Обнаружение ботов и злоумышленников: техническое руководство по идентификации VPN, прокси и Tor

Введение

В современном взаимосвязанном цифровом мире бизнес постоянно сталкивается с угрозами со стороны злоумышленников. Как люди, так и автоматические боты могут совершать разнообразные мошеннические действия — от фрода с оплатой до захвата аккаунтов и злоупотребления контентом. Для скрытия своей настоящей личности они часто используют такие инструменты, как VPN, прокси и сеть Tor.

Для любого онлайн-бизнеса, от интернет-магазинов до финансовых учреждений, умение точно выявлять таких скрытых пользователей — это не просто элемент защиты, а ключевая часть надёжной стратегии безопасности. В этом руководстве мы подробно рассмотрим технические методы отпечатков и обнаружения пользователей, скрывающихся за VPN, прокси и Tor, чтобы помочь вам защитить свою платформу и клиентов.

Исследование Imperva 2021 года показало, что злонамеренные боты составляют почти 26% всего трафика на сайтах, из них более 15% — это продвинутые персистентные боты. Они становятся всё более сложными, имитируя поведение человека, чтобы обойти простые методы обнаружения. Это подчёркивает необходимость в современных методиках, выходящих за рамки традиционного блокирования по IP.

Основы: IP и сетевая разведка

Прежде чем перейти к конкретным методам обнаружения, важно понять базовые данные, лежащие в основе этих техник. В центре любой системы обнаружения — анализ IP-адреса пользователя и сети, к которой он принадлежит.

Сервисы вроде IP Location Intelligence и Network Intelligence (ASN) дают ключевой контекст об IP, включая:

• Геолокация: Где физически находится пользователь? Совпадает ли это с другими данными, например, платежным адресом?
• ASN (номер автономной системы): К какой организации принадлежит IP? Это жилой провайдер, облачный хостинг или известный VPN-сервис?
• Репутация IP: Был ли этот IP замечен в прошлом в злонамеренных действиях?

Обладая этими данными, вы сможете создавать более продвинутые стратегии отпечатков.

Обнаружение VPN

VPN создаёт защищённый туннель между устройством пользователя и удалённым сервером, скрывая настоящий IP. Хотя многие используют VPN для защиты приватности, мошенники тоже активно применяют этот инструмент.

Как определить VPN

1. Базы известных VPN-провайдеров: самый простой способ — проверить IP пользователя по базе известных VPN. Компании, специализирующиеся на VPN & Proxy Detection, регулярно обновляют такие списки. Совпадение с IP из базы — надёжный признак использования VPN.
2. Анализ портов: определённые порты часто используются VPN-протоколами. Например, OpenVPN обычно работает на UDP порте 1194. Хотя порт-сканирование может быть сложным и не всегда применимым, необычно высокий трафик на этих портах от одного IP — повод насторожиться.
3. Несовпадение геолокации: IP может показывать одну страну, а настройки языка браузера или часовой пояс — совсем другую. Например, IP из Нидерландов с браузером на английском в часовом поясе Тихоокеанского региона — подозрительно. Тут пригодится точный сервис IP Location Intelligence.
4. Характеристики трафика: некоторые признаки VPN-трафика видны в размерах пакетов и их временных интервалах. Но это требует глубокой проверки пакетов — задача скорее для специалистов, чем для веб-приложений.

Распознавание прокси

Прокси — посредники между пользователем и интернетом. Пользователь отправляет запрос прокси-серверу, который пересылает его далее. Как и VPN, прокси могут использоваться как для легитимных, так и для мошеннических целей. Основные виды прокси:

• Датацентрические прокси: самые распространённые и дешёвые. IP принадлежат коммерческим дата-центрам и легко опознаются как нерезидентские.
• Резидентные прокси: используют настоящие жилые IP, что затрудняет их обнаружение.
• Мобильные прокси: трафик идёт через мобильные устройства, схожие с резидентными прокси.

Как определить прокси

1. ASN и владельцы IP: один из эффективных способов — анализ ASN. Если ASN принадлежит хостинг-провайдеру или дата-центру (например, AWS, Google Cloud), скорее всего, это Датацентрический прокси. Для проверки можно использовать ASN Lookup Online Tool.
2. HTTP-заголовки: старые или некорректно настроенные прокси часто добавляют в запросы специфические заголовки, например, X-Forwarded-For, Via или Forwarded. Их наличие — явный признак прокси.
3. Анализ поведения: прокси часто применяют для автоматизированных действий, например, сбора данных или перебора паролей. Если с одного IP идет слишком много запросов или попыток входа на разные аккаунты за короткое время — высокая вероятность прокси и бота.

Для углублённого изучения оценки IP для обнаружения мошенничества рекомендую нашу статью: Beyond API Accuracy: 5 Steps to Evaluate IP Data for Fraud Detection.

Определение пользователей Tor

Tor (The Onion Router) обеспечивает высокий уровень анонимности, маршрутизируя трафик через сеть добровольцев. Хотя Tor широко используется для защиты приватности и обхода цензуры, злоумышленники часто применяют его для незаконных действий и мошенничества.

Как выявить Tor-подключение

Обнаружить Tor проще, чем многие VPN или прокси. Проект Tor публикует открытый список всех своих выходных узлов — серверов, через которые трафик выходит в интернет.

Для выявления пользователя Tor достаточно сверить его IP с этим списком. Если IP есть в числе известных Tor-выходных узлов, с большой уверенностью можно считать, что пользователь подключён через Tor.

Проблема в том, чтобы постоянно обновлять этот список, так как узлы часто меняются. Профессиональные сервисы VPN & Proxy Detection берут эту задачу на себя, обеспечивая актуальность данных.

Многоуровневая система защиты

Ни один метод не гарантирует стопроцентный результат. Мошенник может использовать резидентный прокси, который ещё не занесён в базы, или новый VPN-сервис. Поэтому важен комплексный подход.

Система отпечатков должна учитывать несколько сигналов, чтобы формировать общее оценочное значение риска. Это может включать:

• Обнаружение VPN/Proxy/Tor: принадлежит ли IP известному анонимизирующему сервису?
• Репутация IP: замечен ли IP в ботнетах или атаках?
• Геолокационный анализ: правдоподобно ли расположение пользователя?
• Анализ поведения: соответствует ли поведение пользователя обычному клиенту?
• Отпечатки устройств: что можно узнать по браузеру и устройству пользователя?

Сочетая эти данные, вы получаете более точное представление о настоящей личности и намерениях пользователя. Для дополнительного понимания рекомендуем статью 5 Reasons Why Smart Businesses Use VPN/Proxy Detection.

Заключение

Обнаружение злоумышленников за VPN, прокси и Tor — задача сложная, но крайне важная для любого онлайн-бизнеса. Используя сочетание методов — от анализа IP и геолокации до мониторинга поведения пользователей — вы существенно снизите риски мошенничества и злоупотреблений.

Хотя часть таких возможностей можно разработать самостоятельно, постоянно меняющийся ландшафт — новые VPN, развивающиеся прокси-сети, изобретательные боты — требует постоянного обновления знаний и инструментов. Поэтому многие компании предпочитают пользоваться специализированными сервисами, которые следят за этими угрозами, позволяя сосредоточиться на своих продуктах и клиентах. Инвестируя в надёжную стратегию обнаружения, вы защищаете свой доход, репутацию и целостность платформы.