Пост 🔎Скрапер не ломает — он просто читает. И в этом главная проблема

🔎Скрапер не ломает — он просто читает. И в этом главная проблема В 2023 году Chess.com подтвердила утечку данных миллионов профилей. Ни SQL-инъекций, ни компрометации серверов — атакующий просто отправлял валидные GET-запросы к публичному API, подставляя юзернеймы из словаря. Каждый запрос по отдельности выглядел абсолютно легитимно. SIEM молчал. Алертов — ноль. И это не уникальный случай. Паттерн один и тот же: предсказуемые идентификаторы, одинаковый throttling на всех эндпоинтах и полное отсутствие детектирования до момента, когда дамп уже в продаже. ❓Зачем скраперу ваши профили? Не стоит недооценивать «просто чтение». Собранные email, username, дата регистрации и привязанные соцсети — это топливо для: ⏺️Credential stuffing — если email активен на вашей платформе, атакующий прицельно бьёт по нему паролями из других утечек ⏺️Таргетированного фишинга — «Поздравляем с рейтингом 1800, подтвердите аккаунт» работает в разы лучше массовой рассылки ⏺️Перепродажи на теневых площадках — базы с tier-статусами подписчиков имеют прямую коммерческую ценность По OWASP API Security Top 10 это сразу два риска: Unrestricted Resource Consumption и Unrestricted Access to Sensitive Business Flows. 🎯Как распознать скрапера в логах? Вот реальная картина из практики. Эндпоинт /api/v2/users/{id} за выходные обработал в 40 раз больше запросов, чем обычно. RPS с одного /24-подсета — стабильные 12 запросов в секунду, ровно на 2 ниже порога rate-limiter'а. Кто-то аккуратно подобрал скорость. Что выдаёт бота: • Интервал между запросами 83±2 мс — такая периодичность невозможна для человека • Один и тот же User-Agent без единой вариации за 48 часов • Последовательный перебор ID: /api/user/1001, /api/user/1002, /api/user/1003 • Нет навигационного контекста — бот бьёт только в один эндпоинт, как дятел • IP из хостинг-подсетей (DigitalOcean, Hetzner, OVH) • Доля 404-ответов выше 30% — перебор несуществующих ID 📌Ключевой принцип для SOC: алерт должен срабатывать на паттерн, а не на единичный запрос. По данным Cequence, GET-запросы — это до 99% всех транзакций типичного домена. Инструменты, заточенные под анализ POST, этот вектор просто не видят. Для РФ контекст ещё жёстче: с 2024 года штрафы за утечку персональных данных стали оборотными. Если регулятор установит, что API работал без базового rate limiting — аргумент «мы не знали» не спасёт. В полной статье — конкретные SIEM-правила, архитектура защиты и пошаговый план реагирования⬇ https://codeby.net/threads/kak-zashchitit-sya-ot-skrapinga-dannykh-gaid-soc.95935/