1Коли п’ятдесят акаунтів заходять одночасно
Ботоатака — річ, від якої аж пересмикує: десятки чи сотні свіжих акаунтів вливаються у вашу групу за хвилину, а тоді заливають чат шахрайськими посиланнями, спамом чи шумом — або просто сидять там, роздуваючи вашу кількість учасників порожніми акаунтами. Це автоматично, це швидко, і якщо ви покладаєтеся на ручну модерацію, усе скінчиться, перш ніж ви допишете свій перший бан.
Інстинкт — додати CAPTCHA й вважати проблему розв’язаною. Це допомагає, але одні ворота перевірки — не вся відповідь, бо сучасні інструменти рейдів побудовані саме так, щоб їх обійти. Цей посібник охоплює, як рейди справді працюють, чому однієї CAPTCHA часто самої по собі замало і як нашарувати перевірку, щоб автоматичні акаунти спинялися на вході, а не після шкоди.
2Як ботоатаки працюють насправді
Рейд — це для нападника задача економіки. Він контролює пул акаунтів — інколи свіжозареєстрованих, інколи вживаних і викрадених, щоб виглядати легітимно, — і скрипт, що масово приєднує їх до цільової групи. Мета або негайна (залити чат посиланнями, перш ніж хтось відреагує), або повільна (засіяти групу сплячими акаунтами, що діють згодом). Так чи так, визначальна риса — масштаб і швидкість, з якими жоден модератор-людина не зрівняється в реальному часі.
Розуміння цього формує захист. Оскільки рейди залежать від обсягу й автоматизації, найдієвіші контрзаходи підвищують ціну за акаунт і сповільнюють потік — усе, що змушує кожен акаунт витратити реальні зусилля чи реальний час, щоб пройти, підточує економіку, яка взагалі робить рейдинг вартим заходу.
- Рейди спираються на масштаб і швидкість — багато акаунтів, приєднаних за секунди.
- Акаунти можуть бути свіжими одноразовими або вживаними, викраденими, що виглядають справжніми.
- Мета — або миттєвий залив, або повільно підсаджені сплячі акаунти.
3Чому однієї CAPTCHA замало
CAPTCHA на вході — по-справжньому корисний рівень: вона спиняє найгрубіших ботів, тих, що приєднуються й одразу пишуть без жодної взаємодії. Але покладатися на неї як на єдиний захист має дві проблеми. По-перше, рішучий рейд може використати акаунти, здатні розв’язувати прості завдання — чи то автоматизацією, чи то дешевими сервісами розв’язувачів-людей. По-друге, CAPTCHA, достатньо складна, щоб спинити таких, водночас дратує справжніх людей, яких ви намагаєтеся привітати, а тертя на вході коштує вам справжніх учасників.
Вихід із цього компромісу — не складніша CAPTCHA, а те, щоб не покладатися на CAPTCHA саму по собі. Коли перевірка — це один рівень серед кількох, кожен рівень може лишатися легким. Проста перевірка з малим тертям на вході — це нормально, бо вона не тягне все навантаження. Акаунти, яких вона не спиняє, ловляться рівнями за нею, тож ви отримуєте сильний захист, не караючи справжніх людей на вході.
- Проста CAPTCHA спиняє грубих ботів, але не рішучих, підкріплених розв’язувачами.
- CAPTCHA, достатньо складна, щоб спинити таких, водночас відлякує справжніх учасників.
- Полагодження — це рівні, щоб жодні окремі ворота не мусили бути й суворими, і привітними.
4Нашаровуємо перевірку для нових учасників
Сильний антирейдовий захист складає незалежні перевірки, тож акаунт, що прослизнув повз одну, ловиться наступною. Перший рівень працює, перш ніж акаунт зможе бодай щось зробити: спільний блоклист спамерів миттєво банить акаунти, вже позначені в тисячах спільнот, стираючи велику частку рейдових акаунтів з першого погляду. За ним легка CAPTCHA фільтрує найгрубішу автоматизацію.
Проте рівні, що важать найбільше, діють після входу. Новим акаунтам можна заборонити публікувати посилання чи медіа, доки вони не побули присутніми й такими, що поводяться пристойно, певний час, тож сплячий акаунт не завдасть шкоди, навіть якщо потрапить усередину. А ШІ-виявлення спаму читає те, що акаунти справді публікують, ловлячи скоординований залив за його вмістом і поведінкою, навіть коли окремі акаунти на вході виглядали чистими. Разом вони перетворюють рейд із прориву на неподію.
- Блоклист першим — баньте відомих спамерів, перш ніж вони взаємодіятимуть.
- Легка CAPTCHA, щоб відфільтрувати грубу автоматизацію без тертя.
- Обмежуйте публікації нових акаунтів, доки вони не заслужать довіру.
- ШІ-перевірки вмісту й поведінки ловлять скоординовані заливи після входу.
5Виявлення, сповіщення й наслідки
Навіть добре захищена група виграє від того, що знає про рейд, який відбувається. Раптовий сплеск приєднань — це вже сам собою сигнал, а сповіщення в реальному часі про незвичну активність масових приєднань дають змогу підтягнути налаштування — скажімо, тимчасово вимагати схвалення для входу — поки атака триває, а не виявляти її вранці. Швидкість обізнаності перетворює потенційний залив на кероване подію.
Потому перегляньте, що пройшло, а що ні. Якщо частина рейдових акаунтів прослизнула, журнал модерації показує вам, де саме, тож ви можете підлаштувати рівень, що їх пропустив. Антирейдовий захист — не одноразове налаштування; це постава, яку ви підлаштовуєте, поки нападники адаптуються, підтягуючи рівень, що протік, і послаблюючи ті, що ловили справжніх учасників.
6Зробіть рейдинг невартим заходу
Ви не спините нападників від спроб рейдити вашу групу, але можете зробити це безглуздим. Одна CAPTCHA — це початок, а не розв’язання: справжній захист приходить із рівнів — блоклист, що банить відомих спамерів з першого погляду, легкі ворота перевірки, обмеження публікацій для зовсім нових акаунтів і ШІ, що читає поведінку після входу. Кожен рівень скромний; разом вони роблять рейд економічно невартим запуску.
Налаштуйте це, приглядайте за сповіщеннями про сплески приєднань і підлаштовуйте рівні, поки нападники адаптуються, — і наступний рейд «п’ятдесят акаунтів за хвилину» стає рядком у вашому журналі замість кризи у вашому чаті — спинений на вході, без жодного відвернутого справжнього учасника.