VPN-besitekkerskontrôles: reputaasje en latensje feilich skoare

In fraudedashboard markearret in besiker as VPN, de analyst freget om in blokkade, en de oanfraach berikt it platfeartteam mei neat oars as in booleaanske wearde fan in leveransier. Dy booleaanske wearde is in skatting, en hy mislearret yn in oare rjochting as in latensjemjitting. Foar't jo hannelje, skied wat de oanfraach sels bewissiget, wat in reputaasjetsjinst beweart, en wat timing allinnich suggerearret. Kies dan in antwurd dat jo weromdraaie kinne as de skatting ferkeard blykt.

Sammel de oanfraachfeiten dy't jo ferdedigje kinne

It iennige adres dat jo server wis ken, is de TCP-peer dy't de ferbining foltôge. As in CDN of omkearde proxy dy ferbining beëiniget, is de peer de râne, en it kliïntadres rydt yn in trochstjoerheader dêr't allinnich op te fertrouwen is as jo eigen râne dy tafoege hat. Lês de ynfier dy't jo proxy skreau, nea de meast lofter string, want in kliïnt kin dêr elke wearde stjoere dy't er wol. Alles streamôf moat dat ûnderskied bewarje.

Twa goedkeape ferrikenings meitsje it adres wat neisjoen wurde kin: it autonome systeem dat it oankundiget en it PTR-record dat der werom nei wiist. Beide beskriuwe registraasje yn plak fan gedrach, en beide binne letter wer te reprodusearjen.

IP=203.0.113.10
dig +short -x "$IP"
whois "$IP" | grep -iE "origin|netname" | head -5

In hosting-ASN is in sterke hint en gjin fûnis. Korporative VPN-konsintrators, cloud-útgongen en guon universiteitsnetwurken sitte ek yn datacenters, dat itselde sinjaal dat in kommersjele útgong fangt, fangt ek in legitime kantoar. Bewarje it adres allinnich sa lang as it neisjen it nedich hat, want in IP is persoanlike data yn de measte privacyregimes. Wiskje it neffens in skema yn plak fan it ûnbepaald te hâlden.

Skoarje de besiker foar't jo him beheine

Lit elk nij sinjaal earst yn observearringsmodus rinne. Log de ynfier en in redenkoade, lit elke oanfraach troch, en fergelykje de skoareferdieling mei akkounts dy't jo witte dat legitime binne. Dat jout in falsk-positieve skatting foar't immen tagong ferliest, en it is dat getal dat beslút oft in regel feilich oan te setten is.

Map it totaal nei trije aksjes yn plak fan twa: tastean, opstap-útdaging, hânmjittige beoardieling. In permaninte blokkade moat werhelle misbrûk easkje dat troch in persoan befêstige is, want in falsk positïve by in korporative reizger kostet in stipekaart en in ferlerne sesje, wylst in falsk negativen by ien oanfraach hast neat kostet.

Hâld de reputaasje-opfraach serverside en beheind

Belje de reputaasjetsjinst fan 'e backend mei in koarte tiidlimit, bewarje it fûnis in fêste perioade yn 'e cache, en behannelje in tiidlimit as ûnbekend yn plak fan skjin. Set de API-kaai nea yn kliïntsidekoade, en lit de opfraach nea it side-renderen blokkearje; in stadige tredde partij moat de skoare ferslechterje, net de side.

Bewarje per adres yn 'e cache, net per berik. It klassifisearjen fan in hiel /24 út ien opfraach ferspriedt in ferkeard fûnis nei buorlju dy't jo nea metten hawwe. Registrearje de leveransier, de antwurtdatum en de klassifikaasjewearde njonken de redenkoade, sadat in letter neisjen witte kin hokker oardiel fan krêft wie.

Twa leveransiers kinne ien adres binnen in dei ferskillend klassifisearje, dêrom heart it fûnis yn 'e beiskolom en net yn 'e identiteitskolom. It is ek in ferwurkingsrelaasje: it adres fan elke besiker nei in tredde partij stjoere freget in wetlike grûn, in bewarregel en in rigel yn 'e privacykennisjouwing.

Mjit latensje mei in mediaan, net ien meunster

Rûnreistiid beskriuwt it paad op it stuit dat jo it metten. In tichtby anycast-râne kin in fierre brûker tsjinje, in mobyl netwurk foeget fertraging ta dy't neat mei geografy te meitsjen hat, en in VPN-útgong yn it lân fan 'e besiker sels liket lokaal. Geolokaasje op stedsnivo rapportearret faak it datacenter yn plak fan de persoan.

Nim ferskate meunsters en brûk de mediaan, sadat ien stadige oanfraach it resultaat net ferskowt. De lus hjirûnder printsje de mediaan fan fiif.

for i in 1 2 3 4 5; do
  curl -o /dev/null -s -w "%{time_connect} %{time_starttransfer}\n" https://www.example.com/
done | sort -n | sed -n 3p

Fergelykje it getal mei de ferdieling foar bekende goede brûkers yn plak fan in absolute drompel, en kombinearje it mei de ASN. Twa swakke sinjalen dy't oerienkomme binne sterker as elk allinnich, mar de konklúzje giet noch altyd oer in paad, net oer in bedoeling, dus heart it yn in skoare yn plak fan in ferbod.

Beslis, registrearje en draai werom

Foar't jo in regel oansette, spylje in dei ferkear ôf yn observearringsmodus en tel wat der bard wêze soe. Bewarje de skoare-ynfier, de redenkoade en de regelferzje, mar hâld rûge adressen allinnich foar it neisjenfinster. As de regel ôfgiet op in legitime akkount, moat it record ferklearje wêrom sûnder in twadde ûndersyk.

Jou elke regel syn eigen skeakel. As de opstap-foltôging sakket of stipekaarten spuitsje, skeakelje dy regel út en hâld de rest fan 'e pipeline rinnende; ien globale needstop makket in ôfstimprobleem ta in steuring. Sjoch nei de feroaring nei de foltôgingsgraad fan útdagings en de beswierwachtlist, net allinnich it blokkadesital.

Ta beslút, hâld it antwurd yn ferhâlding ta it ferlies dat jo foarkomme. By advertinsjefraud is VPN-status in swakke oanwizing foar in falsk klik, en gedrachssinjalen lykas konverzje-patronen en apparaatkonsistinsje pakke de eigentlike skea oan. In omkearbere útdaging beskermet de ynkomsten en de echte brûker tagelyk.