Многоуровневая детекция угроз¶
Ни один метод выявления автоматизированных клиентов не даёт достаточного основания для принятия решения по отдельности. Проверки по спискам не учитывают новые инструменты автоматизации, анализ окружения может затрагивать легитимные нестандартные конфигурации, а поведенческий анализ требует времени для наблюдения.
Поэтому SmartBot Protection применяет методы последовательно: от быстрых проверок до более сложных, требующих времени и участия клиента. Решение принимается по совокупности результатов.
Проверки организованы так, чтобы большинство легитимных клиентов проходило защиту незаметно. Дополнительные проверки применяются к сеансам, в которых выявлены подозрительные признаки.
Уровни проверки¶
| Уровень | Что проверяется | Дополнительная информация |
|---|---|---|
| Списки сигнатур | Строка идентификации клиента и отпечаток TLS-соединения сопоставляются со списками запрещённых значений | Управление списками |
| Проверка поисковых роботов | Клиент, представляющийся известной поисковой системой, подтверждает принадлежность к её сетям по обратным DNS-записям | Проверка поисковых роботов |
| Токен доступа | Срок действия токена и соответствие характеристик клиента данным, зафиксированным при его выдаче | Токен доступа и проверка запросов |
| Сигналы браузерного окружения | Признаки инструментов автоматизации, headless-режима и anti-detect браузеров | Детекция инструментов автоматизации |
| Поведенческий анализ | Соответствие ввода с клавиатуры, движения мыши, прокрутки и отправки форм человеческому поведению | Настройка параметров поведенческого анализа |
| Накопительная оценка | Изменение уровня доверия к клиенту в течение сеанса: снижение при отклонениях и восстановление при добросовестном поведении | Управление |
| Дополнительная проверка | Интерактивное задание CAPTCHA, когда автоматических проверок недостаточно | Адаптивные действия |
Порядок применения¶
Запрос к защищаемому ресурсу проходит уровни проверки в порядке возрастания сложности.
Сначала выполняются быстрые проверки: сопоставление со списками сигнатур, проверка подлинности поисковых роботов и контроль токена.
Клиент без действующего токена направляется на страницу проверки, где анализируются сигналы браузерного окружения и поведенческие характеристики. По совокупности результатов принимается решение о выдаче токена.
Механизм выдачи и проверки токена описан в Токене доступа и проверке запросов.
Для клиента с действующим токеном проверки продолжаются. Скрипт, встроенный в страницы, периодически передаёт актуальные сигналы окружения и поведенческие характеристики.
Выявленные отклонения снижают накопительную оценку и могут привести к отмене ранее принятого решения. Добросовестное поведение восстанавливает оценку.
Режимы работы¶
Каждый уровень проверки действует в рамках режима, заданного для ресурса:
- Monitoring – проверки выполняются, но запросы не блокируются. Срабатывания фиксируются в разделе Боты для последующего анализа.
- Block – проверки выполняются, а запросы блокируются при выявлении угроз.
Такой порядок позволяет сначала оценить результаты проверок на реальном трафике в режиме Monitoring, а затем перейти к блокировке.
Порядок настройки режимов описан в Настройке режимов работы.