AbuseOps и философия противодействия злоупотреблениям

"Кто хочет сражаться, должен сначала подсчитать затраты" - Сунь Цзы, Искусство войны

В военной сфере учат, что есть два способа победить врага: либо отнять у него способность, либо отнять у него волю. Это означает, что вы можете либо лишить кого-то возможности причинить вам вред, либо лишить его воли сделать это. Почему бы не применить это в мире противодействия злоупотреблениям? Хорошие новости... это возможно!

Мы уже используем термин "атака", чтобы описать злоупотребительскую деятельность на платформе, и во многих отношениях предотвращение злоупотреблений похоже на ведение войны. Хотя мы всегда предпочли бы лишить кого-то возможности злоупотреблять системой, во многих случаях это невозможно. Обычно из-за ограничений времени или удобства. Давайте тогда попытаемся понять волю врага злоупотреблять системой.

Для подавляющего большинства злоупотреблений в их основе лежит бизнес. Поэтому нашим главным принципом в борьбе с такими злоупотреблениями является увеличение стоимости злоупотребления и, в свою очередь, уменьшение его прибыльности. Без прибыли мы уничтожаем волю врага даже пытаться злоупотреблять платформой.

Давайте проиллюстрируем это на примере. На Yelp есть множество ресторанов и достопримечательностей, доступных онлайн. Возможно, на основе этих записей можно создать несколько продуктов, от конкурента Yelp до аналитической компании, которая продает другие исследования на основе этих данных. Но сначала нам нужно иметь все это в какой-то базе данных, к которой у нас есть легкий доступ.

Если у Yelp есть 200 миллионов таких записей, то становится нетривиальной задачей скопировать их все. Игнорируя любые юридические или моральные аспекты этого действия, давайте посмотрим на денежные затраты на такой проект. Нам понадобится программист, чтобы написать простую программу, почти любой инженер подойдет на этом этапе, поэтому мы можем найти кого-то, кто сделает это всего за $5,000 на upwork или другом сайте. Теперь нам нужен сервер и база данных, мы можем использовать Azure или AWS и получить один IP и БД за $1,000 на время такого короткого проекта. Это ставит нас в положение $6,000 / $200,000,000 = 0.003 цента за запись, практически бесплатно. Это стоимость, которую нам нужно увеличить. Эта стоимость будет быстро расти, поскольку даже простые защиты потребуют более дорогостоящих инженеров, работающих дольше, с использованием более дорогостоящей инфраструктуры.

Есть еще один аспект стоимости здесь, сколько времени потребуется, чтобы все это скопировать?

Если мы запрашиваем 100 записей каждую секунду, это известно как запросов в секунду или QPS, мы скопируем 8.64 миллиона записей в день: 200,000,000 / 8,640,000 = 23 дня. Это еще один способ увеличить стоимость злоупотребления, если потребуется 20 лет, чтобы получить все записи, это задержит любую возможную прибыль настолько далеко в будущем, что фактически уничтожит любое предприятие, основанное на данных Yelp.

Не сложно заметить, что нам очень быстро потребуется несколько миллионов долларов, если каждая запись стоит хотя бы одну центовую монету. Это будет дополнительным вложением в продукт, основанный на данных, скопированных с Yelp, который может иметь юридические проблемы и является определенной слабостью для любого стартапа, представляющего свой проект венчурному капиталу для финансирования. Когда мы достигнем этой точки, как Yelp, мы снизим количество потенциальных злоупотребляющих противников. Создание сдерживающих факторов и снижение общего уровня злоупотреблений.

Эта философия поможет нам оставаться на правильном пути, сосредоточившись на цели: снижение общего уровня злоупотреблений и защита сервиса, его пользователей и данных.

В следующем сообщении я расскажу о методологии, которую мы можем использовать для реализации здесь изложенных идей. Мы рассмотрим, как мы можем даже узнать, что мы подвергаемся атаке, и как увеличить стоимость злоупотребления более подробно.

Основные моменты:

• Злоупотребление - это бизнес, увеличивайте стоимость злоупотребления.
• Мы можем рассматривать стоимость как денежную стоимость.
• Мы можем рассматривать стоимость как основанную на времени.
• Наша цель - снижение общего уровня злоупотреблений и защита сервиса.