Настройка параметров поведенческого анализа¶
Поведенческий анализ выявляет автоматизированное заполнение форм и программное взаимодействие со страницами: ввод с клавиатуры, движения мыши, прокрутку, вставку из буфера обмена и отправку форм. Каждый блок анализа сравнивает наблюдаемые характеристики с человеческим поведением. Срабатывания увеличивают накопительную оценку клиента, а её снижение ниже порога приводит к блокировке по поведению.
Параметры объединены в именованные наборы и настраиваются в Консоли управления в разделе Управление на вкладке Эвристики. Набор назначается приложениям. Один набор может использоваться несколькими приложениями. Порядок работы с наборами описан на странице Управление.
Каждый параметр имеет допустимый диапазон и значение по умолчанию. Кнопка рядом с полем возвращает отдельный параметр к значению по умолчанию, а меню набора – весь блок параметров. Пояснение к параметру открывается при нажатии на знак вопроса рядом с его названием.
Изменяйте параметры по одному и проверяйте результат в режиме Monitoring. При одновременном изменении нескольких параметров сложно определить, какой из них повлиял на результат.
Срабатывания блоков фиксируются в разделе Боты. Их описание приведено в Мониторинге и анализе заблокированных запросов.
Анализ клавиатуры¶
Блок выявляет нехарактерный для человека ритм набора текста. Программная генерация нажатий отличается от человеческого ввода длительностью и вариативностью интервалов. Алгоритм отслеживает всплески нехарактерной скорости в скользящем окне событий.
| Параметр | Назначение | Диапазон | По умолчанию |
|---|---|---|---|
| Средний интервал человека | Средний интервал между нажатиями клавиш, используемый для сравнения | 100–1000 мс | 300 |
| Отклонение интервалов | Стандартное отклонение интервалов, отражающее естественную вариативность человеческого набора | 15–200 мс | 75 |
| Порог сверхчеловеческой скорости | Интервал между нажатиями, физически недостижимый для человека. Меньшие значения указывают на автоматизацию | 10–60 мс | 30 |
| Счётчик сверхбыстрых интервалов | Количество последовательных сверхбыстрых интервалов, необходимое для срабатывания детектора | 2–20 | 5 |
| Порог длинной паузы | Максимальный интервал, считающийся частью непрерывного набора текста | 2000–30000 мс | 5000 |
| Порог обычной паузы | Интервал, превышение которого считается паузой в наборе, например при обдумывании следующего слова | 200–1000 мс | 400 |
| Минимальный средний интервал | Нижняя граница среднего интервала человеческого набора. Предотвращает ложные срабатывания при очень быстром наборе | 70–250 мс | 150 |
| Коэффициент дрейфа | Чувствительность адаптивного алгоритма к изменениям скорости набора | 0.1–2 | 0.7 |
| Множитель порога | Коэффициент расчёта порога обнаружения всплесков скорости | 3–15 | 8 |
| Размер окна анализа | Количество событий в скользящем окне статистического анализа | 5–100 | 20 |
Анализ вставки¶
Блок выявляет вставку из буфера обмена без предшествующего ручного ввода. Использование менеджера паролей и автозаполнение считаются штатными сценариями. Блок отличает их от программного заполнения и снижает оценку подозрительности.
| Параметр | Назначение | Диапазон | По умолчанию |
|---|---|---|---|
| Максимальное расстояние между событиями | Интервал, в пределах которого события вставки считаются связанными | 1000–15000 мс | 5000 |
| Минимальный достижимый интервал | Минимальное время выполнения вставки человеком. Более быстрые операции указывают на автоматизацию | 150–1500 мс | 500 |
| Порог вероятности бота | Пороговое значение вероятности для классификации поведения как автоматизированного | 0.5–0.99 | 0.9 |
| Максимальный бонус на скорость | Величина увеличения оценки подозрительности при вставке со сверхчеловеческой скоростью | 0–0.5 | 0.3 |
| Штраф за менеджер паролей | Величина снижения оценки подозрительности при обнаружении признаков менеджера паролей | 0–0.5 | 0.25 |
Анализ прокрутки¶
Блок выявляет события колёсика мыши без фактической прокрутки страницы. Такое поведение может указывать на программную имитацию просмотра.
| Параметр | Назначение | Диапазон | По умолчанию |
|---|---|---|---|
| Окно группировки событий | Временное окно группировки событий колеса мыши | 2000–5000 мс | 3000 |
| Количество событий в группе | Минимальное количество событий в группе, необходимое для анализа | 2–15 | 3 |
| Порог подозрительности прокрутки | Пороговое значение вероятности для классификации прокрутки как автоматизированной | 0.5–0.99 | 0.9 |
Анализ последовательностей действий¶
Блок выявляет автоматизированные последовательности действий: клик, ввод и отправку формы. Такие последовательности выполняются без характерных для человека промежутков между действиями.
| Параметр | Назначение | Диапазон | По умолчанию |
|---|---|---|---|
| Окно последовательности | Временное окно анализа последовательности клик – Enter – отправка | 50–500 мс | 200 |
| Порог подозрительности | Пороговое значение вероятности для классификации последовательности как автоматизированной | 0.5–0.99 | 0.9 |
Анализ отправки форм¶
Блок оценивает события, предшествующие отправке формы. Отправка без предварительного взаимодействия со страницей может указывать на программное выполнение.
| Параметр | Назначение | Диапазон | По умолчанию |
|---|---|---|---|
| Окно анализа отправки | Временное окно событий, предшествующих отправке формы | 50–1000 мс | 300 |
Анализ движения мыши¶
Блок выявляет признаки программного управления мышью: чрезмерно прямые траектории, точные движения к цели, неестественно равномерную скорость и движение, начинающееся непосредственно перед кликом. Каждый признак учитывается с отдельным весом.
| Параметр | Назначение | Диапазон | По умолчанию |
|---|---|---|---|
| Окно анализа движения | Временное окно группировки событий движения мыши | 50–500 мс | 200 |
| Ожидаемая задержка событий | Ожидаемый интервал между событиями мыши при естественном поведении | 5–150 мс | 100 |
| Общий порог подозрительности | Пороговое значение вероятности для классификации движения как автоматизированного | 0.5–0.99 | 0.9 |
| Порог высокой линейности | Степень прямолинейности, начиная с которой движение считается программным | 0.85–0.995 | 0.95 |
| Нижний порог вариации скорости | Значения ниже порога указывают на неестественно равномерную скорость движения | 0.05–0.35 | 0.2 |
| Верхний порог вариации скорости | Верхняя граница естественной вариативности скорости движения человека | 0.3–0.8 | 0.5 |
| Вес линейного движения | Вклад признака прямолинейных траекторий | 0–3 | 1 |
| Вес снайперского поведения | Вклад признака резких точных движений к цели | 0–3 | 1 |
| Вес изменения скорости | Вклад признака постоянства скорости движения | 0–3 | 1 |
| Вес короткой задержки | Вклад признака слишком короткой задержки перед кликом | 0–3 | 1 |
| Вес анализа малого окна | Вклад анализа событий в коротком окне движения | 0–3 | 1 |
Анализ кликов¶
Блок выявляет клики без предварительного подведения курсора к элементу. При обычном взаимодействии пользователь перемещает указатель к кнопке, тогда как программа может выполнить клик без такого перемещения.
| Параметр | Назначение | Диапазон | По умолчанию |
|---|---|---|---|
| Размер временного окна | Временное окно анализа связи между движением мыши и кликом | 300–5000 мс | 1500 |
| Порог подозрительности кликов | Пороговое значение вероятности для классификации кликов как подозрительных | 0.5–0.99 | 0.9 |
Как подбирать значения¶
Начинайте со значений по умолчанию и режима Monitoring.
Для приложений с формами аутентификации и платёжными операциями рекомендуется ужесточать пороговые значения. Формы входа часто становятся целью атак, поэтому для них может потребоваться более строгая проверка.
Для общедоступных разделов оставляйте значения по умолчанию или смягчайте их.
После каждого изменения анализируйте срабатывания в разделе Боты. Устойчивые срабатывания у легитимных пользователей указывают на необходимость ослабить соответствующий параметр, например увеличить порог вероятности или уменьшить вес признака.