← Решения Cloudflare по борьбе с ботами / bots / concepts

Bot Feedback Loop

Bot Feedback Loop позволяет вам сообщать о запросах, которые Bot Management оценено неверно. Когда вы отправляете отчёт о ложноотрицательном или ложноположительном результате, Cloudflare анализирует эти данные и использует их для обучения следующей модели машинного обучения.

Bot Feedback Loop доступен клиентам Enterprise с Bot Management. Перейдите Планы, где это описано подробнее.

Ложное срабатывание может произойти, если Cloudflare присваивает оценку запросу от человека, который использует браузер, мобильное или настольное приложение, в автоматический или вероятно автоматизированный диапазон.

Если Cloudflare не может обнаружить часть автоматизированного трафика на вашем сайте, отправка отчёта о ложноотрицательном результате поможет нам выявлять его в будущем.

curl 'https://api.cloudflare.com/client/v4/zones/{zone_id}/bot_management/feedback' \
--header "X-Auth-Email: <EMAIL>" \
--header "X-Auth-Key: <API_KEY>" \
--header "Content-Type: application/json" \
--data '{
  "type": "false_positive",
  "description": "Legitimate customers having low score",
  "expression": "(cf.bot_management.score le 46 and ip.src.asnum eq 132892 and http.host eq \"api-discovery.theburritobot.com\" and cf.bot_management.ja3_hash eq \"3fed133de60c35724739b913924b6c24\")",
  "first_request_seen_at": "2022-08-01T00:00:00Z",
  "last_request_seen_at": "2022-08-10T00:00:00Z",
  "requests": 100,
  "requests_by_score": {
    "1": 50,
    "10": 50
  },
  "requests_by_score_src": {
    "heuristics": 25,
    "machine_learning": 75
  },
  "requests_by_attribute": {
    "topIPs": [
      {
        "metric": "10.75.34.1",
        "requests": 100
      }
    ],
    "topUserAgents": [
      {
        "metric": "curl/7.68.0",
        "requests": 100
      }
    ]
  }
}'

curl 'https://api.cloudflare.com/client/v4/zones/{zone_id}/bot_management/feedback' \
--header "X-Auth-Email: <EMAIL>" \
--header "X-Auth-Key: <API_KEY>"

[
	{
		"created_at": "2022-08-19T00:05:24.749712Z",
		"type": "false_positive",
		"description": "Legitimate customers having low score",
		"expression": "(cf.bot_management.score le 46 and ip.src.asnum eq 132892 and http.host eq \"api-discovery.theburritobot.com\" and cf.bot_management.ja3_hash eq \"3fed133de60c35724739b913924b6c24\")",
		"first_request_seen_at": "2022-08-01T00:00:00Z",
		"last_request_seen_at": "2022-08-10T00:00:00Z",
		"requests": 100,
		"requests_by_score": {
			"1": 50,
			"10": 50
		},
		"requests_by_score_src": {
			"heuristics": 25,
			"machine_learning": 75
		},
		"requests_by_attribute": {
			"topIPs": [
				{
					"metric": "10.75.34.1",
					"requests": 100
				}
			],
			"topUserAgents": [
				{
					"metric": "curl/7.68.0",
					"requests": 100
				}
			]
		}
	}
]

requests_by_score

{
	"1": 50,
	"10": 50
}

requests_by_score_src

{
	"machine_learning": 75,
	"heuristics": 25
}

requests_by_attribute

{
	"topIPs": [
		{
			"metric": "10.75.34.1"
			"requests": 100
		}
	],
	"topUserAgents": [
		{
			"metric": "curl/7.68.0",
			"requests": 100
		}
	]
}

При отправке отчёта используйте фильтры на панели Bot Analytics, чтобы в отчёт попал только трафик с некорректной оценкой. Помимо фильтрации по оценке (обязательна), вы можете дополнительно отфильтровать данные по user-agent, IP, ASN или JA3: это поможет точнее выделить участок трафика, который был оценён неверно.

Если вы не уверены, что часть трафика получила неверную оценку, оставьте этот трафик в отчёте.

Мы будем признательны за любые комментарии в поле описания: они помогут нашей команде лучше понять эти запросы в контексте типичного трафика вашего домена.

После отправки отчёта о ложноположительном срабатывании вы можете явно разрешить трафик, если уверены, что этот источник трафика не будет использован для злоупотреблений в будущем. Чтобы разрешить трафик, можно создать пользовательское правило WAF с Пропустить остальные настраиваемые правила действие, которое соответствует характеристикам вашего отчёта о ложном срабатывании. Рекомендуем, чтобы любое создаваемое вами правило Skip имело максимально узкую область действия, в том числе ограничивало методы запросов и URI, к которым имеет доступ ожидаемый трафик, чтобы снизить риск злоупотреблений.

• Разрешение отпечаток JA3/JA4: Если нужно разрешить доступ стабильному программному клиенту, у которого нет выделенного IP-адреса, можно найти отпечаток (или отпечатки) JA3 этого клиента на панели Bot Analytics и создать пользовательское правило WAF, разрешающее трафик по этому отпечатку JA3. Отпечатки JA3 совпадают только с TLS-библиотекой клиента, поэтому учитывайте возможные совпадения с другими клиентами и различия, связанные с операционной системой.
  
  Cloudflare не рекомендует полагаться на правила JA3 для мобильных приложений, которые могут быть подвержены злоупотреблениям. Если у вас есть вопросы о том, как безопасно разрешить трафик от вашего мобильного приложения, обратитесь в свою команду по работе с клиентами.

• Разрешение IP-адрес: Разрешайте трафик по IP-адресу только в том случае, если этот IP является выделенным ресурсом, который принадлежит исключительно тому источнику трафика, для которого вы хотите открыть доступ.
  Если трафик, который вы хотите разрешить, использует один IP-адрес с другими источниками трафика, или если IP-адрес часто меняется, рассмотрите альтернативу разрешению по IP-адресу.

После отправки отчёта о ложноотрицательном срабатывании вы можете явно заблокировать или ограничить по частоте некорректно оценённый трафик, используя сочетание таких характеристик, как IP-адрес, отпечаток JA3, ASN и user-agent. Прежде чем блокировать или ограничивать трафик по отпечатку JA3, используйте Bot Analytics, чтобы убедиться, что этот отпечаток не используется легитимными источниками трафика.