Een detectiesite die een omgeving markeert, betekent niet automatisch dat er werkelijk iets mis is. Verschillende beoordelingscriteria, extensies, verouderde IP-databases, reputatie van het exit-IP en tegenstrijdige parameters kunnen valse meldingen veroorzaken. Deze gids controleert achtereenvolgens exit, parameters, extensies en gedrag.
Open je twee detectiesites, dan kan de ene zeggen dat de omgeving schoon is terwijl de andere meerdere kenmerken rood markeert. Bij het beheren van meerdere accounts komt dit vaak voor. De oorzaak ligt meestal niet bij de tool zelf, maar bij het feit dat er voor detectie geen universele standaard bestaat.
Detectiesites gebruiken verschillende databases en criteria
Elke site legt andere accenten bij het verzamelen van informatie. Sommige gebruiken JavaScript om browserkenmerken zoals Canvas, WebGL en de Audio API te onderzoeken. Andere leunen sterker op HTTP-headers en bekijken de user-agentstring, geaccepteerde talen en cookie-instellingen. Weer andere richten zich vooral op netwerkconfiguratie en besturingssysteeminformatie. Hetzelfde apparaat kan daarom binnen verschillende scoresystemen tot verschillende resultaten leiden.
Voor IP-gegevens geldt hetzelfde. De lookup-databases waarop detectiesites vertrouwen, worden niet altijd realtime bijgewerkt. Adressen kunnen dynamisch worden toegewezen, een nieuw toegewezen bereik is mogelijk nog niet opgenomen, of geografische gegevens zijn veranderd terwijl de database nog oude informatie bevat. Als een Amerikaanse exit in een andere regio wordt geplaatst, is dit vaak de reden en niet een fout in je configuratie.
Ook verschillen tussen blocklists tellen mee. Veel beveiligingsplatforms onderhouden hun eigen lijsten met schadelijke adressen. Hetzelfde IP-adres kan bij de ene partij als onbetrouwbaar gelden en bij een andere een goede reputatie hebben. Of een adres op een lijst staat, hangt dus ook af van de website die je controleert.
Eén dimensie bekijken leidt het makkelijkst tot een verkeerde beoordeling
Veel voorkomende valse meldingen komen uit twee richtingen. De eerste zijn extensies: advertentie- en privacyblokkers kunnen verhinderen dat scripts Canvas-gegevens of lettertypelijsten verzamelen. Ze kunnen ook markeringen aan requestheaders toevoegen of veranderen hoe de user agent wordt verwerkt. Al deze veranderingen worden onderdeel van de vingerafdruk. Een afwijking tussen gedetecteerde kenmerken en opgegeven waarden na het installeren van een extensie is daarom op zichzelf niet vreemd.
De tweede fout is één resultaat als totale conclusie behandelen. Je moet gezamenlijk bekijken of WebRTC of DNS het echte IP lekt, of de lijsten met lettertypen en extensies te uniek zijn, of hardwarekenmerken zoals schermresolutie binnen gangbare waarden vallen en hoeveel informatie JavaScript blootlegt. Eén rood gemarkeerd item is onvoldoende voor een definitieve conclusie.
Alle controles zijn groen, maar het account gedraagt zich nog steeds vreemd
Deze twee zaken hangen samen, maar zijn niet hetzelfde. Detectiesites zien welke kenmerken de browser naar buiten toe presenteert. Risicosystemen van platforms kijken daarnaast naar accountgegevens: of inlogtijden regelmatig zijn, of de activiteit afwijkt van normaal gebruikersgedrag, of inhoud regels overtreedt en of identiteits- en betaalgegevens onderling consistent zijn.
Bouw de omgeving in zo'n geval dus niet meteen opnieuw op. Vaker ligt het probleem in gedrag, bijvoorbeeld veel accounts volgen of berichten sturen in korte tijd, vaak van exit wisselen of één account tegelijkertijd door meerdere mensen laten gebruiken. Detectiesites kunnen dit soort gedrag niet zien.
Volgorde voor probleemoplossing
Werk in de onderstaande volgorde. De eerste controles verklaren de meeste problemen, zodat latere lagen vaak niet hoeven te worden aangepast.
Begin met de exit. Controleer hoe sterk die wordt gedeeld, wat de gebruiksgeschiedenis is en of de regio overeenkomt met de markt waarop je je richt. Als slechts één of twee sites negatief scoren, vergelijk dan eerst met nog één of twee diensten voordat je besluit te wisselen. Vervang een IP niet alleen omdat je een rode melding ziet.
Controleer ten tweede de consistentie van de parameters. Geolocatie, tijdzone en taal moeten bij de exitregio passen en niet los van elkaar worden gewijzigd. Als de omgeving zich als mobiel presenteert, moet de volledige parameterset ook kenmerken van een mobiel apparaat hebben. Tegenstrijdige parameters behoren tot de makkelijkst herkenbare sporen van een kunstmatig samengestelde omgeving.
Controleer ten derde de extensies. Verwijder extensies die je niet meer gebruikt. Houd in omgevingen waar consistentie belangrijk is alleen noodzakelijke extensies en werk ze regelmatig bij, zodat verouderde add-ons geen extra kenmerken introduceren.
Controleer ten vierde het gedrag. Bekijk recente activiteitsgegevens: inlogtijden, activiteitsfrequentie en of één account gelijktijdig door meerdere mensen is gebruikt.
Pas daarna komen verschillen aan platformzijde. Dezelfde omgeving kan op verschillende platforms anders presteren omdat elk platform eigen risicomodellen en drempels gebruikt. Als slechts één platform afwijkend reageert terwijl detectie en parameters in orde zijn, is een verschil in beoordelingscriteria waarschijnlijker; de omgeving opnieuw opbouwen lost dat niet op.
Veelgestelde vragen
Leidt een afwijkend detectieresultaat rechtstreeks tot een accountblokkade? Nee. Het oordeel van een detectiesite is niet hetzelfde als het risicobeheer van een platform, maar het is wel een nuttig signaal om te bekijken.
Als dezelfde omgeving vandaag normaal en morgen afwijkend is, zijn een bijgewerkte lookup-database, een opnieuw toegewezen exit of een automatische update van een extensie de gebruikelijke oorzaken. Controleer die drie eerst.
Moet je op elke detectiesite een perfecte score nastreven? Nee. De algoritmen verschillen, dus overal de maximale score halen is niet realistisch en ook niet nodig. Het belangrijkste is echte parametertegenstrijdigheden en exit-problemen uit te sluiten.
