Detección de anomalías
La detección de anomalías analiza el tráfico de tu dominio en busca de sesiones (tokens) que indiquen un comportamiento anómalo. Esto puede ayudar a identificar comportamientos anómalos derivados de:
- Bots
- Usuarios humanos que intentan burlar el sistema de colas o tu página web
- Sesiones en las que se da un comportamiento colaborativo, como el intercambio de fichas entre usuarios
- Los servicios de software legítimos se ven afectados por las colas
Nuestros algoritmos de detección de anomalías utilizan el análisis estadístico para analizar el tráfico en tiempo real, basándose en diversas métricas, entre las que se incluyen:
- Variedad de URL solicitadas y tendencia hacia URL de interés para los bots
- Velocidad de las solicitudes
- Direcciones IP, idioma y cadenas de agente asociadas a los tokens
- Recuento de tokens procedentes de direcciones IP asociadas
- Duración de la sesión
- Geolocalización
- Anomalías en la cadena del agente
- Reputación de la IP y alertas de IP similares procedentes de otros sitios web mediante CrowdHandler
Estos factores se utilizan para trazar un perfil de las normas estadísticas de tu sitio web y de las salas de espera. A continuación, se señalan las sesiones anómalas. Puedes analizar sesiones concretas para tomar decisiones en cada caso particular, o establecer un umbral para bloquear las direcciones IP que muestren un comportamiento anómalo.
Primeros pasos
La detección de anomalías está disponible en los planes Professional y Enterprise. Para identificar sesiones anómalas, inicia sesión en el Panel de administración y haz clic en la pestaña «Sesiones».
La pantalla de sesiones te mostrará todos los usuarios de tu página web o de la cola de la sala de espera, ordenados según su posición en la cola. La puntuación de riesgo (de 0 a 100) indica el grado de anomalía de cada sesión.
Puedes utilizar el filtro de puntuación mínima para centrarte en las puntuaciones más atípicas. (Por ejemplo, fíjalo en 50 y pulsa «Actualizar» para encontrar todas las sesiones con una puntuación superior a 50).
O bien, puedes ordenar tus sesiones utilizando la columna «anomalía», de modo que las sesiones más anómalas aparezcan en la parte superior de la pantalla.
Sesiones de investigación
Además de la puntuación de riesgo de anomalía, verás otra información sobre la sesión que puede ayudarte a determinar el nivel de riesgo de la misma. Esto incluye detalles sobre la pantalla del agente e información sobre la dirección IP, como la geolocalización, el proveedor de servicios de Internet (ISP) y si la IP procede de un centro de datos, utiliza una red como TOR o figura en alguna base de datos de abusos.
Haz clic en el icono de la lupa para ver la sesión con más detalle. Así podrás consultar el historial de la sesión: encuestas realizadas en las salas de espera, avance en la cola, clics en direcciones URL, cambios en la IP y la información del agente. También verás un desglose de los factores de riesgo que contribuyen a la puntuación de riesgo.
Pasar a la acción
Deberías estar en condiciones de decidir si se trata de una sesión legítima o dudosa. Según tu valoración, hay una serie de medidas inmediatas que puedes tomar desde esta pantalla:
Eliminar el token
Si tienes una cola activa, al eliminar el token, este usuario pasará al final de la cola. Esto ocurrirá tanto si ya ha superado la cola y ha accedido a tu sitio web, como si se encuentra en la cola pero está avanzando hacia la parte delantera. El usuario no recibirá ninguna notificación con el motivo, pero se encontrará al final de la cola. Si tienes una cola considerable y quieres agilizar el paso de tus usuarios legítimos, esta es la mejor medida que puedes tomar.
Bloquear la IP
Bloquear la IP supondrá que se bloqueará cualquier sesión que provenga de dicha IP, incluidas las sesiones activas en ese momento. Los usuarios verán una página de sala de espera con un mensaje de bloqueo. Esta es la mejor medida que se puede tomar ante comportamientos sospechosos cuando no hay una cola activa. Por ejemplo, en el caso de los bots de scraping y spinner. Bloquear una IP concreta puede no resultar eficaz cuando el token proviene de varias IP, aunque el bloqueo automático de IP puede ser de ayuda en este caso.
Ignora la IP
Estamos detectando un comportamiento anómalo. Además de los usuarios malintencionados, esto puede hacer que se marquen como sospechosos servicios legítimos que están realizando solicitudes a tu sitio web. Por ejemplo: servicios de monitorización del tiempo de actividad o pasarelas de pago que confirman transacciones. En esos casos, es posible que te interese configurar que se ignore o se omita esa dirección IP. Además de evitar que estos servicios se vean atrapados en las colas, esto impedirá que los tokens procedentes de esas direcciones IP sean marcados como sospechosos por el sistema de detección de anomalías en el futuro.
Protección automática
Las sesiones anómalas y el tráfico de bots representan una gran parte del tráfico de los sitios web habituales. Por lo tanto, estar al tanto de cada sesión individual puede resultar agotador en poco tiempo. Por eso, recomendamos utilizar los controles del cortafuegos para bloquear automáticamente las sesiones con una puntuación de anomalía superior al 95 % y realizar un seguimiento periódico para ver si es posible reducir ese umbral.
Si decides no bloquear nada basándote en los umbrales de anomalías, por miedo a los falsos positivos, esa información seguirá utilizándose para fundamentar las recomendaciones de bloqueo de direcciones IP y para ayudar a mantener las reglas de bloqueo globales de CrowdHandler (a las que puedes adherirte).