DMMmeetup 不正利用を減らす為にやったこと
by
ippei
Link
Embed
Share
Beginning
This slide
Copy link URL
Copy link URL
Copy iframe embed code
Copy iframe embed code
Copy javascript embed code
Copy javascript embed code
Share
Tweet
Share
Tweet
Slide 1
Slide 1 text
© DMM.com © DMM.com 不正利用を減らす為にやったこと リスクの発見からシステム開発までの話 プラットフォーム事業本部 不正対策グループ 寺西一平 2021年1月29日 DMM meetup
Slide 2
Slide 2 text
© DMM.com 合同会社DMM.com プラットフォーム事業本部 不正対策グループ グループリーダー 経歴 •2012〜 Webアプリケーションの脆弱性診断(DAST) 立ち上げ •2015〜 会員基盤のセキュリティ強化を監修 •2017〜 不正対策グループ 立ち上げ 寺西一平 2
Slide 3
Slide 3 text
© DMM.com 1. 不正とは? 2. 不正を減らす為に解決した課題 3. 課題を解決してどうなったか? アジェンダ 3
Slide 4
Slide 4 text
© DMM.com 1. 不正とは? 2. 不正を減らす為に解決した課題 3. 課題を解決してどうなったか? アジェンダ 4
Slide 5
Slide 5 text
© DMM.com 1. 不正とは? 5 機能 何が行われるか? ログイン 不正に入手した認証情報でアカウントの乗っ取り - アカウントリストアタック 購入 ・乗っ取ったアカウントの... - クレジットカード - ポイント 等の利用 ・不正に入手したクレジットカード情報での決済
Slide 6
Slide 6 text
© DMM.com 1. 不正とは? 2. 不正を減らす為に解決した課題 3. 課題を解決してどうなったか? アジェンダ 6
Slide 7
Slide 7 text
© DMM.com 7 2.不正を減らす為に解決した課題
Slide 8
Slide 8 text
© DMM.com 8 課題1:不正に弱い仕様が存在する
Slide 9
Slide 9 text
© DMM.com 当時のハナシ 不正が発生してから不正に弱い仕様に気づいて対応していた... 課題1:不正に弱い仕様が存在する 9
Slide 10
Slide 10 text
© DMM.com →現金の流れに注目するする事で不正に弱い仕様を探す 課題1:不正に弱い仕様が存在する 10 <考え方> ・不正 = 犯罪 なので、遊びではなく仕事 ・仕事ということは、現金を得ることが目的
Slide 11
Slide 11 text
© DMM.com 課題1:不正に弱い仕様が存在する 11
Slide 12
Slide 12 text
© DMM.com 課題1:不正に弱い仕様が存在する 12
Slide 13
Slide 13 text
© DMM.com 課題1:不正に弱い仕様が存在する 13
Slide 14
Slide 14 text
© DMM.com 課題1:不正に弱い仕様が存在する 14 登場人物と現金の流れを可視化する事で弱い仕様を是正 ※気になる箇所はいっぱいありますが、パブリックな場で不正手法は話せないのでご了承ください
Slide 15
Slide 15 text
© DMM.com 15 課題2:データを見るには職人技が必要
Slide 16
Slide 16 text
© DMM.com 課題2:データを見るには職人技が必要 16
Slide 17
Slide 17 text
© DMM.com 課題2:データを見るには職人技が必要 17 あるユーザの行動を時系列に並べたいだけなのに 数時間...
Slide 18
Slide 18 text
© DMM.com 課題2:データを見るには職人技が必要 18 ・不正対策APIを開発、重要なアクションの情報を集約 →誰でもリアルタイムにデータが見れる環境
Slide 19
Slide 19 text
© DMM.com 課題2:データを見るには職人技が必要 19 その結果、数時間かけていたデータの抽出が数分に!
Slide 20
Slide 20 text
© DMM.com 課題2:データを見るには職人技が必要 20 ・不正対策APIを開発、重要なアクションの情報を集約 →誰でもリアルタイムにデータが見れる環境
Slide 21
Slide 21 text
© DMM.com 課題2:データを見るには職人技が必要 21 誰でも見れることによってこんな、メリットが! リスクの早期発見 (データを見る心理的ハードルを下げる事で早い段階で調査を開始できる) 正確なコミュニケーション (データを見る習慣が付くことで、感覚的ではなく事実を元にする会話が増加)
Slide 22
Slide 22 text
© DMM.com 22 課題3:不正者の変化に追いつけない
Slide 23
Slide 23 text
© DMM.com 課題3:不正者の変化に追いつけない 23 当時... ・不正検知条件はソースコード上に存在 ・条件を変更する際は、ソースコードを修正&デプロイ if country != JP and amount > 9800: xxxxxする if lang != ja-JP and amount > 5000: xxxxxする if lang != ja-JP and amount > 5000 and country = JP:
Slide 24
Slide 24 text
© DMM.com 課題3:不正者の変化に追いつけない 24
Slide 25
Slide 25 text
© DMM.com 課題3:不正者の変化に追いつけない 25
Slide 26
Slide 26 text
© DMM.com 課題3:不正者の変化に追いつけない 26
Slide 27
Slide 27 text
© DMM.com 課題3:不正者の変化に追いつけない 27 不正検知条件をハードコードしない形に変更
Slide 28
Slide 28 text
© DMM.com 課題3:不正者の変化に追いつけない 28 その結果、1日に何度もルールを反映できるように変化 →約2年半で、のべ14,675件 (2021/01/28現在)
Slide 29
Slide 29 text
© DMM.com 課題3:不正者の変化に追いつけない 29 反復回数が増えることでナレッジも蓄積
Slide 30
Slide 30 text
© DMM.com まとめ 30
Slide 31
Slide 31 text
© DMM.com 不正を減らすためにやっていること 31
Slide 32
Slide 32 text
© DMM.com 1. 不正とは? 2. 不正を減らす為に解決した課題 3. 課題を解決してどうなったか? アジェンダ 32
Slide 33
Slide 33 text
© DMM.com 3. 乗り越えた先に何があったか? 33 DMM.comの不正決済被害の推移
Slide 34
Slide 34 text
© DMM.com 今後どうするか? 34 ● 今以上に不正を減らしていくために... ○ 機械学習の利用 ○ より変化に適用可能なシステムへのリニューアル
Slide 35
Slide 35 text
© DMM.com 最後に 不正対策は横連携が大事だと考えています。 不正でお困りの方、ナレッジの共有をしてみませんか? 35