В последние несколько дней на моём сайте активизировались спам-боты, которые пытаются пропихнуть рекламу в комментарии. Даже с учётом того, что у меня успешно применяется рекапча для формы регистрации, а зарегистрированные пользователи весьма ограничены в правах, в последние три-четыре дня на сайте было проведено несколько успешных атак.

Схема одна и та же — в районе 11 утра или полудня регистрируется бот, который оставляет 30-40 одинаковых комментариев в последних топиках трекера. Если бот не забанен, спустя часа два он повторяет атаку. В принципе, у меня на сайте действует хороший инструмент, который я когда-то рекомендовал для drupal.ru — система фолов, которая даёт всем пользователям возможность отмечать флагом «фол» комментарий, нарушающий правила. Как только количество отметок флагов достигнет определённой отметки (зависит от посещаемости сайта), комментарий снимается с публикации. Такая защита вполне работает, но есть один минус — если бот оставил 60 сообщений, надо, чтобы, как минимум, 4 (если порог для действия флага составляет 4 отметки им) пользователя увидели эти 60 спамерских сообщений и пометили их флагов, что, согласитесь, не всегда реально. Оперативно делать это не получится.

Для борьбы с такими атаками можно использовать тот приём, который применяется на drupal.ru сейчас. Некоторые пользователи (условно назовём их модераторами), увидев комментарий спам-бота, могут зайти в профиль спамера и нажать кнопку «забанить», и пользователь окажется заблокирован. Одновременно с этим действием произойдёт депубликация всех комментариев и нод, созданных этим юзером. Минус в том, что этот инструмент надо доверять только тем пользователям, в которых вы уверены, что они не будут пользоваться им в других случаях кроме как для борьбы с откровенными спам-ботами.

Довольно хорошим инструментом являются правила для блокировки регистрации пользователей с определённых IP, с определёнными именами или адресами почты. Для того, чтобы успешно применять этот метод, необходимо уже иметь некоторую статистику атак и здраво мыслить. Например, хотя многие атаки осуществляются ботам с адресами на mail.ru или gmail.com, понятно, что блокировать возможность указывать такие адреса нельзя, чтобы не лишиться большей части потенциальных пользователей. Зато совершенно спокойно можно запретить регистрацию с почтовыми адресами в доменах dns123.org и qq.com — лично ко мне оттуда регистрировались только спамеры. Если вы умеете и имеете возможность проверить однозначно спамерский аккаунт на предмет того, каким ip он пользовался и есть ли ещё пользователи с таким же ip, вы можете отсечь заодно и ботов, которые идут к вам с определённого ip или из целой подсети. Это очень удобно, хотя, опять же, действовать надо аккуратно, чтобы не запретить доступ к сайту нормальным пользователям.

Наконец, вернёмся к атакам, с которым моему сайту пришлось столкнуться в последние дни. Каждый раз, когда происходила атака, я обнаруживал в статистике посещений переходы с поисковика в количестве чуть превышающем число спам-комментариев по ключевой фразе: «войдите или зарегистрируйтесь чтобы получить возможность отправлять комментарии site:http://example.net/» Вместо example.net, естественно, был адрес моего сайта. Вывод простой — спамеры просто находят drupal-сайты по ключевой фразе из перевода, и потом «обстукивают» его ноды, где они могли бы оставить свои комментарии после регистрации. Чтобы помешать это делать автоматическим спамерам, я бы рекомендовал изменить фразу в переводе на то, что вам больше по душе, чтобы смысл сохранился, но при этом чтобы бот через поисковик её уже не находил.

PS Я не специалист по безопасности, но думаю, что новичкам мои советы могут пригодиться.