Bot-Erkennung und Anti-Fraud-Logik

Kurze Zusammenfassung

Effektiver Schutz vor Bots und Betrug ist eine Kombination von Schichten: Signalsammlung (Client, Netzwerk, Gerät, Verhalten), Echtzeit-Risiko-Scoring, Regeln (deterministisch) + ML-Modelle (probabilistisch), graphische Analyse von Verbindungen und strenge Eskalationsprozesse. Ziel ist es, Schaden zu blockieren und gleichzeitig UX und Conversion zu erhalten.

Bedrohungen und Vektoren

Bots und Scraper: Registrierung, Login-Buy, Farm Promo-Codes, Förderung von Salden, automatische Erstellung von Geboten/Wetten.
Account Takeover (ATO): Credential Stuffing, Phishing, Sitzungsdiebstahl.
Zahlungsbetrug: gestohlene Karten, Limittests, Chargeback-Pharming.
Bonus Missbrauch: Multiaccounting, „Familien“ von Geräten/Adressen, Proxies/Emulatoren.
Affiliate/CPA-Missbrauch: gefälschte Registrierungen/Einzahlungen, Klick-Betrug.

Anti-Bot-/Anti-Fraud-Stack-Architektur

1. Sensoren und Telemetrie: Front-JS/SDK (menschliche Signale), mobiles SDK, Netzwerk/NTTR-Metriken, Backend-Ereignisse.

2. Feature Store (online/offline): Normalisierung, Aggregate hinter den Fenstern T + N (1min, 1h, 24h).

3. Real-Time-Engine: Regeln + ML-Inferenz (niedrige Latenz), Orchestrierung von Herausforderungen.

4. Graph-Engine: Benutzerverbindungen nach Gerät, Zahlung, IP/ASN, Cookies, Adressen.

5. Incident Storage und Markup: Aktives Modelltraining, RCA.

6. Orkestrator der Antworten: blok/tschellendsch/samoroska/limit/rutschnaja die Prüfung.

7. Beobachtbarkeit/SLO: Qualitätsmetriken (TP/FP/FN), Entscheidungszeit, Einfluss auf die Konversion.

Signale und „Fingerabdrücke“

Client und Gerät

Fingerabdruck: User-Agent-Ableitungen, Plattform/CPU/GPU, Canvas/WebGL-Rendering, Schriftarten, Timezone, Sprache, Sensoren; Beständigkeit gegen Rotation.
Browser-Dynamik: Maus/Touch-Ereignisse, Geschwindigkeit/Rhythmus der Eingabe, Fokus/Blur, Scrolling, Übergangs-Sequenzen, Idle-Muster.
Mobile Metriken: Jailbreak/Root, Emulationsmerkmale, Debag-Flags, SDK-Signale.
Netzwerk: IP/ASN/Geo, Proxy/VPN/Hosting-ASN, IP-Schichtrate, RTT-Stabilität, JA3/TLS-Fingerabdrücke.

Verhalten und Geschäftskontext

Die Velocity-Metriken (registrazii/loginy/deposity/stawki für das Fenster).
Zeitzonen/Locale/Währungsanomalien, Geo-Geräte-Diskrepanz.
Sich wiederholende Pfad-/Abfragemuster, Formularsequenzen (typisch für Skripte).
Aktionsökonomie: LTV-Diskrepanz, unnatürliche Kombinationen von Promo/Schlussfolgerungen.

Graphenanalyse (Familien und Cluster)

Top: Benutzer, Geräte, IP/ASN, Zahlungsinstrumente, Adressen, Cookies.
Ribs: „logged with“, „paid through“, „shared device“, „match fingerprint“.

• „k-core ≥ 3“ Benutzer pro Zahlungsinstrument → manuelle Überprüfung.
• Eine Konnektivitätskomponente mit einer Größe von> X, die in <24 Stunden → Einfrieren von Promo und KYC-Revue erstellt wurde.
• Hohe Zentralisierung über den IP-Knoten (Gini-Index) im Registrierungsbereich → Anti-Bot-Challenge.

Regeln (deterministisch) und Scoring (ML)

Merkmale des hybriden Ansatzes

Regeln: schnell und erklärbar (KUS/Compliance, Block „frontal“).
ML: fängt „Grauzonen“ und neue Muster; im Schattenmodus arbeiten, bevor Sie Aktionen aktivieren.

Standardregeln (Beispiel für Pseudocode)

yaml
- id: ATO_LoginBurst when:
path: "/login"
failures_last_10m_by_ip > 20 distinct_accounts_last_10m_by_ip > 5 action: challenge_mfa

- id: Bonus_MultiAccount when:
promo_code = "WELCOME100"
devices_shared_with_accounts >= 2 first_deposit_time_delta < 10m action: freeze_bonus_and_review

- id: Payment_CardTesting when:
card_decline_rate_30m_by_ip > 0. 6 unique_cards_attempted_30m_by_ip > 5 action: block_24h_and_notify

ML-Dateien (mit Beispielen)

Temporär: Frequenzen/Intervalle, Saisonalität nach Stunden/Tagen.
Kategorisch: ASN, Land, Gerät, Browser.
Graphisch: node degree, clustering coefficient, pagerank des IP-Knotens/Geräts.
Technisch: Sitzungslänge, Entropie der eingegebenen Daten, Seltenheit der Klicksequenzen.
Finanziell: Durchschnittlicher Scheck, Varianz, Time-to-Withdraw, Anteil der Zahlungsausfälle.

Herausforderungen und Antworten (Antwortorchester)

Soft: JS-Challenge, Proof-of-Work, Re-Validierung E-Mail/Telefon, Tempolimit/Quote.
Stark: MFA/JIT-KYC, temporäres Einfrieren von Geldern/Boni, temporäres Verbot.
Adaptiv: steigende Schwelle bei hohem Risiko (TOR/ASN Hosting), Grace-Listen für VIPs/Partner.
UX-Prinzipien: standardmäßig unsichtbare Prüfungen; klare Herausforderungen - nur durch Risiko.

Anti-Fraud für Promo und Gaming

Promo-Integration: Promo-Limits für Per-Device/Per-Payment-Instrument; Verknüpfung von Promo mit KYC-Status.
Multiaccounting: Device/IP-Graphen, Ähnlichkeit der Verhaltensverläufe; „Familie“ → Belohnungslimit/Einfrieren.
Gewinn-Boosting: Anomale Wettkorrelation zwischen verbundenen Konten → Untersuchung.
iGaming KPI: Conversion-Schutz (registratsiya→depozit), Time-to-Wallet; nicht „ersticken“ legit Spieler.

Betrugsbekämpfung (in Kürze)

3-D Secure/Multifaktor: dynamisch auf Risiko.
mTLS/PSP Webhooks Signatur: erforderlich.
Idempotenz: Der Schlüssel bei der Auszahlung/Einzahlung.
Zahlungssignale: BIN/issuer, AVS/CVV-Ergebnisse, Ausfallrate, Geo-Inkonsistenz.

Daten, Fichester, Aggregationsfenster

Online-Aggregate (Low-Latency): 1/5/15 Minuten für Velocity, Einzigartigkeit, Bounce.
Near-real-time: 1-24 Stunden für Promo und Bonus-Logik.
Offline-Fichie: 7-90 Tage, um Modelle zu trainieren.
Datenqualität: Ereignisdeduplizierung, Schutz vor wiederholter Bereitstellung, Validierungsschemata.

Beobachtbarkeit, SLOs und Qualitätsmetriken

• p95 Entscheidungsfindung (Betrugsbekämpfung) ≤ 50 ms auf kritischen Pfaden (Login, Einzahlungen).
• Die Verfügbarkeit der Scoring-Engine ≥ 99. 95 %/Monat.
• Der Anteil der „Inkognito“ -Ereignisse ohne Fich ≤ 0. 1%.

• TP/FP/FN nach ATO-Szenarien/Promo/Zahlungen; business-cost FP.
• Conversion impact (Δ registratsii→depozit, Δ Checkout-Erfolg)
• Hit-Rate-Herausforderungen (wie viele Herausforderungen bestätigen das Risiko).
• Drift-Monitoring (Daten/Bewertungen/Latenz).

Datenschutz und Compliance

Datenminimierung: Speichern Sie genau das, was Sie brauchen; PII - tokenisieren/verschlüsseln.
Transparenz: Erklärbarkeit von Entscheidungen (insbesondere bei Ausfällen und Einschränkungen).
DSGVO/PCI DSS: Segmentierung von Datendomänen, Zugriff nur nach Rollen; Protokollierung von Zugriffen und Regeländerungen.
Ethik und Bias: regelmäßige Prüfung von Fach-/Schwellenwerten auf Diskriminierung.

Vorgänge und Vorfälle

Runbooks: ATO-Spike, Kartentests, Promo-Angriff, SDK-Degradierung.
Feature Flags: schnelle Lockerung/Verstärkung der Regeln, Modellwechsel, „Kill-Switch“ -Herausforderungen.
Übungen: Repliken historischer Angriffe, „graue“ Kampagnen, plötzliches Driften von Zeichen.
RCA/Markup: Grenzfälle markieren und an das Training-Dataset zurückgeben (Active Learning).

Beispiele für Artefakte

1) SQL-Aggregate für Scoring (Konzept)

sql
-- velocity of logins by IP in 10 minutes
SELECT COUNT() AS logins_10m
FROM auth_events
WHERE ip =:ip AND ts > now() - interval '10 minutes';

-- unique accounts by device_id in 24 hours
SELECT COUNT(DISTINCT user_id) AS accounts_24h
FROM sessions
WHERE device_id =:device_id AND ts > now() - interval '24 hours';

2) Regel in OPA/Rego (vereinfacht)

rego package antifraud. login

default action:= "allow"

high_risk_ip {
input. ip. asn in {"AS9009, ""AS14061,"" AS16509"} # example input. metrics. failures_10m_by_ip > 20 input. metrics. distinct_accounts_10m_by_ip > 5
}

action:= "challenge_mfa" { high_risk_ip }

3) Pseudocode der Challenge-Orchestrierung

python risk = score(features) # 0..1 if risk >= 0. 9: block()
elif risk >= 0. 7: challenge("MFA")
elif risk >= 0. 5: throttle(rate="low")
else: allow()

Typische Fehler

Wetten Sie nur auf Captcha: Bots umgehen es; Sie benötigen einen Multifaktor-Signalstapel.
Lange Scoring-Verzögerungen: UX zerreißt, Ausfall wächst.
Globale IP/ASN-Verbote für immer: schneidet Legit-Verkehr; Verwenden Sie TTL und Revision.
Kein Graph: Multiaccounts bleiben „unsichtbar“.
Harte Regeln ohne Kanarienvögel/Schatten: FP-Anstieg in der Produktion.
Null-Feedback-Zyklus: Modelle werden nicht neu trainiert, Regeln werden nicht aktualisiert.

Roadmap für die Implementierung

1. Inventarisierung der Risikopfade: Registrierung, Login, Promo, Ein-/Auszahlungen.
2. Signalsammlung und SDK: Front-JS/Mobile, Netzwerk, Serverereignisse; ein einziges Schema.
3. Online-Fichester: Fenster 1/5/15/60 Minuten; Deduplizierung und SLA-Fix.
4. Grundlegendes Regelprofil: Velocity + Anomalien + einfache graphische Heuristiken.
5. ML im Schattenmodus: ROC/PR vergleichen, Geschäftseffekt bewerten, teilweise einbeziehen.
6. Graphenanalyse: Clustering von Familien, Auto-Markierung mit manueller Bestätigung.
7. Orchestrierung der Antworten: Matrix (risk×stsenary→deystviye), A/B-Steuerung auf UX.
8. Beobachtbarkeit und SLO: Qualität und Technik Dashboards, Alerting, Post-Incident-Test-Fall-Pools.
9. Datenschutz/Compliance: PII-Minimierung, Tokenisierung, rollenbasierter Zugriff, Reporting.

Ergebnis

Ein starkes Anti-Fraud-System ist eine mehrschichtige und adaptive Schaltung, in der Sensoren und Verhalten in Fichi umgewandelt werden, Entscheidungen von einem Hybrid aus Regeln und ML getroffen werden und ein Verknüpfungsgraph Missbrauchsfamilien aufdeckt. Fügen Sie Real-Time-Orchestrierung von Antworten, Beobachtbarkeit mit SLO und Privatsphäre hinzu - und Sie sorgen für ein Gleichgewicht zwischen Sicherheit, UX und Geschäftsmetriken, auch unter dem Druck gut organisierter Bots und Betrugsnetzwerke.