Botfaqtor сравнивает долю фрода с обычным уровнем фрода на вашем сайте. Сервис оценивает, насколько сильно изменились показатели, сколько фродовых визитов произошло и на каком промежутке времени заметен рост. Для этого используются часовые и дневные проверки.
1. Что такое доля фрода #
Доля фрода — это процент визитов, определённых как фродовые, среди всех визитов за рассматриваемый период. Например, если из 1 000 визитов 100 были фродовыми, доля фрода составляет 10%: 100 ÷ 1 000 × 100%.
Процент показывает качество трафика, а количество фродовых визитов — масштаб происходящего. Поэтому для уведомления учитываются оба показателя.
2. Что такое база сайта #
База — обычная доля фрода на конкретном сайте. Для часового уведомления она рассчитывается как медиана за предыдущие 24 часа, для дневного — как медиана за предыдущие 7 суток. Значения упорядочиваются от меньшего к большему и определяется середина ряда; при чётном количестве значений берётся среднее двух центральных.
Условный пример из семи наблюдений: 4%, 5%, 5%, 5%, 6%, 7%, 50%. Медиана — 5%, а обычное среднее — примерно 11,7%. Один сильный всплеск заметно поднял среднее, но не изменил медиану. Поэтому медиана лучше защищает базу от влияния отдельных выбросов. Это пример принципа расчёта, а не указание, что система использует только семь наблюдений.
База описывает привычный уровень фрода, а не его допустимое или безопасное количество. Если на сайте постоянно высокая доля фрода, отсутствие нового уведомления не означает, что с качеством трафика всё хорошо.
3. Как измеряется отклонение от базы #
Используются два разных сравнения: во сколько раз доля фрода выросла и на сколько процентных пунктов она увеличилась.
Кратность роста = текущая доля фрода ÷ база. Например, было 5%, стало 20%: 20 ÷ 5 = 4. Доля фрода выросла в четыре раза.
Рост в процентных пунктах = текущая доля фрода − база. В том же примере: 20% − 5% = 15 процентных пунктов, или 15 п. п.
Проценты роста и процентные пункты — разные вещи. Переход с 5% до 6% означает рост на 20% относительно исходного значения, но всего на 1 п. п. Переход с 5% до 15% — увеличение втрое и на 10 п. п.
4. Какие условия должны совпасть #
При положительной базе сигнал возникает при сочетании трёх условий:
- доля фрода достигает заданной кратности относительно базы,
- прирост в процентных пунктах достигает порога выбранного уровня,
- число фродовых визитов — установленного минимума.
Для нулевой базы действуют отдельные правила.
Пример небольшого изменения: база 44%, текущая доля 47%. Разница — всего 3 п. п., кратность — около 1,07. Такой рост не достигает минимального прироста ни одного из трёх уровней.
Пример роста от низкой базы: было 1%, стало 3%. Доля выросла втрое, но разница составляет только 2 п. п. Условие минимального прироста также не выполнено.
Пример заметного отклонения: было 5%, стало 20%. Это рост в четыре раза и на 15 п. п. Для часового medium условия изменения доли выполнены; дополнительно требуется минимум 10 фродовых визитов за час и соблюдение общих правил уведомлений.
Дополнительная проверка количества защищает от сигналов на малом объёме: 3 фродовых визита из 5 и 300 из 500 дают одинаковые 60%, но масштаб отличается в 100 раз. Эти числа иллюстрируют принцип, а не задают минимальный порог срабатывания.
5. Чем отличаются уровни чувствительности #
Низкая (low) — самые строгие условия срабатывания. Уведомления предназначены для явных, массовых атак с сильным отклонением от обычного уровня. Подходит, если важнее сократить количество сигналов.
Средняя (medium, «Обычная» в интерфейсе) — рекомендуемый уровень. Реагирует на значительные отклонения от нормы сайта и рассчитана на баланс между обнаружением атак и количеством уведомлений.
Высокая (high) — более чувствительная настройка. Позволяет реагировать на менее выраженные отклонения, поэтому уведомлений может быть больше. Подходит, если важно замечать больше подозрительных изменений.
Все три уровня опираются на историю конкретного сайта. Это не три фиксированных процента фрода, одинаковых для всех клиентов.
6. Часовое уведомление: резкий всплеск #
Часовое уведомление помогает обнаружить резкий рост фрода на коротком промежутке времени. Если атака сосредоточена в одном часе, её легко увидеть в почасовых показателях, хотя в общей статистике за день она может быть почти незаметна.
Условный пример: каждый час на сайт приходит по 1 000 визитов. В 23 часах доля фрода составляет 5%, а в одном — 40%. За этот час происходит 400 фродовых визитов вместо обычных 50. Но доля за весь день составляет лишь около 6,46%: (23 × 50 + 400) ÷ 24 000 × 100%. Часовой рост выражен сильно, а суточный показатель вырос только на 1,46 п. п.
Этот пример показывает пользу часовой проверки. Он не гарантирует срабатывание конкретного пресета: должны выполняться все его условия.
7. Дневное уведомление: плавная или распределённая атака #
При постепенном росте или распределённой атаке фрод может поступать небольшими порциями в течение многих часов. В каждом отдельном часе условий для часового уведомления может не хватать, но по итогам дня повышение становится значимым.
Дневное уведомление оценивает ситуацию на масштабе суток и может сработать даже без часового сигнала. Он дополняет часовую проверку и помогает замечать атаки, растянутые во времени.
Условный пример масштаба: дополнительные 30 фродовых визитов каждый час дают 720 дополнительных фродовых визитов за сутки. Будет ли уведомление, зависит также от общего трафика, изменения доли фрода и условий дневного сигнала. Само число 720 не является порогом.
8. Как получать уведомления #
Выберите уровень чувствительности и каналы доставки: Telegram, MAX или электронную почту. Уведомления можно отключить и затем включить снова — настройки каналов и чувствительности сохранятся.
Параметры low, medium и high #
Ниже приведены значения по умолчанию, указанные в настройках. Все три условия в строке применяются одновременно. Часовые пороги сравниваются с базой за предыдущие 24 часа, дневные — с базой за предыдущие 7 суток. Единого требования «+10 п. п.» для всех режимов нет: прирост зависит от уровня и типа уведомления.
| Уровень | Уведомление | Рост, раз | Прирост, п. п. | Мин. фрод-визитов |
|---|---|---|---|---|
| low | Часовой | 4 | 20 | 30 |
| low | Дневной | 2,5 | 15 | 40 |
| medium | Часовой | 3 | 15 | 10 |
| medium | Дневной | 2 | 10 | 30 |
| high | Часовой | 2,5 | 12 | 15 |
| high | Дневной | 1,7 | 8 | 25 |
9. Примеры порогов для конкретного сайта #
Для положительной базы нужно одновременно выполнить условия кратности, прироста в процентных пунктах и минимального числа фродовых визитов. Порог доли определяется более строгим из двух значений: база × множитель или база + прирост в п. п.
- Если часовая база равна 5%, для low порог доли составляет 25%: максимум из 5% × 4 = 20% и 5% + 20 п. п. = 25%. Дополнительно требуется минимум 30 фродовых визитов за час.
- При той же часовой базе 5% для medium порог доли — 20% и минимум 10 фродовых визитов; для high — 17% и минимум 15 фродовых визитов.
- Если дневная база равна 5%, для low порог доли составляет 20% и минимум 40 фродовых визитов за сутки; для medium — 15% и минимум 30; для high — 13% и минимум 25.
На сайте с часовой базой 25% для medium более строгим становится условие кратности: 25% × 3 = 75%, тогда как 25% + 15 п.п. = 40%. Поэтому увеличение до 40% само по себе недостаточно.
У high ниже пороги изменения доли фрода, но часовой минимум визитов по указанным настройкам выше, чем у medium: 15 против 10. Поэтому на малом объёме high не обязательно срабатывает во всех случаях, когда срабатывает medium.
10. Общие правила для всех уровней #
- Минимальный трафик часа — 10 визитов. Если визитов меньше, сайт пропускается при часовой проверке: на малой выборке даже один визит сильно меняет долю фрода.
- Нулевая база. Когда обычная доля фрода равна нулю, сравнение «во сколько раз выросло» не применяется. Используется отдельное сочетание условий: минимум 30 фродовых визитов и доля фрода не ниже 5%.
- Новый сайт. Если ещё нет 24-часовой истории, для базы используется резервное значение 46%. После появления необходимой истории для расчёта используется собственная база сайта.
11. Паузы между уведомлениями #
Для часовых уведомлений пауза составляет 12 часов, для дневных — 2 дня. Интервал отсчитывается от последнего срабатывания, а не от начала календарного часа или дня.
Если доля фрода превышает 85% трафика, пауза игнорируется: уведомление может быть отправлено и в течение этого интервала. Это правило отменяет паузу; оно само по себе не означает отмену остальных проверок.