Исключение / выключение потока
Да, сильные признаки
После 13 июля восемь ключевых доменов снизили долю трафика с % до % при продолжающейся кампании.
Campaign 10299 · Site 1126 · финализированная хронология
IVT / Botnet: разбор работы с трафиком
Интерактивный анализ всех предоставленных дневных и накопительных выгрузок. Цель — отделить реальное исключение проблемного supply от случайной смены объёма и проверить, были ли домены ранее стабильными до резкого всплеска.
Устойчивость фильтра
Нет
19–20 июля тот же набор вернулся до % трафика и создал % всего IVT.
Ранее стабильные домены
Да: минимум два
litmir.club и radiopotok.online были чистыми на значимом объёме, а 11 июля резко испортились — главным образом внутри 300×250.
Характер проблемы
% IVT — Botnet
В периодах 11–13 и 19–20 июля botnet формировал около 97% IVT. Это не просто общий шум по измерению.
Что можно доказать выгрузками: в конкретные даты проблемные потоки синхронно исчезали и позже возвращались; часть доменов была грязной с первого появления, а часть действительно перешла из чистого режима в аномальный. Что нельзя доказать без change-log: кто именно выключил поток — ваши траффики, upstream-поставщик или автоматическое правило.
Ключевая хронология
Site 1126, финализированный ряд за 1–20 июля.
После 6 июля
Первая волна отсечения
Группа ранне-грязных доменов занимала % трафика и % IVT; 7–9 июля — только % и %.
11–13 июля
Массовый botnet-всплеск
Общий IVT — 15,61%. Восемь ключевых доменов дали % всего IVT.
14–18 июля
Поток почти исчез
Кампания продолжалась: 802 тыс. tracked. Доля восьми доменов упала до %, их вклад в IVT — до %.
19–20 июля
Возврат проблемы
Те же домены вновь заняли % трафика и дали % IVT.
Дневной IVT, Botnet и измеренный объём
Наведи курсор на день: в tooltip показан источник данных и способ сверки.
Ранние грязные домены: выключение после 6 июля
4ege.ru, avtoexperts.ru, kalina.fm, newradio.ru, onlayn-radio.ru, radio7.ru.
Восемь доменов главного инцидента
Их доля в трафике и доля в общем IVT по периодам.
Главные домены инцидента 11–13 июля
Строка открывает карточку домена.
Рабочий вывод для встречи.
- Операционное действие по остановке supply с высокой вероятностью было как минимум дважды: после 6 и после 13 июля.
- Контроль не был постоянным: ранее отключённые домены возвращались 11 июля и особенно 19–20 июля.
- Чисто доменного blacklist недостаточно: у litmir.club и radiopotok.online аномалия была локализована в конкретном placement/формате 300×250.
Карта доменов по дням
Heatmap и полный sortable-реестр доменов.
Клик по строке heatmap открывает карточку домена.
Карточка конкретного домена
Дневная динамика и детализация по insertion / формату.
Классификация
Весь период
До инцидента 2–9
Всплеск 11–13
Возврат 19–20
IVT по insertion / формату во времени
Цвет — IVT%, hover — объём. Это помогает отличить весь домен от конкретного placement.
Сравнение периодов по insertion
Следы исключения и возврата
Это операционный inference, не замена журналу изменений blacklist.
Главный тест: доля проблемного домена в трафике должна резко упасть при продолжающейся кампании, а его IVT-вклад — исчезнуть. Синхронное падение нескольких доменов 14 июля делает случайное объяснение маловероятным.
Всплеск vs снижение доли после 13 июля
Размер пузыря — оценка IVT-показов в период 11–13 июля. Клик открывает домен.
Ограничение вывода: по этим данным нельзя отличить ручной blacklist ваших траффиков от остановки upstream supply. Для доказательства нужны логи изменений и mapping «domain × insertion × supplier/source».
Домены, которые резко изменили качество
Базовый IVT до первого значимого плохого дня против IVT в день аномалии.
Первый значимый плохой день
Доказанные stable → anomaly на уровне placement
До всплеска ≥3 тыс. tracked и ≤3% IVT; 11–13 июля ≥1 тыс. и ≥10% IVT.
litmir.club × 300×250: 113 005 tracked при 0,60% до инцидента → 195 617 при 22,47% 11–13 июля. Другие форматы домена остались около 0–1%.
radiopotok.online × 300×250: 4 931 tracked при 0,15% → 39 088 при 32,36%. Формат 300×300 в тот же период оставался 0,17%.
Сравнение Site 1125 и Site 1126
Накопительные snapshot: Site 1125 по 18 июля и Site 1126 по 19 июля.
Корреляция IVT по доменам
82 домена с ≥1 000 tracked в обоих Site ID
Медианная разница
п.п.
Практически одинаковая fraud-сигнатура
Вывод
Проблема supply-side
Сильнее связана с доменом / integration route, чем с одним audience Site ID.
Hostname-пример
www ≠ non-www
www.avtovzglyad.ru — 58,15%; avtovzglyad.ru — 1,33%.
Возврат 19–20 июля подтверждается на обоих Site ID
Различия hostname
Качество данных и методика
Как собран финализированный ряд и где остаются ограничения.
Получено файлов
уникальных наборов контента
Сырые domain-строки
После дедупликации и сверки
Site 1126 весь период
% IVT
tracked
13 июля: недостача дневного файла
%
−509 076 tracked относительно финализированного delta
Критические reconciliation-решения
- 1 июля: отчёт пустой; накопительный C7 полностью равен сумме 2–7 июля, поэтому объём подтверждён как нулевой.
- 8 июля: восстановлен как C8 − C7.
- 10 июля: объём нулевой; C11 − C9 полностью равен прямому отчёту 11 июля.
- 13 июля: прямой файл содержит 915 208 tracked, а финализированный C13 − C12 — 1 424 284. В ряду использован финализированный delta; IVT-rate почти не изменился: 13,49% против 13,60%.
- 17–19 июля: сумма дневных отчётов точно совпадает с C19 − C16.
Методика расчёта
- Вес — Tracked Ads. Колонка Imp WCM в доменной вкладке повторяется по insertion и не суммируется по доменам.
- Оценка количества IVT = Tracked Ads × Final percent / 100. Из-за округления процентов возможна погрешность в несколько показов.
- Домен нормализован до hostname; www сохранён отдельно, потому что в данных он может обозначать другой integration route.
- Дневная хронология полностью восстанавливается только для Site 1126. Site 1125 используется как cross-check по накопительным snapshot.
- «Вероятно исключили» означает резкое снижение доли домена при продолжающейся кампании; это inference, а не доказательство автора изменения.
Что запросить у траффик-команды для окончательного verdict:
- историю black/white-list и rule changes за 6–7, 13–14 и 18–19 июля;
- mapping domain × insertion × supplier / supply route;
- причину повторного допуска onlayn-radio.ru, newradio.ru, radio7.ru и других доменов 19–20 июля;
- изменения по placement 300×250 на litmir.club и radiopotok.online 11 июля;
- причину неполного дневного отчёта 13 июля.