2023.1月安全月报来咯！

航空是交通出行的重要组成部分。据《2020年世界民航航空统计》显示，全国每百人中，就有30人乘坐飞机出行。航空业的数字化开展得早，科技集成度非常高，在给乘客带来便捷交通出行体验的同时，也一直是黑灰产牟利重要渠道。

参与安全保卫战，赢iPhone 14 Pro Max！！！

所涉收集人脸数据，能通过人脸识别信息解决精准营销，抓取的人脸数据信息累计上亿。顶象《人脸识别安全白皮书》共有8章73节，系统对人脸识别的组成、人脸识别的内在缺陷、人脸识别的潜在安全隐患、人脸识别威胁产生的原因、人脸识别安全保障思路、人脸识别安全解决方案、国家对人脸识别威胁的治理等进行了详细介绍及重点分析。人脸是重要的隐私信息，利用各种技术和手段，在未经同意允许或批准的前提下，通过公开或非法手段，收集、保存、盗取正常的人脸数据，一旦信息出现泄露，不仅被不法分子进行用于诈骗，更可能被反复贩卖牟利。

此后分别是娱乐10%、医疗7%、电商零售6%、出行3%、政务2%、其他2%。该白皮书共有8章73节，系统对人脸识别的组成、人脸识别的内在缺陷、人脸识别的潜在安全隐患、人脸识别威胁产生的原因、人脸识别安全保障思路、人脸识别安全解决方案、国家对人脸识别威胁的治理等进行了详细介绍及重点分析。人脸识别是基于人面部特征数据进行身份识别的一项生物特征技术，用于手机解锁、身份验证、上班打卡、社区、考勤、乘车、购物等，在金融、医疗、安检、支付、文娱等诸多领域得到普及，为数字经济社会发展和人们日常生活带来了新机遇。

根据网络安全法规定，任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动，不得提供相关的程序、工具，“在网络平台出售打卡神器、提供代打卡服务的行为侵犯了公司的正常运营，违反了该条规定，属于行政违法行为”，在用人单位考勤制度健全的情况下，员工打卡作弊，首先违反用人单位考勤管理制度；因此，针对保险行业的代打卡现象，9月8日顶象策划了《保险代打卡对抗实战》的直播，详细介绍了保险行业的背景、风险以及黑灰产的代打卡手段，并提出了具体的防控策略。黑灰产又有了新的敛财手段。

以“网络安全为人民，网络安全靠人民”为主题的2022年国家网络安全周在合肥开幕。国家网络安全周是为了“共建网络安全，共享网络文明”而开展的主题活动，聚焦网络安全教育技术产业融合发展，通过重要活动与主题活动相结合，线上活动与线下活动相结合，着力提升全民安全意识、防护技能，提升网络安全水平，促进产业发展。

所谓App加固 ，简单说来就是对App代码逻辑的一种保护。众所周知，《贪玩蓝月》是一款网页游戏，自2016年发行以来，其代言人也是大咖云集，除了古天乐外，山鸡哥陈小春、刘烨、张家辉、古丽娜扎、冯小刚、张天爱、谢霆锋、吴孟达、郭富城、郭富城、朱茵、孙红雷、迈克尔·詹姆斯·欧文……对App应用进行防动态注入保护，当利用zygote或ptrace技术进行App应用的注入操作时，App应用进行自动退出运行操作，以此进行防御攻击方对App应用的非法操作，避免动态分析执行代码，从而达到动态保护App应用安全。

验证码作为安全服务中最贴近大众用户的一环，也是任何产品在用户登录环节几乎必备的一环，从最初的文本型验证码到知识型验证码到行为轨迹验证码，再到智能无感验证码，验证码厂商花了十几年的时间。目前，旋转验证码、乱序拼图类验证码都是效果比较好的反爬虫验证码类型，此类验证码需要一定联想能力，而机器识别很难具备这种能力，且验证过程类似游戏，不仅提升了用户体验，并且实现了不错的防御效果。综上，不难看出，无论是旋转类验证码还是拼图类验证码，收集图片素材都是其必要条件，但要想实现防御效果，仅靠图片是不行的。

2021年8月，美国 HomeLegendLLC租用的微软365邮箱系统被入侵。攻击者以某管理层的身份发送了一份欺诈邮件，导致公司损失 356.9 万美元。

8月安全圈热点资讯整合

顶象业务安全大讲堂汇集了业内大咖，分享万亿级业务安全攻防经验，打造时下最专业的业务安全直播课，通过“技术+方案+实践”三大核心专题，带您全面了解金融、互联网、航旅出行、跨境电商以及目前大热的NFT等各类业务风险及防范手段，深入解析背后的产品技术，抽丝剥茧攻防实战，助您打造零风险的数字业务。，顶象产品总监张祖凯将从保险行业的背景及其行业的特殊性讲起，详细剖析保险行业代打卡可能造成的风险，全场景再现黑灰产作弊工具，让你一秒看懂黑灰产套路，针对黑灰产作弊工具提出具体的防控方案。那么，代打卡还有哪些风险？.....

App、小程序、H5采集信息来自各自平台，H5主要来自浏览器 ，小程序来自App提供的API，这三者采集信息差异很大，目前无法生成一样的指纹。首先现在指纹的计算不是用硬件标识或者特征的hash值来直接作为指纹，一般指纹本身是随机生成的一个标识，各家的生成方式各不相同，所以标识这一点很难做到一致。这是利用UUID的随机性和唯一性，同一台设备UUID可以变化，但变化后，旧的UUID就不可能出现。这个正如分享里提到的，现在生成指纹不能只依赖几个重要字段，需要结合硬件，App，环境的各项数据构建设备画像。.....

互联网时代，用户拉新几乎是所有公司必须面对的话题，从投入运营的初期阶段到快速成长期，再到稳定的成熟阶段，拉新贯穿了产品的整个生命周期，毕竟有了新用户才能创造出价值。而每拉一个新用户就意味着一个新的移动设备，如何唯一标识一个设备便成为一道永恒的技术难题。顶象曾在之前的系列文章一文中提到，设备指纹是指通过用户上网设备的硬件、网络、环境等特征信息生成设备的唯一标识，并且这个唯一标识在移动设备的生命周期内不会发生变化，方便对移动设备进行认证，追溯等。...

为了进一步保障App安全，飞凡汽车与顶象达成合作。借助顶象端加固，飞凡汽车App能有效防御内存注入、Hook、调试、注入、多开、内存Dump、模拟器、二次打包和日志泄露等攻击威胁，防止App遭受入侵、篡改、破解、二次打包等恶意侵害，并能够对密钥存储文件、配置类文件的进行加密，保障隐私数据安全。上汽集团新能源三电核心技术，L4 级自动驾驶项目的成熟经验， 人工智能、大数据、云计算、网络安全和软件五大创新中心，横跨全球 70 多个地区的产业链布局，以及在智能制造领域的实力，为飞凡汽车强大的基础。

基于顶象防御云，该电商平台建设一套营销活动反欺诈体系。《白皮书》系统对业务安全风险的发展态势和关键技术要求进行分析，梳理了数字化转型浪潮下将面临的业务安全风险以及相应的防控技术，并重点介绍了目前最前沿的业务安全解决方案顶象防御云，以及顶象防御云在电商、航空、保险行业的应用实践。顶象防御云基于多年实战经验和技术产品，拥有丰富的技术工具、数万个安全策略及数百个业务场景解决方案，具有情报、感知、分析、防护、处置的能力，提供模块化配置和弹性扩容，助企业快速、高效、低成本构建自主可控的业务安全体系。.........

假如，不法分子通过破解篡改人脸识别系统验证流程、信息、数据等，将后台或前端的真数据替换为假数据，或者替换为虚假核酸数据、虚假的行程记录，直接导致无法正常通过，不仅影响出行，更直接影响商业活动。2、顶象防御云集成的业务感知防御平台，通过对移动端100+风险项及异常行为的分析识别，及时发现针对摄像头劫持、设备伪造、注入、hook、越狱、root、模拟器等风险，并提供从风险识别、预警处置、黑样本沉淀的闭环管理，能够有效防范人脸识别各类风险。自助化的人脸识别应用，需要有一套辅助的核验体系，必要时需要人工参与。...

App 加固是对App 代码逻辑的一种保护，其原理是将应用文件进行某种形式的转换，包括不限于隐藏、混淆、加密等操作，通过 App 加固技术不仅可以提高对逆向后的代码阅读难度、而且有利于降低 App 被破解、插入病毒、木马、后门程序等恶意代码的风险，同时也能增强用户隐私数据、交易数据的安全性。公牛集团牛数 App 作为企业内部智能办公使用系统，更重要的是保证系统的平稳、安全运行，因此，顶象从移动应用的安全角度出发，对牛数的设计开发测试到上线发布再到运营维护全生命周期的安全进行全周期防护。...........

随着数字化的深入普及，业务愈加开放互联。企业的关键数据、用户信息、基础设施、运营过程等均处于边界模糊且日益开放的环境中，涉及利益流和高附加值的业务面临多样的安全隐患，随时可能遭遇损失，进而影响企业运营和发展。.........