度；

動態(tài)驗證：運行環(huán)境驗證，有效甄別“人”還是“自動化”攻擊，打擊自動化攻擊的有效工具；

動態(tài)混淆：對客戶端敏感數(shù)據(jù)進行混淆，保護數(shù)據(jù)傳輸安全，保護終端請求內(nèi)容及交易內(nèi)容；

動態(tài)令牌：一次性動態(tài)令牌，確保執(zhí)行正確的業(yè)務(wù)邏輯，保障業(yè)務(wù)邏輯正確運行。

“在線業(yè)務(wù)的企業(yè)實際應(yīng)用后發(fā)現(xiàn)，瑞數(shù)機器人防火墻大約可以阻擋95%以上的業(yè)務(wù)濫用性機器人攻擊行為，有助于維持交易的公平性及既有應(yīng)用服務(wù)器的穩(wěn)定性?！瘪R蔚彥說：“只要杜絕業(yè)務(wù)濫用性機器人攻擊行為，就能扭轉(zhuǎn)正常消費者搶不到票的不利局面?！?/span>