欺诈防范：少即是多

F5生态系统 | 2022年6月16日

Joshua Goldfarb

约翰·奈斯比特在其1982年出版的著作《大趋势》中写道：“我们淹没在信息之中，却渴求知识。”这是我最喜欢的名言之一，因为我认为它精准概括了现代生活中许多事物的现状。

尤其是，这句话简明地概括了许多企业欺诈与风险管理计划的现状。遗憾的是，其中许多计划存在大量误报和其他“噪声”，影响了实际成效。

要了解为什么“噪声”会给欺诈和风险管理带来如此严重的问题，首先需要了解它对企业造成的影响。以下虽未涵盖所有影响，但列出了其中几个主要方面：

浪费工作时间：当欺诈防范团队围绕集中式工作队列构建工作流时，需要确定队列中所有事件的优先级并逐一审核。噪声会让队列充斥着需要审核、却无法为欺诈和风险管理计划创造价值的项目。换言之，噪声会浪费团队宝贵的工作时间。
漏掉真正例：“大海捞针”很适合形容从典型企业面对的海量数据和事件中查找欺诈行为的情形。在这个比喻中，针代表真正例（欺诈事件），而大海则代表并非欺诈的误报。误报越多，找到真正例就越困难。
基础设施成本增加：噪声也会增加基础设施成本。无论每条日志、警报和事件是否能为欺诈与风险管理计划带来价值，都必须予以保留。因此，如果团队收集了大量几乎没有价值的信息，只会占用额外的基础设施资源。由此产生的成本会挤占原本可用于更具价值领域的预算。
指标失真：误报往往会导致指标失真。某些指标尤其容易受到噪声量的显著影响，包括处理真实欺诈事件所用时间的占比、真阳性与假阳性的比率、事件量、已处理事件数、分析人员处理每个事件所用的时间等。误报率越低，这些指标就越准确，结果也越理想。

了解误报和噪声对欺诈防范计划产生负面影响的部分原因，有助于制定解决问题的方案。以下是我在职业生涯中总结出的一些实用建议：

从风险入手：成功之路无一例外都始于对风险的深入理解和应对风险的坚定决心。评估企业面临的风险和威胁，了解它们会影响企业的哪些方面，并掌握每项风险和威胁可能造成的成本或损失。
设定目标和优先事项：确定要处理的事项及处理时间，是欺诈与风险团队需要做出的重要战略决策之一。请对上一步列出的风险和威胁进行优先级排序，并设定近期和长期需要落实的目标及优先事项。
评估影响：识别关键资产、核心资源和重要数据存储等，有助于团队了解事件可能造成的影响。明确最敏感、最重要的资产、资源和数据所在位置，有助于团队重点关注遥测数据存在缺口的领域。
识别数据和缺口：了解现有的遥测数据收集情况，并评估每个数据源是否有助于欺诈和风险管理计划。如果没有帮助，收集这些数据只会增加基础设施成本，而不会带来任何价值。识别导致团队无法发现潜在欺诈的遥测数据缺口，并制定计划来弥补这些缺口。
评估技术和缺口：仔细审视现有技术，评估其在哪些方面发挥了作用，例如以较低的误报量可靠地检测欺诈、收集有价值的遥测数据，以及提高流程和工作流的效率。同时，密切关注技术在哪些方面不仅没有为欺诈防范团队提供帮助，反而造成了阻碍，以及遥测和检测方面存在哪些缺口。
弃用噪声过多的规则和签名：产生大量噪声的规则、签名及其他检测技术无法为欺诈防范计划带来价值。相反，它们会让团队淹没在误报之中，严重妨碍及时、准确地检测欺诈事件。弃用这些噪声过多的检测机制听起来可能有些激进，但利远大于弊。
实施精准检测：要真正践行“少即是多”的理念，就需要认识到深入分析数据并生成高保真、高可靠性的警报和事件的重要性。实施更复杂的检测方法虽然前期需要投入大量时间，但会带来显著回报。警报和事件生成越准确，工作队列中的有效信号就越多，噪声就越少。
重视流程：如果流程存在缺陷或缺失，再高质量的工作队列也无济于事。专业的欺诈防范团队拥有成熟、高效且有效的流程，用于指导和规范工作方式。
持续改进：任何欺诈防范团队都并非完美。表现出色的欺诈防范团队会清楚认识自身不足和改进机会。总结上述各点的经验教训，并以此持续改进欺诈防范计划，对于团队取得长期成功至关重要。