4. 团伙识别业务场景：薅羊毛、刷单、恶意注册、内容爬虫、分布式攻击

在实时风控与反欺诈体系中，团伙识别是区别于单点规则拦截的核心能力。单点规则（如IP频率、设备指纹）只能拦截孤立恶意行为，而团伙识别通过分析Kafka回放链路中的时序关联、设备聚集、行为共振等特征，将看似独立的请求聚合为有组织的攻击群体。本章聚焦五大典型业务场景，阐述其攻击模式与链路特征。

4.1 五大业务场景攻击特征对比

4.2 薅羊毛与刷单：设备簇与行为序列压缩

薅羊毛和刷单是电商平台最常见的团伙攻击。攻击者通过设备农场或云手机集群批量操作，在Kafka链路中表现为：

• 设备簇聚集： 多个用户ID共享同一设备指纹或同一IP段，形成“设备簇”。
• 行为序列压缩： 正常用户从浏览到下单平均耗时数小时，刷单团伙压缩至数秒。
• 收货地址模板化： 地址字段高度相似，仅手机号或门牌号微调。

4.3 恶意注册：信息熵与注册速率模型

恶意注册是黑产建立账号池的基础。在Kafka回放链路中，恶意注册的团伙特征非常明显：

• 注册速率异常： 同一设备每分钟注册量超过阈值（如 > 5次/分钟）。
• 信息熵值低： 用户名、昵称、邮箱等字段呈现模板化，如 user_0001、user_0002。
• IP聚集： 大量注册请求来自同一C段或同一ASN。

-- 示例：Kafka Streams 中计算注册信息熵
SELECT
  device_id,
  COUNT(*) AS reg_count,
  APPROX_DISTINCT(username) / COUNT(*) AS username_entropy_ratio
FROM user_registration
WINDOW TUMBLING (SIZE 1 MINUTE)
GROUP BY device_id
HAVING reg_count > 10 AND username_entropy_ratio < 0.3;

4.4 内容爬虫与分布式攻击：请求模式同步性

内容爬虫和分布式攻击虽然目标不同，但在链路特征上高度相似——请求模式的同步性。正常用户的请求是随机的、离散的，而团伙攻击的请求在时间轴上呈现“共振”现象。

4.5 团伙识别链路架构

下图展示了基于Kafka回放链路的团伙识别整体架构，从原始事件接入到团伙ID输出，共分为四个核心层。

4.6 场景与模型映射关系

不同业务场景对应不同的团伙识别模型策略。下表总结了各场景推荐的模型方法与Kafka链路配置。

4.7 链路回放中的团伙识别流程

在Kafka回放链路中，团伙识别并非一次性计算，而是增量迭代的过程。以下流程图展示了从事件回放到团伙输出的完整步骤。

4.8 实战案例：薅羊毛团伙链路回放

以某电商平台“新人红包”薅羊毛场景为例，Kafka回放链路中检测到以下异常模式：

• 设备簇： 12个用户ID共享同一设备指纹 DEVICE_A。
• IP聚集： 所有请求来自同一C段 192.168.1.0/24。
• 行为序列： 注册→领取红包→下单，平均耗时仅8秒（正常用户约15分钟）。
• 地址模板： 收货地址均为“XX省XX市XX区XX路XX号”，仅门牌号不同。

4.9 团伙识别避坑指南