Новости проекта
Ботнет на зарубежных прокси теперь получает проверку браузера
Ботнет на домашних прокси за рубежом копирует заголовки браузера и заходит с каждого адреса по одному разу, поэтому раньше проходил. Теперь такой посетитель получает проверку браузера при переходе на страницу. Настоящий браузер проходит её сам, заблокировать по этому правилу нельзя.
Вечером 28 сентября на один из подключённых сайтов пошла волна ботов: вместо обычных 17 тысяч запросов в час — до 118 тысяч. Почти половину мы блокировали сразу. Другая половина проходила: запросы приходили с домашних адресов Бразилии, США, Франции, Испании и ещё десятка стран, с полным набором заголовков настоящего браузера, по одному запросу с каждого адреса.
Почему такой бот проходил
У каждого запроса из этой волны была всего одна улика: одну и ту же строку браузера за сутки принесли сотни разных адресов. Одной улики нам мало, чтобы остановить посетителя. Так же выглядит человек с самым популярным браузером, и ради него мы готовы пропустить бота, а не наоборот.
Что изменилось
Если такая строка браузера пришла с домашнего адреса из страны, откуда у сайта нет посетителей, посетитель получает проверку браузера. Своими странами считаются те, что указаны в «Аудитории сайта», а если список пуст — Россия и СНГ. Настоящий браузер проходит проверку сам за секунду, программа без браузера — нет.
У правила три ограничения:
- Только проверка. Заблокировать по нему нельзя, и к баллу, который ведёт к блокировке, оно ничего не прибавляет.
- Только переход на страницу. Фоновые запросы корзины и отправка форм у того, кто уже на сайте, проверку не получают.
- Не для людей. Того, кто уже показал себя человеком на этом сайте, правило не трогает.
Как мы проверяли
Сутки правило работало в тени: движок считал, кого бы оно задело, но решения не менял. За время атаки оно отправило бы на проверку 305 тысяч запросов, которые проходили, и ни одного — из России и СНГ. Скрипт страницы после этого исполнили четыре адреса. Двое оказались ботами на безоконном браузере, их заблокировали по другим уликам. Двое читали англоязычный раздел одного из сайтов. Поэтому правило назначает проверку, которую человек проходит сам, а не блокировку.
Если у вашего сайта есть покупатели за рубежом, добавьте их страны в «Аудиторию сайта» — тогда эта проверка их не коснётся. Подробнее — в статье базы знаний «Настройки защиты: пороги, действия, списки».