Марковское моделирование последовательности действий как источник дополнительных признаков для детектирования автоматизированных средств подмены пользователя

Аннотация

Предложенное ранее автором признаковое пространство для детектирования автоматизированных средств подмены пользователя (ботов) описывает непрерывную геометрическую форму траектории движения мыши, но не рассматривает последовательность типов действий (перемещение, клик, прокрутка) как самостоятельный источник признаков. В настоящей работе последовательность действий смоделирована марковской цепью первого порядка. На ее основе построено отдельное признаковое пространство, сопоставленное с траекторным и их объединением. Показано, что признаки на основе действий сами по себе дают низкое качество классификации (F1-мера по классу «бот» – 0,319, у траекторных признаков – 0,837), однако их добавление к траекторным признакам дает прирост полноты (recall) с 0,937 до 0,947 и F1-меры с 0,837 до 0,844. При этом независимое ранжирование важности признаков методом SHAP в объединенном пространстве показывает, что верхние позиции занимают именно признаки на основе кликов, а не траекторные. Анализ параметров марковской цепи объясняет эту особенность – вероятность повторного клика подряд у скриптов на основе Selenium составляет 43,6–65,5%, когда у реальных пользователей и прежде изученных ботов это значение колеблется в пределах16,0–21,5%.