Как вычислить click farm по IP-паттернам, даже если клик «чистый» на входе

Как вычислить click farm по IP-паттернам, даже если клик «чистый» на входе

Давайте поднимем логи и посмотрим правде в глаза. Фермы кликов редко палятся креативом — они палятся транспортом: плотные серии запросов с одинаковым TTL, схожими JA3/UA, коротким inter-arrival time и повторяющимися ASN. Если в логах видите десятки «разных» пользователей, которые приходят с одного /24, живут 20–40 секунд и уходят без нормального пост-клика поведения, это не аудитория. Это конвейер.

Смотрите на сетевые связки:
— IP-диапазоны с высокой энтропией имен, но низкой энтропией поведения
— частые смены адреса в пределах одного датацентрового ASN
— одинаковые referrer-chain и пустые или шаблонные headers
— всплески по одному пути: click → landing → bouncer, без вторичных событий

Ботнеты эволюционируют, но паттерны их поведения остаются прежними. У ферм почти всегда есть «шум» для маскировки, но он не держит корреляцию: cookie живут дольше сессии, а IP меняются чаще, чем fingerprint. Отдельный красный флаг — повторяющиеся подсети с одинаковым RTT и дискретным временем захода, будто кто-то дергает скрипт по расписанию, а не живой трафик.

Практика простая: строите rule-set не по одному признаку, а по кластеру. Если совпали ASN + /24 + user-agent family + одинаковый sequence событий, режьте вес клика до нуля. Вот технический разбор того, как именно уплывает ваш рекламный бюджет: не через один «плохой» IP, а через сотни однотипных сессий, которые выглядят разными только для ленивого фильтра.