暑运高峰一票难求 -- 瑞数 ”机器人防火墙”Botgate让黄牛党无隙可乘

随着暑期的临近和假期出行需求的激增，新一轮的抢票大战即将开始。无论是国内还是国际，只要是紧俏线路，往往一票难求。购票难度的增加，激发了各种抢票手段的盛行。从浏览器、插件等方式进行免费刷票，到通过在线旅游平台有偿抢票服务，黄牛党们从线下抢到了线上。

黄牛们不止抢火车票、机票，各种演唱会门票、手机预售票、电信运营商限时放送的手机靓号等等都在他们的目标范围内。“为什么黄牛能抢到票，我们就抢不到呢？带着这个问题，我们咨询了瑞数信息首席战略官马蔚彦。

不是黄牛手快，是自动程序快

在百度搜索框输入“黄牛抢票软件”，可以搜索出1,410,000个相关结果。这些抢票软件能让黄牛屡屡得手。抢票软件其本质就是机器人程序，它是针对某个网站业务所设计的定制化软件，能够自动化地实现网站的购买业务操作流程。例如，普通消费者登录页面，填完所有必选框差不多需要2-5分钟的时间，但是机器人程序可以自动快速填充资料，短短2-3秒内就可以完成多人的订票工作，快人一步。这也形成了热门商品、演唱会门票刚开卖，随即销售完毕的怪异现象。

“拟人化”攻击识别难

黄牛抢票现象使消费者被迫也去寻找各种抢票软件，造成市场秩序混乱。不仅损害了普通消费者的利益，而且也让销售方的品牌形象受损。那么从技术角度来看，该如何识别并杜绝机器人程序“拟人”抢票行为呢？

马蔚彦指出，由于与业务相关性大，传统这类问题往往是通过应用开发进行解决。常规的做法是通过购票业务操作提交的频度、数量等进行限制和判别“拟人”行为。但当遇到高频率且持续时间长的机器人程序攻击时，自动化程序会发动成千上万个多IP来源的操作，并且看起来就像正常的使用者在登录，传统的特征码与规则库匹配完全无法辨识，防御手段几乎完全失效，从而影响正常的购买访问。

机器人防火墙扭转攻防格局

瑞数信息另辟蹊径，其自行研发的机器人防火墙采用全新概念设计的动态安全技术架构，并不依赖限制频度、数量的机器人判定方式，而是以动态生成令牌、动态验证访问行为等方式判断“人”与“机器人”。马蔚彦表示，这种识别是否自动化操作的机制，使得防护功能不依赖某个特定应用，任何模拟业务逻辑的“非人”访问行为，均可被识别。

瑞数信息的动态安全架构由四大核心技术构成：

动态封装：对网页底层代码做动态封装，隐藏攻击入口，升攻击难度；

动态验证：运行环境验证，有效甄别“人”还是“自动化”攻击，打击自动化攻击的有效工具；

动态混淆：对客户端敏感数据进行混淆，保护数据传输安全，保护终端请求内容及交易内容；

动态令牌：一次性动态令牌，确保执行正确的业务逻辑，保障业务逻辑正确运行。

“在线业务的企业实际应用后发现，瑞数机器人防火墙大约可以阻挡95%以上的业务滥用性机器人攻击行为，有助于维持交易的公平性及既有应用服务器的稳定性。”马蔚彦说：“只要杜绝业务滥用性机器人攻击行为，就能扭转正常消费者抢不到票的不利局面。“