ML-детекции в ЛК StormWall. Выводим защиту ваших ресурсов на новый уровень

В июне мы выпустили одно из важнейших продуктовых обновлений нашего Антибота, который входит в решение StormWall для сайта. Теперь пользователям доступны ML-детекции* —  интеллектуальная система обнаружения аномалий трафика и реагирования на них. Подробности — далее. 

Для чего нужны ML-детекции

Современные боты эволюционируют ежедневно. Традиционные методы защиты — фильтрация по IP-адресам, сигнатурам известных угроз и ограничениям скорости запросов — по-прежнему эффективны против многих атак. Однако современные боты умеют адаптироваться: меняют IP-адреса, имитируют работу браузеров, используют реальные устройства и одновременно распределяют нагрузку между тысячами источников. В результате отличить бот-атаку от легитимной активности становится всё сложнее.  

Классические методы защиты от ботов по-прежнему популярны и зачастую эффективны. Однако современные атаки всё чаще строятся таким образом, чтобы обходить сигнатуры и стандартные правила фильтрации.

Например, ботнет может состоять из тысяч устройств, каждое из которых генерирует небольшой объём запросов. По отдельности такие запросы выглядят вполне легитимно, но вместе создают серьёзную нагрузку на приложение или всю инфраструктуру.

В подобных сценариях важно анализировать не только отдельные запросы, но и общую картину поведения трафика.

Новая интеллектуальная система в режиме реального времени:

• одновременно анализирует ваш HTTPS-трафик по множеству параметров, 
• выявляет все нетипичные отклонения, 
• помогает обнаруживать угрозы, которые сложно определить с помощью сигнатурного анализа.

Всё это позволяет нашим клиентам не только быстрее обнаруживать атаки, но и сокращать время реагирования на угрозы, а также снижать нагрузку на ИБ-специалистов.

Полная прозрачность мониторинга

Чтобы работать с выявленными аномалиями было максимально удобно, мы выделили ML-детекции в отдельный раздел: 

Теперь в одной вкладке можно:

• отслеживать интенсивность трафика в режиме реального времени,
• анализировать аномалии по доменам, URL, IP-адресам и TLS-отпечаткам,
• просматривать список обнаруженных атак (об этом подробнее расскажем далее),
• изучать детальную информацию по каждому событию,
• сравнивать общий и аномальный трафик.

Таким образом, в нашем ЛК вы получаете не просто уведомление от ИИ о потенциальной угрозе, а полный набор данных для глубокого анализа всех изменений вашего трафика.

От единичных аномалий — к выводам об атаке 

Интеллектуальная система автоматически не только выявляет аномалии по различным объектам — IP-адресам, URL, доменам и TLS-отпечаткам, но и объединяет связанные события в единую атаку.

Каждой атаке присваивается уникальный идентификатор. Благодаря этому можно отслеживать развитие атаки в режиме реального времени и анализировать её историю после того, как она завершится. 

Объединение аномалий в единую атаку помогает быстрее оценивать масштаб угрозы и принимать взвешенные решения, основываясь на полной картине происходящего.

Гибкое реагирование на угрозы

Своевременное обнаружение угрозы — только первый этап защиты. Не менее важно правильно на неё отреагировать. Поэтому для каждого объекта в ML-детекциях мы предусмотрели различные сценарии реагирования: от простого мониторинга до автоматического применения защитных мер.

В зависимости от задач можно использовать дополнительные проверки с использованием режимов Redirect, JavaScript или CAPTCHA, а также автоматически блокировать источники атаки на уровне приложения или сети.

Тонкая настройка защиты для каждого ресурса

Мы понимаем, что профили нагрузки ваших ресурсов могут быть кардинально разными. Например, для одних характерны регулярные всплески посещаемости, для других — большое количество однотипных запросов к API. 

Поэтому мы предусмотрели возможность отдельной настройки параметров чувствительности, подтверждения аномалий, порогов срабатываний и исключений для доверенного трафика — вы можете менять их в зависимости от особенностей каждого из ваших ресурсов. 

При настройке вы можете добавить в исключения определённые URL, IP-адреса или TLS-отпечатки, если уверены в их легитимности. Плюсы такой гибкой настройки — минимальное количество ложных срабатываний и максимальная надёжность защиты. 

И это ещё не всё

ML-детекции — это не просто новый раздел в Личном кабинете. Это важный шаг в развитии всех решений StormWall, а если точнее — одно из ключевых применений искусственного интеллекта в наших продуктах. 

О следующих ИИ-обновлениях и других важных релизах расскажем уже скоро — следите за новостями в нашем блоге.  

*Обновление доступно для пользователей в рамках тарифа Enterprise (Антибот с расширенным функционалом). Более подробная информация — в инструкции >>