Flink 实现恶意登录检测

前言

在现实的业务场景中，对于风控系统来说，需要时刻检测那些异常的IP，类似于对爬虫类的IP限制，还有这么一种场景，即某些IP为了枚举系统的账户，在短时间内频繁的登录账户，对于这种IP，从风控的角度来说，也需要做拦截处理；

基本需求

• 用户在短时间内频繁登录失败，有程序恶意攻击的可能；
• 同一用户（可以是不同IP）在2秒内连续两次登录失败，需要报警；

解决思路分析

• 将用户的登录失败行为存入 ListState，设定定时器2秒后触发，查看 ListState 中有几次失败登录；
• 更加精确的检测，可以使用 CEP 库实现事件流的模式匹配；

实验数据准备

如下图所示，截取了从大日志中心经过ETL加工之后的登录日志数据的csv文件，这种数据在实际业务中，只需要找相关的业务线就可以获取到；

大致解释下每一行从左到右的文件内容意思，假如以逗号为分割࿰