Как вычислить click farm по IP-следу, таймингам и сетевому шуму

Как вычислить click farm по IP-следу, таймингам и сетевому шуму

Давайте поднимем логи и посмотрим правде в глаза. Ферма кликов почти всегда палится не «креативом», а транспортом: один и тот же ASN, повторяющиеся /24, короткий TTL, одинаковый MSS и слишком ровные интервалы между сессиями. У живых пользователей сеть шумит, у ферм — ритм как у таймера.

Смотрите на паттерны:
— десятки кликов с одной подсети на разные офферы;
— резкие смены GEO при неизменном UA и Accept-Language;
— кластеры IP, где latency и TCP fingerprint совпадают до нелепости;
— вход без нормального прогрева: сразу click → redirect → conversion endpoint.

Отдельно режет глаз NAT-аномалия: много «разных» устройств, но один edge-узел, одинаковые DNS-resolver’ы и одинаковый порядок заголовков в HTTP. Если трекер пишет cookie-less или stale cookie почти у каждого второго визита, а IP-пул прыгает только внутри одного диапазона — перед вами не аудитория, а распределённый скрипт с прокси-обвязкой.

Практика простая: стройте правила не по одному сигналу, а по связке ASN + /24 + RTT + session depth + fingerprint. Ботнеты эволюционируют, но паттерны их поведения остаются прежними: дешёвые прокси, повторяемые маршруты, отсутствие естественной вариативности. Вот технический разбор того, как именно уплывает ваш рекламный бюджет: сначала по одному клику, потом по всему диапазону.

Если в логах слишком много одинаковых сетевых отпечатков при «разных» пользователях — это не трафик, а фасад. Режьте кластер целиком, а не спорьте с каждым IP по отдельности.