👾 Я, Антиробот: как устроен наш защитник от DDoS-атак

Антиробот — внутренняя технология Яндекса, которая каждый день отражает атаки уровня L7. Он анализирует каждый запрос: кого впустить, кому показать капчу, а кого отправить на страницу 403.

При этом Антиробот должен выдерживать общую нагрузку всех сервисов Яндекса (в том числе десятки миллионов RPS в пике) и не замедлять работу для обычных пользователей.

Чтобы соблюсти баланс между скоростью и точностью, мы разделили защиту на два уровня:

🟡 Первый отвечает на каждый запрос, анализирует до 1000 факторов и запускает лёгкую модель CatBoost, чтобы быстро отсечь очевидных ботов.

🟡 Второй — анализирует десятки тысяч факторов, запускает сложный CatBoost и поведенческий анализ. Смотрит, с какими сервисами взаимодействует IP, какие были аномалии и агрегации по времени. Подозрительные запросы отправляет на капчу.

🧠 Зачем ML в защите?

Потому что эвристики быстро устаревают. А модели можно дообучать: мы логируем вредоносный трафик, извлекаем новые признаки, добавляем в фичеинженеринг и используем выделенные атаки для переобучения.

Эту архитектуру мы используем и в Smart Web Security — нашем облачном решении для защиты веб-приложений от DDoS и других атак.

👉 Подробно о том, как работает Антиробот, читайте в статье на Хабре.