Categorie di Minacce

Sei categorie di minacce. Ognuna tarata per intercettare automazione, frode e abuso — senza sfidare per errore i clienti reali.

Il rilevamento non è un singolo controllo. La frode nel mondo reale mescola automazione, infrastruttura e comportamento. Mappiamo ogni categoria al tipo di decisione che il tuo team prende davvero — blocco, challenge, consenti, osserva.

Le categorie vanno approssimativamente da “rumorose” — automazione chiaramente malevola — a “silenziose” — segnali comportamentali sottili. Sono input indipendenti allo stesso punteggio di rischio calibrato. Una sessione può essere segnalata da una categoria, da diverse, o da nessuna.

01. Automazione e bot

Browser headless, framework di automazione e abuso tramite script — incluse le varianti “stealth” costruite per eludere il rilevamento. Sia la corsia veloce che quella lenta vengono intercettate.

Cosa cerchiamo

• Browser headless invisibili e la famiglia di patch stealth che cercano di nasconderli.
• Le impronte che i framework di automazione lasciano, anche dopo essere stati configurati per coprire le proprie tracce.
• Segnali che una sessione è guidata da uno strumento di controllo remoto piuttosto che da una persona.
• Contraddizioni interne che tradiscono uno script che finge di essere un browser reale.

Risultato

Riconoscere il traffico automatizzato prima che raggiunga login, registrazione o checkout.

Regolazione

La ponderazione predefinita qui è elevata — il traffico automatizzato che sopravvive ai nostri controlli è il segnale più affidabile di intento malevolo nell’intero modello. Se hai un caso d’uso di automazione legittimo, come il monitoraggio dell’uptime o la reportistica programmata, mettilo in allowlist per chiave invece di rilassare i pesi per tutti.

02. Manomissione del fingerprint

Sessioni in cui il browser mente su se stesso. Drawing test falsificati, comportamento del browser manipolato, strumenti anti-fingerprint che eseguono contromisure aggressive.

Cosa cerchiamo

• Un risultato di drawing test che non corrisponde al browser e al sistema operativo che la sessione afferma di essere.
• Una firma grafica che contraddice il resto di ciò che il dispositivo riporta.
• L’identità dichiarata del browser che non concorda con ciò che effettivamente renderizza.
• Il residuo lasciato da strumenti anti-fingerprint aggressivi.

Risultato

Far emergere i tentativi di evasione deliberati senza bloccare scelte oneste di privacy.

Regolazione

Separiamo il mentire dal proteggersi. Un utente di un browser privacy ha un profilo coerente e dichiarato — questo produce un segnale di browser privacy (vedi 04), non un segnale di manomissione. La manomissione significa che la sessione afferma di essere una cosa mentre tutto il resto dice che è un’altra.

03. Abuso dell’infrastruttura

Traffico da datacenter, proxy anonimizzanti, comportamento di rete obsoleto e range noti come malevoli. Segnaliamo i pattern senza bloccare gli utenti reali che si trovano per caso su una VPN aziendale.

Cosa cerchiamo

• Traffico dai principali provider cloud — le corsie all’ingrosso della frode.
• Range noti come malevoli dai feed di threat intelligence, inclusi i proxy residenziali venduti agli anelli di frode.
• Comportamento di rete obsoleto o degradato che suggerisce il concatenamento di proxy.
• Segnali di fuso orario, lingua e posizione che si contraddicono tra loro — segnale che un proxy sta riscrivendo la superficie ma non la sessione sottostante.

Risultato

Identificare il segnale di frode all’ingrosso — senza scattare erroneamente sui lavoratori da remoto.

Regolazione

Il traffico da datacenter non è automaticamente malevolo. Una VPN aziendale, un dipendente su uno spazio di lavoro cloud, un giornalista dietro un relay hosted — tutti questi possono sembrare “infrastruttura segnalata” senza essere malevoli. Lo trattiamo come un segnale debole che si rafforza solo quando è combinato con altre categorie.

04. Gestione dei browser privacy

Browser privacy riconosciuti, trattati con clemenza calibrata. Gli utenti attenti alla privacy restano benvenuti; i bot che si nascondono dietro i browser privacy no.

Cosa cerchiamo

• Le forme note dei browser privacy popolari.
• Coerenza piuttosto che manomissione — un browser privacy reale produce un profilo stabile che possiamo riconoscere.
• Una verifica incrociata con i segnali hardware (05) e comportamentali (06) per distinguere un essere umano attento alla privacy da un bot che si nasconde dietro lo stesso browser.

Risultato

Accogliere gli utenti privacy legittimi continuando a intercettare gli attori che si nascondono tra loro.

Regolazione

Questa è una delle categorie più importanti per la prevenzione dei falsi positivi. Il default è di consentire i browser privacy riconosciuti. Il punteggio di rete e infrastruttura si applica comunque, ma sopprimiamo i segnali di “basso dettaglio” che altrimenti scatterebbero erroneamente sul profilo deliberatamente uniforme di un browser privacy.

05. Verifiche hardware

Le verifiche a livello di dispositivo individuano emulatori, macchine virtuali e attacchi di replay. I bot che battono i controlli solo a livello di browser falliscono la verifica hardware.

Cosa cerchiamo

• Firme grafiche che rivelano rendering software — spesso una macchina virtuale o un emulatore piuttosto che un dispositivo reale.
• Capacità grafiche che non corrispondono all’hardware dichiarato del dispositivo.
• Firme audio che rivelano un percorso audio reale versus uno simulato.
• Le caratteristiche quotidiane del dispositivo che una macchina reale ha ma che un container nuovo e usa-e-getta spesso non ha.

Risultato

Verificare che il dispositivo sia ciò che afferma di essere — non solo il browser che vi gira sopra.

Regolazione

L’hardware è il segnale più forte che abbiamo, e il più costoso da falsificare su scala. Gli anelli di frode possono affittare proxy residenziali a basso costo; non possono affittare milioni di dispositivi reali a basso costo. Pesiamo di conseguenza le discrepanze hardware.

06. Anomalie comportamentali

Pattern di mouse, tastiera, scroll e timing post-challenge. La forma di un utente reale — e quella di uno automatizzato — differiscono fino al millisecondo.

Cosa cerchiamo

• Movimento del mouse: gli umani hanno jitter, micro-correzioni e limiti naturali sulla velocità. Gli script spesso tracciano linee dritte e perfettamente lisce.
• Ritmo di digitazione: la digitazione reale varia; l’input programmatico tende a cadere in una finestra sospettosamente ristretta.
• Scrolling: lo scrolling reale decelera naturalmente; quello programmatico spesso no.
• Timing dopo una challenge: gli umani si fermano; gli script continuano immediatamente.

Risultato

Individuare le sessioni che sulla carta sembrano umane ma non si comportano come una persona.

Regolazione

I segnali comportamentali sono i più silenziosi nel modello. Sono la differenza tra una sessione che passa ogni altra categoria e una che sembra comunque sbagliata. Li usiamo per aumentare il rischio di sessioni altrimenti pulite, non come segnale di blocco primario — giudicare solo sul comportamento punirebbe gli utenti con differenze motorie, tecnologie assistive o semplicemente abitudini insolite.

Come si combinano le categorie

Ogni categoria produce un punteggio di rischio calibrato e un indicatore di confidenza — non un verdetto. Il tuo team possiede la policy finale. Noi ci assicuriamo solo che gli input siano onesti.

Il flusso è semplice: il browser raccoglie il profilo, le sei categorie pesano ciascuna, questi input ponderati si combinano in un unico livello di rischio calibrato, e il tuo codice decide cosa fare — blocca, applica una challenge o consenti.

L’indicatore di confidenza riflette quanto la sessione ci ha effettivamente dato con cui lavorare. Una sessione che ha trascorso solo pochi secondi sulla pagina ci dice meno di una con un intero minuto di interazione, indipendentemente dal suo livello di rischio.

Letture Correlate

• Why calibration, not verdicts — la filosofia dietro queste categorie.
• Engineering principles — vincoli operativi che compaiono in ogni soglia.
• Browser runtime details — la superficie lato collector per ogni categoria.
• Frequently asked questions — domande comuni sul comportamento delle categorie.