Silnik ryzyka Sentinel

Silnik ryzyka Sentinel

Punktacja po stronie serwera dla IP, ASN, kraju, strefy czasowej i sygnałów e‑mail przed ukończeniem weryfikacji.

Jak działa Sentinel

Widget wysyła podpisany payload sentinel z opcjonalnymi danymi strefy czasowej i domeny e‑mail. Podpis zapobiega manipulacji i utrzymuje krótki czas życia payloadu.

Sentinel ocenia nagłówki urządzenia takie jak User-Agent, Accept/Accept-Language/Accept-Encoding, Sec-Fetch oraz DNT. Brak nagłówków lub brak Sec-Fetch dodaje kary, a lista robotów WCF jest używana do wykrywania znanych botów.

Zapytania GeoLite2 mapują IP na kraj, miasto i ASN, a następnie porównują oczekiwane kraje, wskazówki kraju z Accept-Language i zgodność strefy czasowej.

Opcjonalne zapytania ProxyCheck.io dodają informacje o proxy, VPN lub TOR z wynikami cache przed sklasyfikowaniem wyniku przez Sentinel.

Punktacja i klasyfikacja

Zablokowane kraje i ASN dodają +5, nieoczekiwane kraje +1, niedopasowanie strefy czasowej +1, niedopasowanie Accept-Language do języków kraju +1, a listy blokad IP +3. Reguły e‑mail dodają własne kary.

Wyniki <=0 są GOOD, >0 są NEUTRAL, a >=5 są BAD. Eskalacja JS zawsze uruchamia się przy BAD i może uruchomić się przy NEUTRAL, gdy wynik >0.

Jeśli DNT jest obecne, Sentinel może nieznacznie obniżyć wynik, aby nie karać użytkowników dbających o prywatność.

Kontrole podstawowe

Włącz SCaptcha Sentinel, aby aktywować kontrole po stronie serwera. Domyślny tryb używa sygnałów e‑mail, IP i strefy czasowej.

Przełącz na ipOnly, gdy nie chcesz zbierać sygnałów e‑mail. Pozostawia to scoring skoncentrowany wyłącznie na sygnałach sieciowych i urządzenia.

Reguły geo i sieci

Zablokowane kraje i ASN dodają +5 i mogą być skonfigurowane do blokowania bezpośrednio zależnie od akcji eskalacji.

Zablokowane ASN (AS123 lub 123) są przydatne dla znanych sieci nadużyć, ale powinny pozostać precyzyjne, aby unikać szkód ubocznych.

Trafienia na liście blokad IP dodają +3 i mogą być używane przy krótkotrwałych falach nadużyć.

Opcjonalna analiza proxy

Domyślnie wyłączona. Po włączeniu SCaptcha wysyła publiczny adres IP do proxycheck.io po informacje o proxy, VPN lub Tor. SCaptcha 2.3.0 domyślnie wysyła tag=0; administrator może włączyć logowanie dostawcy. Adres IP jest przesyłany w obu przypadkach.

Logowanie i analityka

Payloady Sentinel są przechowywane w sesji przez 10 minut i dołączane do kolejnego logu weryfikacji, aby skorelować zachowanie klienta ze scoringiem serwera.

Zwracane są tylko klasyfikacja, wynik i triggeredRules, chyba że debug jest włączony. Zablokowane odpowiedzi Sentinel są logowane natychmiast z kodami powodów.

Eksporty CSV mogą zawierać payloady Sentinel do przeglądu offline i reakcji na incydenty.

Najlepsze praktyki

Zacznij od trybu domyślnego i przejrzyj logi przed zaostrzeniem reguł. Zbyt rygorystyczne ustawienia mogą zwiększyć fałszywe alarmy.

Utrzymuj listy zablokowanych krajów i ASN małe i precyzyjne oraz używaj reguł oczekiwanych krajów lub języków dla społeczności regionalnych.

Włącz ProxyCheck.io podczas aktywnych ataków lub fal nadużyć rejestracji, a następnie wyłącz, gdy ruch się ustabilizuje.