Первый запуск и ввод в работу¶

Ввод SmartBot Protection в работу начинается с наблюдения за трафиком и анализа срабатываний. После проверки результатов можно переходить к блокировке запросов.

Старт в режиме наблюдения¶

Все правила вводятся в режиме Monitoring: проверки выполняются полностью, срабатывания фиксируются в журнале, но запросы не блокируются. Это позволяет оценить, какие запросы блокировались бы на реальном трафике, без риска блокировки легитимных обращений.

Что смотреть в первые дни¶

Активность ботов – объём автоматизированного трафика, доля блокировок, распределение срабатываний по основаниям. Подробнее – Активность ботов.
Боты – основания срабатываний, сработавшие эвристики и отпечатки. Подробная информация доступна при раскрытии записи. Порядок анализа описан в Мониторинге и анализе заблокированных запросов.
Обращения пользователей – жалобы на проблемы со входом следует сопоставлять с журналом по идентификатору сессии, который содержится в каждой записи.

Перевод в блокировку¶

Правило переводится в режим Block, когда анализ срабатываний показывает, что легитимные обращения не попадают под блокировку.

Вносите изменения постепенно: по одному правилу или одной группе параметров за раз. Это позволит быстрее определить причину избыточных срабатываний.

Порядок применения конфигурации описан на странице Управление.

Если появились ложные срабатывания¶

Действия зависят от основания блокировки.

Основание	Действие
Чёрные списки	Пересмотрите запись, вызвавшую срабатывание. Подробнее – Управление сигнатурами.
Эвристическая проверка	Ослабьте соответствующий параметр поведенческого анализа. Порядок настройки описан в Настройке параметров поведенческого анализа.
Браузерные проверки, CAPTCHA	Пересмотрите пороги сигналов на стороне ноды. Доступные настройки приведены в Параметрах конфигурации ноды.
Токен устарел	Увеличьте срок жизни токена в наборе Cookie. Подробнее – Управление.
Токен другого клиента	Проверьте, не изменяются ли заголовки или отпечатки на пути трафика. Подробнее – Токен доступа и проверка запросов и Получение TLS-отпечатков.

Если причину необходимо устранить немедленно, откатите конфигурацию: выберите предыдущую версию в истории, назначьте её текущей и отправьте на ноды. Порядок действий описан на странице Управление.

Чего делать не следует¶

Включать режим Block сразу после установки – без предварительного наблюдения сложно отличить атаку от легитимных обращений.
Изменять несколько параметров одновременно – это затрудняет определение причины изменения результатов проверок.
Добавлять записи в чёрные списки по единичному срабатыванию – сначала необходимо проверить основание срабатывания в журнале.