Как вычислить click farm по IP-диапазонам и сетевым следам, а не по интуиции

Как вычислить click farm по IP-диапазонам и сетевым следам, а не по интуиции

Давайте поднимем логи и посмотрим правде в глаза. Фермы кликов редко маскируются идеально: у них ломается география, повторяются ASN, а TCP/HTTP-поведение выглядит слишком ровно. Ищите не “подозрительный трафик”, а кластеры с одинаковыми признаками: один диапазон /24 даёт десятки сессий, но время на сайте и глубина прокрутки почти нулевые.

Главные сетевые маркеры:
— много IP из одного ASN, часто хостинг или мобильный NAT;
— одинаковый TTL, MTU, заголовки Accept-Language и User-Agent;
— короткие цепочки: click → landing → exit без вторичных запросов;
— повторяемые паттерны DNS: редкие резолвы, одинаковые резолверы, пустые PTR.
Если в логах видите “шум” с одинаковым fingerprint и разными IP внутри одного диапазона — это не аудитория, это ротация.

Смотрите на скорость и синхронность. Ферма кликов даёт пачки запросов с интервалами, похожими на таймер: 3–7 секунд, потом провал, потом новая волна. Ботнеты эволюционируют, но паттерны их поведения остаются прежними. У живого пользователя есть разброс: разные страницы, разный порядок запросов, разные ошибки сети.

Фильтровать лучше не по одному признаку, а по скорингу: IP-диапазон, ASN, user-agent entropy, отсутствие скролла, аномальный referrer chain, совпадение cookie-less сессий. Вот технический разбор того, как именно уплывает ваш рекламный бюджет: в момент, когда click farm проходит как “новый уникальный пользователь”, хотя сетевой отпечаток кричит об обратном.