▶ 23:07
Почему WAF не защищает от современных ботов | Владлен Васильев | G GATE CONF 2026
👁
3
на YouTube
📊
3
на aff.top
О чём это видео
Современные AI-боты обходят классические средства защиты: используют нормальные браузерные отпечатки, IP-адреса, User-Agent и проходят CAPTCHA, при этом меняются после блокировки. WAF и DDoS-митigation остаются необходимыми, но не дают полной картины без анализа поведения, J3/J4, HTTP/2-фингерпринтов и расхождений между заявленным и фактическим клиентом. На кейсе казино показана атака до 7 000 RPS и около 70 млн запросов за три часа, где DDoS-митigation скрыла бот-активность. Вывод: нужно разделять DDoS и ботов, связывать сигналы безопасности с бизнес-ущербом и постоянно обновлять правила защиты.
Ключевые тейки
-
Боты маскируются под обычных пользователейСовременный бот может иметь нормальные IP и User-Agent, проходить CAPTCHA и менять параметры после блокировки. Одних сигнатур недостаточно: анализируйте поведение и отпечатки устройств.
-
Митигированный DDoS не закрывает инцидентСнижение пикового трафика не означает, что атака завершена. В кейсе казино DDoS был отб||||, пока бот-трафик продолжал снижать доступность приложения и мешал бизнесу.
-
Разделяйте DDoS и бот-активностьDDoS может быть отвлекающим шумом, пока боты сканируют уязвимости, атакуют API и портят пользовательские метрики. Отдельно контролируйте заблокированный и пропущенный трафик.
-
Ищите расхождения в фингерпринтахПолезными сигналами стали J3, J4, HTTP/2-фингерпринты и несоответствие между нормальным User-Agent и реальным поведением запроса. Эти признаки дополняют IP- и CAPTCHA-проверки.
-
Защита работает как постоянный циклПроцесс должен включать обнаружение аномалии, эскалацию, работу с партнёрами, деплой новых правил, их тюнинг и мониторинг. Универсальной кнопки, которая решает проблему навсегда, нет.
Вопросы и ответы
Почему WAF не останавливает современных AI-ботов?
AI-боты имитируют обычного пользователя: используют правдоподобные IP и User-Agent, проходят CAPTCHA, меняют отпечаток после блокировки и адаптируют поведение.
Как отличить DDoS-атаку от бот-трафика?
Нужно анализировать не только объём запросов, но и доступность приложения, поведение клиентов, фингерпринты и бизнес-эффект. DDoS может быть прикрытием для бот-активности.
Какие сигналы помогают находить скрытых ботов?
Важны J3 и J4-фингерпринты, отпечатки HTTP/2, поведение сессий и несоответствие между заявленным User-Agent и фактическими параметрами запросов.
Как построить процесс защиты от современных атак?
Детектируйте аномалии, эскалируйте инциденты, подключайте партнёров и вендоров, внедряйте новые правила, затем постоянно их тестируйте, тюнингуйте и мониторьте.
Обновлено: 14 октября 2026