접속 로그를 통해 해외 웹사이트의 무효 트래픽을 식별하는 방법

해외 웹사이트 방문량은 늘었지만 문의가 증가하지 않았다면, 먼저 액세스 로그에서 이상 요청을 찾아볼 수 있습니다. 어떤 출처가 지속적으로 방문하는지, 어떤 페이지를 요청하는지, 요청 간격이 규칙적인지, 양식 등 전환 경로에 도달하는지를 확인합니다. 해외 웹사이트의 무효 트래픽은 여러 증거를 종합해 식별해야 합니다. 해외 IP 주소, 높은 방문 빈도 또는 문의 부재만으로 트래픽이 무효라고 단정할 수는 없습니다. 실제 방문, 정상 크롤러, 악성 스캔, 광고 부정 행위는 로그에 서로 다른 단서를 남깁니다.

통계 차이를 이상 징후로 오인하지 않도록 로그 범위부터 맞추기

액세스 로그는 요청을 기록하며 방문자 수와 동일하지 않습니다. 페이지를 한 번 로드할 때도 이미지, 스크립트, 스타일 파일을 요청할 수 있습니다. 페이지 분석 도구는 스크립트 실행 여부와 권한 설정에 따라 달라집니다. 두 데이터의 수치가 다르다고 해서 곧바로 트래픽 조작이 있다고 볼 수는 없습니다.

웹사이트에 콘텐츠 전송 네트워크를 연결하면 원본 서버 로그에는 원본 서버로 전달된 요청만 기록되어 캐시에서 처리된 방문이 누락될 수 있습니다. 실제 클라이언트 주소가 올바르게 설정되지 않은 경우 로그에 기록된 주소가 프록시 노드의 주소일 수도 있습니다. 조사에 앞서 로그의 범위를 확인하고, 설정된 프록시 출처가 전달한 클라이언트 주소만 신뢰해야 합니다. 임의의 요청에 포함된 전달 필드를 그대로 신뢰해서는 안 됩니다.

최소한 요청 시간과 시간대, 클라이언트 주소, 요청 메서드, 경로, 상태 코드, 응답 바이트 수, 참조 페이지, 클라이언트 식별자를 보관해야 합니다. 여건이 된다면 요청 처리 시간, 엣지 노드 판정, 요청 식별자도 추가합니다. 쿼리 매개변수는 광고 유입 경로를 추적하는 데 사용할 수 있지만, 양식 본문, 비밀번호 또는 전체 신원 정보가 로그에 기록되지 않도록 해야 합니다.

비슷한 방문 양상이라도 대응 방식은 다릅니다

이러한 단서에는 모두 한계가 있습니다. 브라우저 캐시는 정적 리소스 요청을 줄일 수 있으며, 자동화 프로그램도 스크립트를 실행할 수 있습니다. 공유 사무실 네트워크에서는 여러 사람이 하나의 외부 IP 주소를 함께 사용할 수도 있습니다. 크롤러 신원 역시 위조될 수 있으므로 공개된 IP 주소 범위와 대조하거나, 해당 크롤러가 공개한 역방향 조회 및 정방향 조회 방법으로 검증해야 합니다.

이상 징후를 빈도, 경로, 출처의 세 가지 증거로 나누기

빈도는 웹사이트 자체의 기준선과 비교해야 합니다. 먼저 같은 요일의 비슷한 시간대에 발생한 과거 요청량을 확인한 뒤, 갑자기 증가한 시간대를 찾아봅니다. 클라이언트 주소별로 집계한 다음에는 클라이언트 식별자, 요청 경로, 확인 가능한 세션 단서도 살펴봐야 합니다. 짧은 시간에 하나의 주소에서 제품 페이지를 대량 요청하는 경우, 데이터를 일괄 수집하는 것일 수도 있고 같은 외부 IP 주소를 사용하는 여러 사람이 정상적으로 방문하는 것일 수도 있습니다. 여기에 일정한 간격, 반복되는 순서, 지속적인 실행이 함께 나타나야 자동화 가능성이 더 커집니다.

경로를 보면 트래픽이 무엇을 하고 있는지 파악할 수 있습니다. 존재하지 않는 관리 경로를 연속으로 탐색하는 행위와 카테고리 페이지, 제품 페이지, 연락처 페이지를 중심으로 방문하는 행위는 비즈니스 측면에서 의미가 분명히 다릅니다. 이미지 로딩이 요청 빈도를 부풀리고 API 폴링이 반복 방문으로 오인되는 일을 막으려면 페이지 요청, 정적 파일, API를 나누어 분석해야 합니다.

출처는 교차 검증이 필요합니다. 참조 페이지 필드는 누락되거나 위조될 수 있으며, IP 주소의 지리적 위치만으로 방문자의 실제 위치를 증명할 수 없습니다. 광고 타겟 지역 밖에서 발생한 방문은 프록시 네트워크, 링크 공유 또는 위치 추정 오차 때문일 수 있습니다. 여기에 비정상적인 접속 간격, 관련 없는 경로 또는 반복적인 대량 요청이 함께 나타날 때만 위험 등급을 높이는 것이 적절합니다.

로그로 의심스러운 방문을 찾을 수는 있지만, 광고 부정 행위를 단독으로 입증할 수는 없습니다

랜딩 페이지 요청에 광고 매개변수가 포함되어 있다는 사실은 해당 요청에 추적 표시가 있었다는 것만 의미합니다. 링크 복사, 크롤러 수집, 페이지 사전 로드도 비슷한 기록을 만들 수 있습니다. 유료 트래픽의 품질을 판단하려면 랜딩 페이지 방문 시간, 채널 매개변수, 클릭 식별자를 광고 보고서와 대조한 다음 양식 제출, 유효 문의 또는 주문 기록과 연결해야 합니다.

시간을 대조할 때는 시간대를 통일하고 클릭 시간, 사이트 도착 시간, 전환 시간을 구분해야 합니다. 특정 출처의 방문이 하나의 랜딩 페이지에 집중되지만 이후 요청이 없다면 확인이 필요한 대상으로 분류할 수 있습니다. 그러나 스크립트 차단, 페이지 로딩 실패, 도메인 간 추적 중단으로 인해 사용자 행동 기록이 누락될 수도 있습니다. 트래픽 품질을 판단하기 전에 페이지와 분석 설정이 정상적으로 작동하는지 먼저 확인해야 합니다.

로그만으로는 정확한 체류 시간을 알 수 없습니다. 마지막 요청 이후에도 방문자가 페이지를 읽고 있을 수 있으며, 페이지가 성공 상태를 반환했다고 해서 콘텐츠가 완전히 표시되었다는 뜻은 아닙니다. 따라서 ‘요청이 한 번뿐임’이나 ‘전환이 없음’은 선별 조건으로는 사용할 수 있지만, 차단 근거로 삼기에는 적절하지 않습니다.

규칙을 먼저 검증한 뒤 차단 범위를 확대하기

먼저 명확한 스캔 경로와 지속적인 이상 빈도에 대해 관찰 규칙을 설정하고, 규칙에 해당하는 요청을 기록한 다음 속도 제한, 방문자 인증 또는 차단을 적용할지 결정할 수 있습니다. 트래픽 조작이 의심되는 출처는 광고 집행 기록을 대조할 수 있도록 확인 가능한 시간대, 요청 샘플, 관련 식별자를 보관합니다. 특정 국가나 지역의 전환율이 낮다는 이유만으로 해당 지역 전체를 차단해서는 안 됩니다.

규칙을 적용한 뒤에는 이상 요청이 줄었는지, 정상 페이지에 계속 접속할 수 있는지, 검증된 크롤러의 수집이 차단되지 않았는지, 양식 제출이 정상적으로 이루어지는지를 함께 확인해야 합니다. 요청량이 감소했는데 유효 문의도 줄었다면 오차단 여부를 다시 살펴봐야 합니다. 새 규칙에는 철회 방법을 마련해 각 조치의 근거가 된 구체적인 증거를 추적할 수 있도록 합니다.