봇 탐지

TRACIO의 봇 탐지 시스템은 클라이언트 측 신호 수집과 서버 측 분석이라는 2계층 아키텍처를 사용해 자동화된 브라우저, 헤드리스 도구, 스크립트 기반 공격을 식별합니다. 주요 자동화 프레임워크, 헤드리스 브라우저, AI 브라우징 에이전트, 안티디텍트 브라우저를 거의 제로에 가까운 오탐률로 탐지하는 동시에, 정당한 검색 엔진 크롤러는 자동으로 허용 목록에 등록합니다.

TRACIO가 탐지하는 대상

• 자동화 프레임워크 — Selenium, Puppeteer, Playwright, Cypress, PhantomJS, NightmareJS 등을 window/document 아티팩트와 스택 트레이스 동작을 통해 탐지합니다.
• 헤드리스 브라우저 — 헤드리스 Chrome 및 관련 런타임(CDP 아티팩트, 소프트웨어 GPU 렌더링, 누락된 브라우저 객체).
• AI 브라우징 에이전트 — Browser-Use, Claude Computer Use, Fellou, Genspark, Skyvern 및 유사한 에이전트 런타임.
• 안티디텍트 브라우저 — Multilogin, GoLogin, Dolphin 및 기타 핑거프린트를 위조하는 브라우저를 CSS/속성/무결성 검사를 통해 탐지합니다.
• 검증된 크롤러 — Googlebot, Bingbot, Applebot, GPTBot, Yandex, DuckDuckGo 등을 리버스 DNS로 검증하여 위조된 user-agent가 통과하지 못하도록 합니다.

탐지 아키텍처

클라이언트 측 수집

브라우저 에이전트는 서버 측 결정에 반영되는 다양한 봇 전용 신호와 교차 검증 신호를 수집합니다. 아래의 신호 ID는 예시일 뿐이며, 내부 ID는 안정적인 공개 계약이 아닙니다:

서버 측 분석

서버는 일련의 탐지기를 실행하며, 그 가중 출력이 결합되어 봇 점수가 됩니다. 이 점수는 임계값을 통해 판정에 매핑됩니다 — 0.70 이상이면 bot, 0.30 이상이면 suspicious, 그 외에는 human — 그리고 하드 페일 신호(예: navigator.webdriver)는 즉시 bot 판정을 강제합니다. 봇 판정에는 자유 형식의 bot_type 레이블이 함께 붙습니다.

대표적인 탐지기와 그 효과:

요금제 및 제공 여부. DevTools 탐지는 Business 및 Enterprise에서 실행되고, VM 탐지는 Enterprise에서, 에뮬레이터 탐지는 모든 요금제에서 실행됩니다. 이 모든 기능은 웹 에이전트에서 작동합니다. 루트, 탈옥, 복제/듀얼 앱, Frida, 공장 초기화 탐지는 네이티브 모바일 신호에 의존하므로 웹 전용 배포에서는 효과가 없습니다 (개발 중). 웹에서 완전히 활성화되어 있는 자동화, 헤드리스, AI 에이전트, 안티디텍트, VM/에뮬레이터, 행동 기반 판정에 의존하십시오.

결과 형식

봇 탐지는 모든 이벤트에 bot_result 필드를 기록합니다(그리고 웹훅 페이로드에서는 bot.result).

결과 값

bot_result는 세 가지 표준 값 중 하나입니다:

이는 대시보드 전반에서 사용되는 비즈니스 decision 필드(real, fake, suspicious)와 웹훅 페이로드의 bot.result에 매핑됩니다.

봇 유형(결과가 "bot"일 때)

bot_type은 자유 형식의 문자열입니다. 아래 값들은 탐지기가 출력하는 것에 대한 예시일 뿐이며, 전체 열거형이 아닙니다:

탐지 방식 설명

1. Webdriver 플래그

가장 직접적인 탐지입니다. 모든 주요 자동화 프레임워크는 WebDriver 사양에 따라 navigator.webdriver = true를 설정합니다. 이는 메인 프레임만 패치하는 도구를 잡기 위해 메인 프레임(s300)과 숨겨진 iframe(s158) 양쪽에서 확인됩니다.

2. 자동화 프레임워크 스캐닝

프레임워크 전용 아티팩트를 찾기 위해 window 및 document 속성을 포괄적으로 스캔합니다:

스캔은 또한 Selenium이 주입한 헬퍼 전역 변수를 탐지하기 위해 정규식 패턴 /^([a-z]){3}_.*_(Array|Promise|Symbol)$/을 사용합니다.

3. 헤드리스 브라우저 탐지

11개의 마커가 평가되며, 분류 임계값은 2개 이상입니다:

4. 정상 봇 검증

알려진 정상 봇은 User-Agent 패턴으로 인식됩니다. 각각은 스푸핑을 방지하기 위해 리버스 DNS로 검증됩니다:

1. 연결하는 IP에 대해 리버스 DNS 조회를 수행하여 호스트명을 얻음
2. 호스트명 접미사를 허용 도메인과 대조(예: .googlebot.com)
3. 호스트명에 대해 포워드 DNS 조회를 수행하여 IP가 일치하는지 검증

어떤 요청이 Googlebot이라고 주장하지만 해당 IP의 리버스 DNS가 외부 도메인으로 해석되는 경우(단순히 누락되거나 시간 초과된 조회가 아니라, 확인된 PTR 불일치), 이는 bot(유형 spoofed:google)으로 분류됩니다.

5. 행동 분석

엔트로피 점수를 사용한 속도 기반 탐지:

추가 규칙: 세션 경과 시간이 30초 이상일 때 마우스/키보드 이벤트가 없으면 해당 방문을 유형 noInteraction의 bot으로 분류합니다.

6. Eval 길이 분석

eval.toString().length는 엔진마다 일관된 값을 생성합니다:

• 33: Chrome, Edge (V8)
• 37: Firefox (SpiderMonkey), Safari (JavaScriptCore)

다른 값은 eval 함수가 자동화 프레임워크에 의해 후킹되었음을 의미하며, 해당 방문을 유형 unknown의 bot으로 분류합니다.

통합 예제

로그인 시 봇 차단(클라이언트)

클라이언트 SDK는 편의용 불리언 result.bot.detected를 제공합니다:

const result = await tracio.getResult()

if (result.bot.detected) {
  // Log and block
  console.warn(`Bot detected (confidence ${result.bot.confidence})`)
  showCaptcha()
  return
}

// Proceed with login
await login(credentials)

서버 측 봇 확인

서버에서는 웹훅 전달에 따라 동작합니다. 봇 탐지는 bot 객체 안에 있습니다 — bot.result와 bot.type:

// `event` is the webhook delivery body (/docs/webhooks)
app.post("/webhook/tracio", async (req, res) => {
  const event = req.body

  if (event.bot.result === "bot") {
    await db.blockedRequests.insert({
      visitorId: event.visitorId,
      botType: event.bot.type,
      ip: event.ip,
      timestamp: new Date(),
    })
  }

  res.status(200).send("OK")
})

오탐 처리

TRACIO의 봇 탐지는 거의 제로에 가까운 오탐률을 목표로 설계되었습니다. 그러나 예외 사례가 발생할 수 있습니다:

오탐이 발생하면 bot.type 필드를 확인하여 어떤 탐지기가 발동했는지 파악하고, 그에 따라 정책을 조정하십시오.