Защита от типовых сценариев автоматизированных атак¶

SmartBot Protection применяется для защиты от автоматизированных атак на учётные записи, массового сбора данных, злоупотреблений бизнес-логикой и рекламного фрода. Для каждого сценария используются механизмы проверки клиентов, контроля токенов и поведенческого анализа. Часть ограничений, связанных с бизнес-логикой, реализуется на стороне приложения.

Подход¶

Перечисленные сценарии различаются целями и последствиями, но имеют общую особенность: для массового выполнения атак используется автоматизация. Подбор учётных данных, копирование каталогов и массовая активация промокодов требуют большого количества повторяющихся действий.

SmartBot Protection выявляет автоматизированные обращения независимо от того, на какую уязвимость бизнес-логики они направлены. Ограничение возможности массового выполнения запросов снижает эффективность таких атак.

Политика защиты назначается по типу ресурса, а не по сценарию атаки. Формы, точки входа в приложение и программные интерфейсы, обращения к которым должны выполняться после взаимодействия пользователя со страницами, защищаются требованием токена. Для разделов с ценным содержимым применяется контроль сеанса и поведения клиента.

Атаки на учётные записи¶

Подбор учётных данных и захват учётных записей¶

Атака выполняется перебором пар логин – пароль через форму входа. Для подбора могут использоваться данные из утечек других ресурсов, поскольку пользователи нередко повторно используют пароли.

Захват учётной записи может стать результатом успешного подбора пароля, перебора кодов подтверждения или ответов на контрольные вопросы.

Для массового перебора требуются сотни и тысячи попыток, которые выполняются программно.

Механизмы защиты

Форма входа и обрабатывающий её программный интерфейс защищаются требованием токена. Запросы без действующего токена отклоняются.

Токен выдаётся после проверки браузерного окружения. Это позволяет выявлять обращения из скриптов, утилит командной строки и headless-браузеров на этапе получения токена.

Механизмы описаны в Токене доступа и проверке запросов и Детекции инструментов автоматизации.

Автоматизированное заполнение формы выявляется поведенческим анализом. Проверяются следующие признаки:

Мгновенная вставка учётных данных.
Равномерные интервалы между нажатиями клавиш.
Отправка формы без предварительного движения курсора.
Клик по кнопке без подведения к ней указателя.

Каждый признак фиксируется отдельным блоком анализа. Подробнее – Настройка параметров поведенческого анализа.

Перенос токена между клиентами не позволяет обойти проверку. Токен связан с отпечатками HTTP-запроса, TLS-соединения и клиентского окружения. При предъявлении токена другим клиентом запрос отклоняется.

Настройка

Для программного интерфейса аутентификации назначьте тип проверки Token Check, для страницы входа – Landing.

В блоках анализа клавиатуры, отправки форм и последовательности действий можно снизить пороги подозрительности относительно значений по умолчанию. Для формы входа рекомендуется более строгая проверка, поскольку она часто становится целью автоматизированных атак.

Исчерпание ресурсов через формы аутентификации и рассылки сообщений¶

Атака заключается в массовом вызове действий, каждое из которых расходует средства или лимиты банка: отправка кодов подтверждения по SMS, инициирование звонков или обращения к внешним сервисам проверки.

Цель атаки – исчерпание бюджета или доступной квоты. Дополнительным последствием может стать массовая отправка сообщений на номера пользователей.

Механизмы защиты

Программный интерфейс, инициирующий отправку сообщения, защищается требованием токена.

Автоматизированные клиенты выявляются на этапе получения токена или направляются на дополнительную проверку. Токен связывает сеанс с результатами проверки браузерного окружения и ограничивает массовые обращения из программных клиентов.

Настройка

Для соответствующего программного интерфейса назначьте тип проверки Token Check.

Легитимный пользователь обычно запрашивает код несколько раз, а не десятки раз подряд. Если отправка сообщений выделена в отдельное приложение, для него можно назначить более строгий набор параметров накопительной оценки.

Что остаётся на стороне приложения

Ограничение количества отправок на один номер телефона или одну учётную запись за определённый период относится к бизнес-логике приложения.

SmartBot Protection ограничивает автоматизированные обращения, но не учитывает прикладные сущности, такие как номер телефона или учётная запись.

Автоматизированный сбор данных¶

Парсинг цен и содержимого¶

Автоматизированный сбор данных выполняется путём обхода каталога или поисковой выдачи с сохранением содержимого страниц.

Сбор может выполняться конкурентами, агрегаторами и сервисами сравнения. В отличие от других сценариев, парсинг не обязательно нарушает работу приложения, но создаёт дополнительную нагрузку и приводит к неконтролируемому использованию содержимого.

Механизмы защиты

Разделы с ценным содержимым защищаются типом Landing. Доступ предоставляется по токену, выданному после проверки браузера.

Токен связан с характеристиками клиента и требует продления. При автоматизированном обходе каталога с сохранённой cookie токен не продлевается без обращений от analyze.js.

Программный интерфейс, предоставляющий данные для отображения на страницах, защищается типом Token Check. Запросы без действующего токена блокируются.

Автоматизированный обход страниц выявляется поведенческим анализом. Проверяются особенности прокрутки и движения курсора, включая неестественно равномерные действия и отсутствие характерных для человека пауз.

Для различения парсеров и легитимных поисковых роботов используется проверка подлинности по DNS-записям. Клиент, представляющийся поисковой системой, но не принадлежащий её сетям, блокируется.

Порядок проверки описан в Проверке поисковых роботов.

Настройка

Для разделов каталога назначьте тип проверки Landing, для программного интерфейса выдачи данных – Token Check.

Известные парсеры добавляются в чёрный список User-Agent. При повторяющихся обращениях однотипных клиентов используется чёрный список TLS-отпечатков.

Порядок работы со списками описан в Управлении списками.

Злоупотребление бизнес-логикой¶

Злоупотребление промокодами¶

Сценарий включает два вида автоматизированных действий:

Подбор действующих промокодов перебором.
Массовую активацию известного промокода через специально созданные учётные записи.

Оба сценария требуют автоматизации. Перебор предполагает большое количество попыток, а массовая активация – создание десятков или сотен учётных записей.

Механизмы защиты

Программный интерфейс проверки промокодов защищается требованием токена.

Накопительная оценка ограничивает количество попыток, доступных одному клиенту в течение сеанса, что затрудняет массовый перебор.

Массовая активация промокодов пресекается на предыдущем этапе – при автоматизированной регистрации учётных записей.

Фиктивные регистрации¶

Массовое создание учётных записей используется для получения приветственных бонусов, участия в акциях, накрутки показателей или подготовки к дальнейшим злоупотреблениям.

Механизмы защиты

Форма регистрации защищается теми же механизмами, что и форма входа:

Проверка наличия действующего токена.
Поведенческий анализ заполнения формы.
Контроль последовательности действий перед отправкой.

Отпечаток клиентского окружения позволяет сопоставлять регистрации, выполненные с одного устройства при изменении сетевого адреса.

Настройка

Для формы регистрации рекомендуется установить более строгий порог перехода к дополнительной проверке, чем для остальных разделов.

Регистрация выполняется сравнительно редко, поэтому дополнительная проверка на этом этапе создаёт меньше неудобств для пользователя и снижает риск массового создания учётных записей.

Что остаётся на стороне приложения

Следующие меры реализуются средствами приложения:

Подтверждение адреса электронной почты.
Подтверждение номера телефона.
Ограничение количества учётных записей с одинаковыми реквизитами.
Правила выдачи приветственных бонусов.

Рекламный и кликовый фрод¶

Рекламный и кликовый фрод заключается в накрутке кликов по размещённой рекламе и переходов на посадочные страницы.

Такие действия приводят к расходам на недостоверный трафик и искажению показателей эффективности рекламных кампаний.

Механизмы защиты

Посадочные страницы рекламных кампаний защищаются типом Landing.

Автоматизированные переходы выявляются на этапе получения токена. Последующее поведение на странице проверяется с помощью анализа кликов и движения курсора.

Например, клик без предварительного перемещения указателя может указывать на программное взаимодействие.

Данные аналитики позволяют сопоставить количество переходов с числом клиентов, определённых как автоматизированные, и оценить долю недостоверного трафика по рекламной кампании.

Ограничения

SmartBot Protection анализирует трафик, поступающий на защищаемые ресурсы банка, и выявляет недостоверные переходы.

Накрутка показов на внешних рекламных площадках, не сопровождающаяся переходами на защищаемые ресурсы, находится вне контура защиты. Такие случаи рассматриваются при взаимодействии с рекламными площадками.

Наблюдение и оценка эффективности¶

Результаты настройки защиты для каждого сценария можно оценить в Консоли управления.

В разделе Боты доступны фильтрация заблокированных запросов по адресу защищаемого ресурса и анализ оснований блокировок.

Например, можно отдельно просмотреть обращения к форме входа, программному интерфейсу отправки сообщений или разделу каталога.

Распределение оснований блокировок показывает, какие механизмы срабатывают чаще, и помогает определить необходимость изменения пороговых значений.

Перед включением строгих настроек рекомендуется проверить их в режиме Monitoring. В этом режиме проверки выполняются, а срабатывания фиксируются без блокировки запросов.

Порядок настройки описан в Настройке режимов работы.

Разграничение контуров защиты¶

SmartBot Protection работает на уровне трафика и определяет признаки автоматизированных обращений.

Проверки, связанные с сущностями приложения, выполняются на прикладном уровне. К ним относятся контроль учётных записей, номеров телефонов, сумм операций и истории действий пользователя.

Совместное использование этих механизмов позволяет ограничивать массовые автоматизированные обращения и отдельные злоупотребления бизнес-логикой.

SmartBot Protection выявляет и блокирует автоматизацию, а прикладные ограничения обрабатывают действия, которые могут выполняться вручную из обычного браузера.