Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Speaker Deck
PRO
Sign in
Sign up for free
DMMmeetup 不正利用を減らす為にやったこと
ippei
March 17, 2021
Technology
0
1.1k
DMMmeetup 不正利用を減らす為にやったこと
https://dmm.connpass.com/event/201926/
https://www.youtube.com/watch?v=ayAbSgderm0
ippei
March 17, 2021
Tweet
Share
More Decks by ippei
See All by ippei
DMM meetup ユーザを不正から守るシステムとは?
teranishi_ippei
0
1.3k
DMMの不正対策システムと運用サイクル
teranishi_ippei
2
1.2k
Other Decks in Technology
See All in Technology
KyvernoとRed Hat ACMを用いたマルチクラスターの一元的なポリシー制御
ry
0
240
SmartHRからOktaへのSCIM連携で作り出すHRドリブンのアカウント管理
jousysmiler
1
130
岐路に立つ若手がAmazonianの仕事術を学んできました / learning amazonian productivity hacks as a junior engineer
yayoi_dd
0
170
CSS Variable をもっと活用する / Kyoto.js 18
spring_raining
2
1.1k
re:Inventで発表があったIoT事例の紹介と考察
kizawa2020
0
200
AI Builderについて
miyakemito
1
1k
S3とCloudWatch Logsの見直しから始めるコスト削減 / Cost saving S3 and CloudWatch Logs
shonansurvivors
0
270
SSMパラメーターストアでクロススタック参照の罠を回避する
shuyakinjo
0
8k
Raspberry Pi Camera 3 介紹
piepie_tw
PRO
0
170
Deep dive in Reserved Instance ~脳死推奨量購入からの脱却~
kzkmaeda
0
550
re:Inventの完全招待制イベント Building a Roadmap to SaaSについて / Building a Roadmap to SaaS an invitation only event at reinvent
yayoi_dd
0
160
SignalR を使ったアプリケーション開発をより快適に!
nenonaninu
0
710
Featured
See All Featured
Design and Strategy: How to Deal with People Who Don’t "Get" Design
morganepeng
109
16k
Optimizing for Happiness
mojombo
365
64k
Unsuck your backbone
ammeep
659
56k
KATA
mclloyd
12
9.7k
Six Lessons from altMBA
skipperchong
15
2.3k
jQuery: Nuts, Bolts and Bling
dougneiner
57
6.6k
Web development in the modern age
philhawksworth
197
9.6k
Art Directing for the Web. Five minutes with CSS Template Areas
malarkey
197
10k
Scaling GitHub
holman
453
140k
Teambox: Starting and Learning
jrom
124
7.9k
10 Git Anti Patterns You Should be Aware of
lemiorhan
643
54k
Music & Morning Musume
bryan
37
4.7k
Transcript
© DMM.com © DMM.com 不正利用を減らす為にやったこと リスクの発見からシステム開発までの話 プラットフォーム事業本部 不正対策グループ 寺西一平 2021年1月29日
DMM meetup
© DMM.com 合同会社DMM.com プラットフォーム事業本部 不正対策グループ グループリーダー
経歴 •2012〜 Webアプリケーションの脆弱性診断(DAST) 立ち上げ •2015〜 会員基盤のセキュリティ強化を監修 •2017〜 不正対策グループ 立ち上げ 寺西一平 2
© DMM.com 1. 不正とは? 2. 不正を減らす為に解決した課題 3. 課題を解決してどうなったか? アジェンダ 3
© DMM.com 1. 不正とは? 2. 不正を減らす為に解決した課題 3. 課題を解決してどうなったか? アジェンダ 4
© DMM.com 1. 不正とは? 5 機能 何が行われるか? ログイン 不正に入手した認証情報でアカウントの乗っ取り -
アカウントリストアタック 購入 ・乗っ取ったアカウントの... - クレジットカード - ポイント 等の利用 ・不正に入手したクレジットカード情報での決済
© DMM.com 1. 不正とは? 2. 不正を減らす為に解決した課題 3. 課題を解決してどうなったか? アジェンダ 6
© DMM.com 7 2.不正を減らす為に解決した課題
© DMM.com 8 課題1:不正に弱い仕様が存在する
© DMM.com 当時のハナシ 不正が発生してから不正に弱い仕様に気づいて対応していた... 課題1:不正に弱い仕様が存在する 9
© DMM.com →現金の流れに注目するする事で不正に弱い仕様を探す 課題1:不正に弱い仕様が存在する 10 <考え方> ・不正 = 犯罪 なので、遊びではなく仕事
・仕事ということは、現金を得ることが目的
© DMM.com 課題1:不正に弱い仕様が存在する 11
© DMM.com 課題1:不正に弱い仕様が存在する 12
© DMM.com 課題1:不正に弱い仕様が存在する 13
© DMM.com 課題1:不正に弱い仕様が存在する 14 登場人物と現金の流れを可視化する事で弱い仕様を是正 ※気になる箇所はいっぱいありますが、パブリックな場で不正手法は話せないのでご了承ください
© DMM.com 15 課題2:データを見るには職人技が必要
© DMM.com 課題2:データを見るには職人技が必要 16
© DMM.com 課題2:データを見るには職人技が必要 17 あるユーザの行動を時系列に並べたいだけなのに 数時間...
© DMM.com 課題2:データを見るには職人技が必要 18 ・不正対策APIを開発、重要なアクションの情報を集約 →誰でもリアルタイムにデータが見れる環境
© DMM.com 課題2:データを見るには職人技が必要 19 その結果、数時間かけていたデータの抽出が数分に!
© DMM.com 課題2:データを見るには職人技が必要 20 ・不正対策APIを開発、重要なアクションの情報を集約 →誰でもリアルタイムにデータが見れる環境
© DMM.com 課題2:データを見るには職人技が必要 21 誰でも見れることによってこんな、メリットが! リスクの早期発見 (データを見る心理的ハードルを下げる事で早い段階で調査を開始できる) 正確なコミュニケーション (データを見る習慣が付くことで、感覚的ではなく事実を元にする会話が増加)
© DMM.com 22 課題3:不正者の変化に追いつけない
© DMM.com 課題3:不正者の変化に追いつけない 23 当時... ・不正検知条件はソースコード上に存在 ・条件を変更する際は、ソースコードを修正&デプロイ if country !=
JP and amount > 9800: xxxxxする if lang != ja-JP and amount > 5000: xxxxxする if lang != ja-JP and amount > 5000 and country = JP:
© DMM.com 課題3:不正者の変化に追いつけない 24
© DMM.com 課題3:不正者の変化に追いつけない 25
© DMM.com 課題3:不正者の変化に追いつけない 26
© DMM.com 課題3:不正者の変化に追いつけない 27 不正検知条件をハードコードしない形に変更
© DMM.com 課題3:不正者の変化に追いつけない 28 その結果、1日に何度もルールを反映できるように変化 →約2年半で、のべ14,675件 (2021/01/28現在)
© DMM.com 課題3:不正者の変化に追いつけない 29 反復回数が増えることでナレッジも蓄積
© DMM.com まとめ 30
© DMM.com 不正を減らすためにやっていること 31
© DMM.com 1. 不正とは? 2. 不正を減らす為に解決した課題 3. 課題を解決してどうなったか? アジェンダ 32
© DMM.com 3. 乗り越えた先に何があったか? 33 DMM.comの不正決済被害の推移
© DMM.com 今後どうするか? 34 • 今以上に不正を減らしていくために... ◦ 機械学習の利用 ◦ より変化に適用可能なシステムへのリニューアル
© DMM.com 最後に 不正対策は横連携が大事だと考えています。 不正でお困りの方、ナレッジの共有をしてみませんか? 35