Как вычислить click farm по IP-диапазонам и сетевым отпечаткам за один разбор

Как вычислить click farm по IP-диапазонам и сетевым отпечаткам за один разбор

Давайте поднимем логи и посмотрим правде в глаза. Ферма кликов почти всегда палится не креативом, а транспортом: сотни «пользователей» приходят из узкого набора подсетей, дергают одни и те же эндпоинты и живут в слишком ровном тайминге. Смотрите не на отдельный IP, а на кластер: ASN, /24, гео, NAT-поведение, повторяемость User-Agent и порядок запросов.

Ключевые признаки в сетевом слое:
• всплески кликов с одинаковым RTT и одинаковым jitter
• массовые заходы из соседних адресов одного диапазона
• DNS-запросы к трекеру без нормальной браузерной предыстории
• короткие сессии, где есть click, но нет scroll, visibilitychange и post-click навигации

Дальше связывайте IP с поведенческими следами. У фермы обычно одинаковая цепочка: landing → immediate click → exit, без вариативности по времени и глубине. Если в логах совпадают cookie freshness, referer пустой или подменён, а TLS fingerprint слишком однообразен, это уже не шум, а индустриальная штамповка трафика.

Практика фильтрации простая: строите deny-list не по одному IP, а по связке subnet+ASN+behavior score. Ботнеты эволюционируют, но паттерны их поведения остаются прежними: дешёвый пул адресов, однотипные сессии, нулевая энтропия. Вот технический разбор того, как именно уплывает ваш рекламный бюджет.

Если один диапазон даёт клики, но не даёт связанного пост-клика сигнала, режьте весь кластер и пересматривайте правила атрибуции.