4. 回放攻击原理
回放攻击（Replay Attack）是黑产在风控对抗中最基础、也最顽固的手段之一。其核心逻辑是：将一次合法的请求、凭证或行为，在短时间内重复提交，以绕过单次校验、耗尽资源或批量获利。在反欺诈领域，回放攻击通常与撞库、批量注册、批量登录、批量领券等场景深度绑定。
4.1 回放攻击定义
回放攻击并非单一技术，而是一组利用“重复”特征进行欺诈的行为集合。根据攻击目标的不同，可细分为以下三类核心形态：
| 攻击类型 | 定义 | 典型场景 | 攻击者目标 |
|---|---|---|---|
| 重放请求 | 拦截并重复发送同一网络请求（如HTTP POST），使服务端多次执行相同操作 | 重复提交订单、重复领取优惠券、重复投票 | 耗尽资源、刷单、薅羊毛 |
| 撞库 | 使用已泄露的账号密码组合，批量尝试登录其他平台 | 电商、金融、社交平台批量登录 | 窃取账户、盗取资产、爬取数据 |
| 批量注册 | 利用自动化脚本或工具，短时间内创建大量虚假账号 | 新用户红包、拉新奖励、刷量刷榜 | 获取平台补贴、制造虚假流量 |
实战提示： 在Spark回放反欺诈图谱中，这三种攻击往往不是孤立出现的。黑产团伙通常先通过批量注册获取大量账号，再使用撞库验证账号有效性，最后通过重放请求完成变现。图谱团伙识别正是要捕捉这种“注册→登录→交易”的链条式回放行为。
4.2 回放攻击的典型流程
下图展示了黑产实施回放攻击的通用技术链路，从请求拦截到批量提交，每个环节都留下了可被图谱捕获的痕迹。
图谱视角： 上述链路中的每一步都会产生实体（IP、设备、账号、订单）和关系（共享IP、共享设备、相同请求体）。Spark回放反欺诈图谱正是通过构建这些实体之间的关系网络，识别出“共享同一代理池”或“共享同一指纹模板”的团伙节点。
4.3 回放检测的三大难点
回放攻击之所以难以根治，是因为黑产在时间、IP、设备三个维度上进行了精心的伪装。传统的单点规则（如单IP限流）很容易被绕过。以下是回放检测面临的核心挑战：
4.3.1 时间窗口：攻击节奏的快速变化
黑产会动态调整攻击的时间分布，以规避基于固定时间窗口的检测规则。
- 高频突袭： 在秒级或毫秒级窗口内发起大量请求，瞬间耗尽资源。例如，1秒内发起100次领券请求。
- 低频慢速： 将请求分散到数小时甚至数天内，每次请求间隔随机，模拟正常用户行为。例如，每5分钟发起1次登录尝试。
- 脉冲式攻击： 在特定时间点（如整点抢购、活动开始瞬间）集中爆发，之后迅速沉寂。
避坑指南： 单纯依赖固定时间窗口（如“1分钟内超过10次即拦截”）会导致大量误杀（正常用户抢购）和漏杀（低频慢速攻击）。在Spark中，需要结合滑动窗口（Sliding Window）和计数窗口（Count Window）进行多粒度统计，并将时间特征作为图谱边的权重属性。
4.3.2 IP聚集：代理池与IP轮换
黑产通过代理池、VPN、Tor网络等手段，将请求分散到大量IP上，使得单个IP的请求量看起来“正常”。
| IP伪装手段 | 检测难度 | 图谱特征 |
|---|---|---|
| 住宅代理池 | 高 | IP段聚集、ASN聚集、IP与账号的1:N关系 |
| 数据中心IP | 中 | IP归属云厂商、IP与大量设备关联 |
| 移动蜂窝IP | 极高 | IP频繁切换、基站位置聚集 |
| Tor出口节点 | 高 | IP黑名单、请求时间间隔异常均匀 |
在Spark图谱中，IP聚集检测的核心是构建IP-账号二部图。如果一个IP关联了超过N个账号，或者一组IP共享同一个设备指纹，则构成可疑的“IP聚集团伙”。
4.3.3 设备指纹聚集：指纹伪造与共享
设备指纹是反欺诈的重要防线，但黑产通过以下方式绕过：
- 指纹伪造： 使用工具修改User-Agent、Canvas指纹、WebRTC IP、屏幕分辨率等参数，每次请求生成不同的指纹。
- 指纹共享： 同一台设备（如云手机、模拟器）被多个账号轮流使用，导致多个账号共享同一个设备指纹。
- 指纹池化： 黑产维护一个指纹库，每次请求随机抽取一个指纹，使得单个指纹的使用频率降低。
下图展示了设备指纹聚集检测的核心逻辑：
4.4 回放检测的图谱化思路
面对上述三大难点，传统的规则引擎和单点统计已力不从心。Spark回放反欺诈图谱的核心思路是：将时间、IP、设备三个维度的信息融合到一张图中，通过图算法（如连通分量、社区发现、标签传播）自动发现聚集性团伙。
关键结论： 回放攻击的本质是“重复”，而图谱的本质是“关系”。当黑产在时间窗口内重复请求、在IP维度共享代理、在设备维度共享指纹时，这些“重复”和“共享”就构成了图谱中的边。边的权重越高（如共享IP的账号数越多），团伙的可疑度就越高。在后续章节中，我们将使用Spark GraphX和GraphFrames，在数十亿条边中高效挖掘这些回放攻击团伙。