<b>Isolation Forest ловит фрод там, где ручные правила уже слепнут</b>

<b>Isolation Forest ловит фрод там, где ручные правила уже слепнут</b>

Давайте поднимем логи и посмотрим правде в глаза. Ручной фильтр быстро деградирует: ботнет меняет IP-пулы, тайминги, user-agent и цепочку редиректов. Isolation Forest полезен именно на таких данных — он не ищет «плохой класс», а выделяет точки, которые плохо вписываются в общий ландшафт признаков.

Кормить модель нужно не кликами, а поведением: время до конверсии, глубина сессии, энтропия ASN, повторяемость device fingerprint, доля отказов по одинаковым реферерам, распределение inter-click gaps. Чем меньше «маркетинговых» фич и больше сырых сетевых следов, тем выше шанс поймать механику, а не шум.

Рабочая схема простая: обучаете лес на условно чистом сегменте, потом режете трафик по anomaly score и смотрите не только верхний хвост, но и кластеры внутри него. Если аномалия приходит пачками с одного ASN, с одинаковым TTL и одинаковой последовательностью заголовков — это уже не случайность, а фабрика. Ботнеты эволюционируют, но паттерны их поведения остаются прежними.

Не ждите, что модель сама назовёт вам «бота»: она даёт приоритет для ручного разбора и автобритья. Самый практичный режим — связка Isolation Forest + жесткие правила на протоколы, а не вера в одну магическую метрику. Вот технический разбор того, как именно уплывает ваш рекламный бюджет.