Isolation Forest: как ловить аномальный трафик до того, как он сожрёт бюджет

Isolation Forest: как ловить аномальный трафик до того, как он сожрёт бюджет

Давайте поднимем логи и посмотрим правде в глаза. Большая часть фрода не выглядит как фрод на графике CTR: она маскируется под «нормальный» поток и палится только на уровне распределений. Isolation Forest полезен именно здесь — он не ищет шаблон, он измеряет, насколько легко точка отделяется от массы.

Входные признаки берите не из витрины, а из сырых событий: время до клика, глубина сессии, ratio кликов к показам, повторяемость user-agent, IP/ASN, энтропия URL-переходов, доля однотипных конверсий. Если признаков мало, модель начнёт ловить шум; если слишком много — добавите мусор и получите красивую, бесполезную аномальность.

Практика простая: обучаете модель на «чистом» окне, затем считаете anomaly score по новым событиям и не баните всё подряд. Сначала ставьте порог на ручной разбор: совпадение IP+UA, всплески одинаковых таймингов, неестественно ровные интервалы между событиями. Ботнеты эволюционируют, но паттерны их поведения остаются прежними: синтетическая регулярность, клонированные отпечатки, слишком аккуратные воронки.

Не пытайтесь заменить моделью здравый смысл. Isolation Forest — не детектор истины, а сигнализация: он говорит, где копать. Лучше держать отдельные правила для жёстких блокировок и отдельный ML-слой для серых кейсов. Вот технический разбор того, как именно уплывает ваш рекламный бюджет: сначала аномалия, потом масштабирование, и только потом видимый провал.