第1章：反欺诈场景概述与业务挑战
说实话，做反欺诈风控这么多年，我最大的感受就是——你永远不知道下一秒骗子会用什么招。我记得刚入行那会儿，团伙盗刷还是靠撞库、扫号，好歹有个规律可循。现在呢？设备指纹、真人代购、AI合成人脸……每一样都够你喝一壶的。
这一章我们先把战场看清楚。你要知道对手长什么样，才知道该用什么武器。
1.1 常见的欺诈类型
我习惯把欺诈分为三大阵营：账户类、交易类、营销类。它们的目标不同，但手法经常交叉。
| 欺诈类型 | 典型场景 | 损失形态 | 检测难点 |
|---|---|---|---|
| 账户盗用 | 撞库、社工库、短信劫持 | 用户资金、积分 | 伪装成正常登录，IP/设备频繁更换 |
| 交易欺诈 | 信用卡盗刷、虚假退款 | 直接资金损失 | 瞬间完成，金额小频次高 |
| 营销作弊 | 刷单、薅羊毛、黑产红包 | 营销预算浪费 | 团伙操作量大，行为高度相似 |
| 身份伪造 | AI换脸、伪造证件 | 合规风险、品牌声誉 | 图像检测成本高，实时处理难 |
一个小经验： 我见过不少团队一开始就上深度学习模型，结果线上延迟压不住，每天漏放几万笔欺诈。别急着炫技，先把规则引擎和CEP跑通。
你会问：这些欺诈场景里，CEP到底能帮什么忙？别急，我们先聊聊实时风控为什么这么难。
1.2 实时风控的核心挑战
实时风控，说白了就两个字：快 和 准。但这两者经常打架。
- 毫秒级响应：支付环节通常要求100ms内出结果，否则用户直接流失。
- 复杂事件关联：单笔交易看不出问题，但同一个账户10秒内在三个城市下单，就是明显异常。
- 数据异构：流式事件、离线特征、外部黑名单，要实时融合。
- 反侦查对抗：黑产会故意构造正常行为节奏，避开规则。
我曾经掉过的一个坑： 在做某电商平台反爬的时候，只用了静态IP阈值规则。结果黑产用旋转代理+慢速请求，我们监控完全没报警。后来加入CEP的「滑动窗口 + 次数计数」才抓到。别小看滑动窗口，它是CEP的基石。
要应对这些挑战，传统的RBAC（规则库）往往力不从心——规则过多导致维护困难，而且无法表达「如果A事件发生，且B事件在5秒后没出现，则触发警报」这类时序逻辑。这就是CEP登场的理由。
1.3 CEP在反欺诈中的独特价值
CEP（复杂事件处理）不是啥新技术，但用在反欺诈上特别顺手。我的理解：它像一把尺子，帮你在高速事件流里量出“异常形状”。
具体说，CEP能帮你做到三件事：
- 时序聚合：记录事件顺序和间隔。比如“第一次登录失败 → 立刻密码重置 → 发起转账”，这个模式在CEP里一行代码就能表达。
- 多流关联：同时分析用户点击流、交易流、风控补全数据。Flink CEP天然支持 event-time 和 processing-time 两种时间语义。
- 状态可回溯：规则可以引用过去一段时间内的所有状态。比如“最近1小时内同一设备关联的不同账户超过5个”，这种在CEP里是基操。
下面这张图是我在讲课时必放的，它把CEP在反欺诈里的位置说清楚了：
你看，Flink CEP 引擎是整个管道的中枢。前面接住各种异构事件的洪流，后面输出评分和决策。中间那一步“规则引擎”才是区分普通风控和高级风控的分水岭。
核心观点： CEP 不取代机器学习模型，而是充当「快速判断 + 时序敏感」的哨兵。我通常把它放在第一道防线：用CEP拦截明显可疑的模式（如连输3次密码、异地登录后立刻转账），放过模糊的样本交给模型深度分析。这样延迟和准确率都能兼顾。