Anomalieerkennung
Die Anomalieerkennung analysiert den Datenverkehr auf Ihrer Domain und sucht dabei nach Sitzungen (Tokens), die auf ungewöhnliches Verhalten hindeuten. Dies kann dabei helfen, ungewöhnliches Verhalten zu identifizieren, das folgende Ursachen haben kann:
- Bots
- Menschliche Nutzer, die versuchen, die Warteschlange oder Ihre Website zu manipulieren
- Sitzungen, bei denen kooperatives Verhalten auftritt, wie beispielsweise das Teilen von Token zwischen Benutzern
- Legitime Software-Dienste geraten in Warteschlangen
Unsere Algorithmen zur Erkennung von Anomalien analysieren den Datenverkehr in Echtzeit mithilfe statistischer Verfahren und stützen sich dabei auf eine Vielzahl von Kennzahlen, darunter:
- Vielfalt der angeforderten URLs und Tendenz zu URLs, die für Bots von Interesse sind
- Anfragefrequenz
- Mit Tokens verknüpfte IP-Adressen, Sprach- und Agent-Strings
- Anzahl der Token, die von zugehörigen IP-Adressen stammen
- Dauer der Sitzung
- Geolokalisierung
- Anomalien bei den Agenten-Strings
- IP-Reputation und Markierungen von ähnlichen IP-Adressen auf anderen Websites mithilfe von CrowdHandler
Anhand dieser Faktoren wird ein Bild der statistischen Normen für Ihre Website und Ihre Warteräume erstellt. Abweichende Sitzungen werden anschließend markiert. Sie können einzelne Sitzungen untersuchen, um im Einzelfall Entscheidungen zu treffen, oder einen Schwellenwert festlegen, um IP-Adressen mit auffälligem Verhalten zu sperren.
Erste Schritte
Die Anomalieerkennung ist in den Tarifen „Professional“ und „Enterprise“ verfügbar. Um anomale Sitzungen zu finden, melden Sie sich im Admin-Panel an und klicken Sie auf die Registerkarte „Sitzungen“.
Auf dem Sitzungsbildschirm werden Ihnen alle Benutzer Ihrer Website oder in einer Warteschlange in der Reihenfolge ihrer Position in der Warteschlange angezeigt. Der Risikowert (von 0 bis 100) gibt an, wie ungewöhnlich bestimmte Sitzungen sind.
Mit dem Filter für den Mindestwert können Sie die auffälligsten Werte herausfiltern. (Stellen Sie den Wert beispielsweise auf 50 ein und klicken Sie auf „Aktualisieren“, um alle Sitzungen mit einem Wert über 50 anzuzeigen.)
Alternativ können Sie Ihre Sitzungen anhand der Spalte „Anomalie“ sortieren, sodass die Sitzungen mit den größten Anomalien ganz oben auf dem Bildschirm angezeigt werden.
Untersuchungssitzungen
Neben dem Anomalie-Risikowert werden Ihnen noch weitere Informationen zur Sitzung angezeigt, anhand derer Sie das Risiko dieser Sitzung einschätzen können. Dazu gehören Details zum Bildschirm des Agenten sowie Informationen zur IP-Adresse, einschließlich des Standorts, des Internetdienstanbieters und der Angabe, ob die IP-Adresse aus einem Rechenzentrum stammt, ein Netzwerk wie TOR nutzt oder in einer Missbrauchsdatenbank aufgeführt ist.
Klicken Sie auf das Lupensymbol, um die Sitzung genauer zu betrachten. Daraufhin wird Ihnen der Verlauf der Sitzung angezeigt: Umfragen aus den Warteräumen, der Fortschritt in der Warteschlange, Klicks auf URLs sowie Änderungen der IP- und Agenteninformationen. Außerdem sehen Sie eine Aufschlüsselung der Risikofaktoren, die zur Risikobewertung beitragen.
Maßnahmen ergreifen
Sie sollten nun in der Lage sein, zu entscheiden, ob es sich um eine legitime Sitzung oder um eine verdächtige handelt. Je nach Ihrer Einschätzung gibt es eine Reihe von Sofortmaßnahmen, die Sie auf diesem Bildschirm ergreifen können:
Das Token löschen
Wenn Sie eine aktive Warteschlange haben, führt das Löschen des Tokens dazu, dass dieser Nutzer an das Ende der Warteschlange verschoben wird. Dies geschieht unabhängig davon, ob er die Warteschlange bereits durchlaufen hat und auf Ihrer Website angekommen ist oder ob er sich zwar in der Warteschlange befindet, sich aber bereits dem Anfang nähert. Der Nutzer erhält keine Benachrichtigung mit einer Begründung, findet sich jedoch am Ende der Warteschlange wieder. Wenn Sie eine umfangreiche Warteschlange haben und den Durchlauf für Ihre berechtigten Nutzer beschleunigen möchten, ist dies die beste Vorgehensweise.
IP-Adresse sperren
Das Sperren der IP-Adresse hat zur Folge, dass alle von dieser IP-Adresse ausgehenden Sitzungen blockiert werden, einschließlich bereits laufender Sitzungen. Die Nutzer werden auf eine Warteseiten-Seite mit einer Sperrmeldung weitergeleitet. Dies ist die beste Vorgehensweise bei verdächtigem Verhalten, wenn keine aktive Warteschlange vorliegt. Beispiele hierfür sind Scraper- und Spinner-Bots. Das Sperren einer einzelnen IP-Adresse ist möglicherweise nicht wirksam, wenn das Token von mehreren IP-Adressen stammt; in diesem Fall kann jedoch eine automatisierte IP-Sperre Abhilfe schaffen.
IP ignorieren
Wir stellen ungewöhnliches Verhalten fest. Neben böswilligen Akteuren können dadurch auch legitime Dienste als verdächtig markiert werden, die Anfragen an Ihre Website senden. Beispiele hierfür sind: Dienste zur Überwachung der Verfügbarkeit sowie Zahlungsgateways, die Transaktionen bestätigen. In solchen Fällen empfiehlt es sich, die betreffende IP-Adresse so einzustellen, dass sie ignoriert oder umgangen wird. Dadurch wird nicht nur verhindert, dass diese Dienste in Warteschlangen geraten, sondern auch, dass Token von diesen IP-Adressen künftig von der Anomalieerkennung als verdächtig markiert werden.
Automatischer Schutz
Anomale Sitzungen und Bot-Traffic machen einen hohen Anteil des Datenverkehrs auf typischen Websites aus. Daher dürfte es schnell mühsam werden, den Überblick über einzelne Sitzungen zu behalten. Wir empfehlen daher, die Firewall-Einstellungen zu nutzen, um Sitzungen mit einem Anomaliewert von über 95 % automatisch zu blockieren, und regelmäßig zu überprüfen, ob Sie diesen Schwellenwert senken können.
Wenn Sie sich aus Angst vor Fehlalarmen dafür entscheiden, überhaupt keine Sperrungen auf der Grundlage von Anomalie-Schwellenwerten vorzunehmen, werden diese Informationen dennoch zur Erstellung von Empfehlungen für IP-Sperrungen herangezogen und tragen zur Pflege der globalen Sperrregeln von CrowdHandler bei (die Sie aktivieren können).