Cloudflare ra mắt Precursor: Giải pháp phát hiện bot thông qua hành vi người dùng theo thời gian thực

Trong cuộc chiến không hồi kết giữa các hệ thống phòng thủ và bot, Cloudflare vừa thực hiện một bước tiến mới với việc ra mắt Precursor. Đây là hệ thống xác thực dựa trên phiên làm việc (session-based), được thiết kế để lấp đầy khoảng trống về khả năng hiển thị hành vi người dùng mà các giải pháp hiện tại như Turnstile chưa bao phủ hết.

Vượt qua giới hạn của CAPTCHA và Turnstile

Trong khi Cloudflare Turnstile đã rất thành công trong việc thay thế CAPTCHA bằng các thử thách dựa trên rủi ro tại các điểm quan trọng như đăng nhập hay thanh toán, nó vẫn chưa cung cấp cái nhìn toàn diện về toàn bộ hành trình người dùng. Precursor ra đời để giải quyết vấn đề này bằng cách sử dụng JavaScript được tiêm (inject) động để thu thập các tín hiệu hành vi liên tục khi khách truy cập tương tác với ứng dụng.

Điểm mạnh của Precursor nằm ở khả năng phân tích hành vi theo thời gian. Các bot hiện đại ngày nay đã có thể thực thi JavaScript, sử dụng trình duyệt thật và vượt qua các bài kiểm tra đơn lẻ. Tuy nhiên, việc mô phỏng hành vi con người một cách nhất quán trong suốt một phiên làm việc là thách thức cực kỳ lớn đối với kẻ tấn công.

Cơ chế phát hiện dựa trên vật lý và nhận thức

Precursor không chỉ nhìn vào các thao tác đơn giản mà còn phân tích các yếu tố mang tính con người như:

• Cơ sinh học: Các chuyển động chuột của con người thường theo đường cong do giới hạn của khớp cổ tay và cẳng tay, thay vì các đường thẳng hay đường cong toán học hoàn hảo của bot.
• Tải nhận thức: Độ trễ tự nhiên giữa việc nhìn thấy một thành phần và thực hiện thao tác nhấp chuột.
• Độ rung tay: Những dao động nhỏ, tự nhiên mà ngay cả bàn tay ổn định nhất cũng có.

Bằng cách thu thập dữ liệu này, Precursor xây dựng một hồ sơ hành vi theo phiên. Nếu một phiên làm việc có các dấu hiệu bất thường, hệ thống sẽ tự động điều chỉnh điểm số bot (bot score) mà không cần làm gián đoạn trải nghiệm của người dùng thật.

Quy trình hoạt động và quyền riêng tư

Hệ thống hoạt động qua ba lớp chính:

1. Lớp thu thập: Script nhẹ được tiêm vào HTML để lắng nghe các sự kiện như di chuyển chuột, hoạt động bàn phím và tiêu điểm trang. Dữ liệu này được mã hóa và gửi về máy chủ biên (edge server).
2. Lớp đánh giá: Các evaluator tại biên sẽ phân tích luồng dữ liệu, đối chiếu chéo các hành vi (ví dụ: hoạt động chuột phải tương ứng với thời gian trang hiển thị).
3. Tích hợp phiên: Dữ liệu được gắn với phiên làm việc, ngăn chặn bot reset trạng thái bằng cách làm mới trang.

Về quyền riêng tư, Cloudflare khẳng định Precursor được thiết kế để thu thập thông tin tối thiểu. Ví dụ, hoạt động bàn phím chỉ được ghi lại dưới dạng nhịp điệu và thời gian, không phải nội dung phím bấm. Dữ liệu này được sử dụng nội bộ để đánh giá hành vi tổng thể, không gắn với danh tính cá nhân hay tài khoản người dùng.

Phân tích hành trình người dùng

Cùng với Precursor, Cloudflare cũng cập nhật các dashboard trong Security Analytics, cho phép quản trị viên quan sát hành trình đầy đủ của khách truy cập. Điều này giúp trả lời các câu hỏi quan trọng như: đâu là hành vi bình thường của người dùng trên trang web và tại thời điểm nào một phiên làm việc bắt đầu có dấu hiệu tự động hóa.

Hiện tại, Precursor đã bắt đầu được triển khai và người dùng có thể kích hoạt trực tiếp từ dashboard của Cloudflare. Đây là một công cụ mạnh mẽ giúp nâng cao khả năng phòng thủ mà không làm tăng độ ma sát (friction) đối với người dùng hợp lệ.

Nguồn tham khảo: Cloudflare Blog