<b>Isolation Forest ловит фрод там, где правила уже сломались и начали врать</b>

<b>Isolation Forest ловит фрод там, где правила уже сломались и начали врать</b>

Давайте поднимем логи и посмотрим правде в глаза. Классические фильтры режут только известные паттерны: один ASN, один User-Agent, один реферер. Но ботнеты эволюционируют, а вот след в данных остаётся: короткие сессии, неестественные интервалы между событиями, одинаковая глубина скролла, пустые cookie-jar и подозрительно ровный путь по сайту.

Isolation Forest полезен именно на этом уровне. Он не ищет «плохие» клики по шаблону, а выделяет объекты, которые легче изолировать в многомерном пространстве признаков. Для трафика это обычно: dwell time, click-to-conversion delta, число DOM-событий, уникальность IP/UA, частота повторов по fingerprint, доля прямых входов без предыстории. Чем дальше точка от плотного кластера нормальных пользователей, тем выше шанс, что перед вами мусор.

Но модель бесполезна без дисциплины в данных: нормализуйте признаки, убирайте утечки из post-click полей, не кормите алгоритм метками, которые он потом «угадает» сам. Иначе получите красивый скоринг, который идеально отделяет не ботов, а ваши же ошибки трекинга.

Лучший режим — не автозапрет, а очередь на ручную валидацию: score выше порога → проверка сырых логов, заголовков, цепочки редиректов и поведенческого графа. Ботнеты любят шум, но плохо переживают контекст. Выставьте модель рядом с правилами, а не вместо них.

Итог простой: ML не заменяет антифрод, он ускоряет поиск аномалий. Если у вас есть нормальные фичи и доступ к сырому трафику, Isolation Forest быстро показывает, где рекламный бюджет утекает в технически аккуратный, но всё же мусор.