Rilevamento delle anomalie
Il rilevamento delle anomalie analizza il traffico diretto al tuo dominio alla ricerca di sessioni (token) che indicano comportamenti anomali. Ciò può aiutare a identificare comportamenti anomali derivanti da:
- Bot
- Utenti umani che tentano di aggirare la coda o di sfruttare il tuo sito web
- Sessioni caratterizzate da comportamenti collaborativi, come la condivisione di gettoni tra gli utenti
- I servizi software legittimi finiscono per rimanere bloccati nelle code
I nostri algoritmi di rilevamento delle anomalie si avvalgono dell'analisi statistica per analizzare il traffico in tempo reale, utilizzando una serie di metriche tra cui:
- Varietà degli URL richiesti e tendenza verso URL di interesse per i bot
- Velocità delle richieste
- Indirizzi IP, lingua e stringhe di agente associate ai token
- Conteggio dei token provenienti da indirizzi IP associati
- Durata della sessione
- Geolocalizzazione
- Anomalie nelle stringhe degli agenti
- Reputazione dell'IP e segnalazioni provenienti da IP simili su altri siti tramite CrowdHandler
Questi fattori vengono utilizzati per delineare un quadro delle norme statistiche relative al tuo sito web e alle sale d'attesa. Le sessioni anomale vengono quindi segnalate. Puoi esaminare le singole sessioni per prendere decisioni caso per caso, oppure impostare una soglia per bloccare gli indirizzi IP che mostrano un comportamento anomalo.
Introduzione
Il rilevamento delle anomalie è disponibile nei piani Professional ed Enterprise. Per individuare le sessioni anomale, accedi al Pannello di amministrazione e fai clic sulla scheda Sessioni.
La schermata delle sessioni mostra tutti gli utenti presenti sul tuo sito web o in coda nella sala d'attesa, in ordine di attesa. Il punteggio di rischio (da 0 a 100) indica quanto siano anomale determinate sessioni.
È possibile utilizzare il filtro del punteggio minimo per individuare i punteggi più anomali. (Ad esempio, impostalo su 50 e clicca su "Aggiorna" per trovare tutte le sessioni con un punteggio superiore a 50).
In alternativa, puoi ordinare le sessioni in base alla colonna “anomalia”, in modo che quelle più anomale appaiano nella parte superiore dello schermo.
Sessioni investigative
Oltre al punteggio di rischio di anomalia, vedrai alcune altre informazioni relative alla sessione che possono aiutarti a valutare il livello di rischio della stessa. Tra queste figurano dettagli sulla schermata dell’agente e informazioni sull’IP, tra cui la geolocalizzazione, l’ISP e se l’IP provenga da un data center, utilizzi una rete come TOR o sia presente in qualche database di abusi.
Clicca sull'icona della lente di ingrandimento per esaminare la sessione in modo più dettagliato. In questo modo potrai visualizzare la cronologia della sessione: sondaggi dalle sale d'attesa, avanzamento nella coda, clic sugli URL, variazioni dell'IP e informazioni sull'agente. Potrai inoltre visualizzare una ripartizione dei fattori di rischio che contribuiscono al punteggio di rischio.
Passare all’azione
Dovresti essere in grado di valutare se si tratti di una sessione legittima o sospetta. A seconda della tua valutazione, da questa schermata puoi intraprendere una serie di azioni immediate:
Elimina il token
Se hai una coda attiva, l'eliminazione del token comporterà il reinserimento di quell'utente in fondo alla coda. Ciò avverrà sia che l'utente abbia già superato la coda ed sia entrato nel tuo sito, sia che si trovi in coda ma stia avanzando verso la parte anteriore. L'utente non riceverà alcuna notifica con la motivazione, ma si ritroverà in fondo alla coda. Se la coda è particolarmente lunga e desideri accelerare il passaggio degli utenti legittimi, questa è la misura migliore da adottare.
Blocca l'IP
Il blocco dell'IP comporterà il blocco di qualsiasi sessione proveniente da tale indirizzo, comprese quelle attive in quel momento. Gli utenti vedranno una pagina di attesa con un messaggio di blocco. Questa è la misura migliore da adottare in caso di comportamenti sospetti quando non c'è una coda attiva. Ad esempio, nel caso di bot scraper e spinner. Il blocco di un singolo IP potrebbe non essere efficace se il token proviene da più indirizzi IP, anche se in questo scenario può essere d'aiuto il blocco automatico degli IP.
Ignora l'IP
Stiamo rilevando comportamenti anomali. Oltre agli utenti malintenzionati, ciò potrebbe segnalare anche servizi legittimi che inviano richieste al tuo sito web. Ad esempio: servizi di monitoraggio dell'uptime, gateway di pagamento che confermano le transazioni. In questi casi, potresti voler impostare l'IP in modo che venga ignorato o escluso. Oltre a evitare che questi servizi rimangano bloccati nelle code, ciò impedirà che i token provenienti da tali IP vengano segnalati dal sistema di rilevamento delle anomalie in futuro.
Protezione automatizzata
Le sessioni anomale e il traffico generato dai bot costituiscono una percentuale elevata del traffico verso i siti web tipici. Di conseguenza, tenere sotto controllo le singole sessioni rischia di diventare rapidamente un’operazione faticosa. Consigliamo quindi di utilizzare i controlli del firewall per bloccare automaticamente le sessioni con un punteggio di anomalia superiore al 95% e di monitorare regolarmente la situazione per verificare se è possibile abbassare tale soglia.
Se scegli di non applicare alcun blocco in base alle soglie di anomalia, per timore di falsi positivi, tali informazioni verranno comunque utilizzate per formulare raccomandazioni sul blocco degli indirizzi IP e per contribuire al mantenimento delle regole di blocco globali di CrowdHandler (alle quali puoi scegliere di aderire).