广告平台如何识别机房流量和异常流量

声明：本文为 AdTech 广告风控方向技术实践总结，文中提及的数据源、方案均为行业通用技术调研参考，不构成商业采购推荐。

机房流量是广告异常流量里最典型的一类，同时也是 IVT（无效流量）治理的重点。很多广告平台在风控落地时，容易把 “机房 IP 直接等同于作弊流量”，这个思路并不严谨：云服务器、托管机房里同样存在企业真实业务访问。广告平台标准做法是多信号融合打分，而不是单一标签一刀切。下面从识别分层、核心信号、工程链路、落地策略、常见误区几个维度展开，适合广告平台后端、风控、AdTech 研发同学参考。

一、先厘清概念：机房流量和异常流量的边界

• 机房流量（Datacenter/Hosting）：IP 归属云厂商、托管服务商、IDC 机房，包括云主机、独立服务器、机房代理出口。这类流量天然高风险，但不全是欺诈。
• 广义异常流量：除机房流量外，还包含 VPN、代理、Tor、住宅代理农场、脚本刷曝光 / 点击、模拟器群控、短时间高频切换 IP 等流量。机房流量只是异常流量的子集。

广告平台风控目标：区分机房里的正常企业访问 和 机房脚本刷量、机房代理刷量。

二、第一层：IP 情报识别（低成本、前置过滤）

这是大部分广告平台最先接入的基础能力，也是 Pre-bid 竞价阶段最常用的信号。主要依靠商用 IP 情报库输出标签，前面文章提到的 MaxMind、IPinfo、IP2Proxy、Digital Element 都支持网络类型标注。

1. 网络类型标签：IP 库直接返回 datacenter/hosting、residential、mobile、business 等类型，标记是否为机房 IP；
2. ASN 与运营商信息：匹配云厂商、IDC 服务商的 ASN 列表，例如公有云、托管服务商 ASN，作为辅助风险信号；
3. 匿名属性标记：同步判断该 IP 是否同时属于 VPN、DC 代理、Tor 节点；
4. 补充说明：Digital Element、MaxMind 在程序化广告生态审计、流量仲裁场景认可度更高，很多头部 DSP 会以此作为基础地理与网络类型基准。

局限：IP 情报存在滞后性；同时大量住宅代理挂靠正规 ISP 住宅 ASN，仅靠 IP 库识别不了高级住宅代理农场；单纯机房标签无法区分是企业爬虫还是真人业务访问。

工程建议：IP 标签只作为风险特征，不直接作为最终拦截依据。

三、第二层：网络与连接指纹（识别脚本、代理隧道）

机房脚本、代理流量在网络握手、报文特征上，和普通手机、家庭宽带用户存在明显差异，适合在落地页、点击回调、竞价链路采集：

1. TLS 指纹（JA3/JA4） 正常移动端、浏览器有稳定 JA3 指纹；机房脚本、curl、无头浏览器、自动化工具的 TLS 指纹和 UA（User-Agent）经常冲突。比如 UA 声明是 iPhone Safari，但 JA3 是 Linux 脚本特征，属于强异常信号。
2. TCP 栈特征 TTL 初始值、MSS、MTU。VPN 隧道、云服务器发包参数和普通终端有区别；机房集群的报文特征高度统一。
3. 请求头异常 大量请求缺少标准浏览器头、XFF 头伪造、多层转发头混乱、固定 Cookie 或者无 Cookie；脚本请求经常不带缓存标识、无 Accept-Language 等标准字段。
4. DNS、WebRTC 校验 DNS 解析地区和 IP 归属地不一致、WebRTC 探测的真实地址和广告服务器拿到的远端 IP 冲突，常见于隧道代理。

四、第三层：设备指纹与设备基线校验

机房刷量通常是一台或者一批服务器模拟大量设备，设备指纹会出现明显异常：

1. 指纹复用：同一个 IP 短时间内产出几十上百套完全不同的 Canvas、WebGL、音频指纹；或者大量不同 IP 共用同一套设备指纹，都是典型机房集群刷量；
2. 设备参数冲突：系统版本、屏幕分辨率、操作系统语言、时区互相矛盾；
3. 模拟器 / 云设备特征：云手机、模拟器会携带固定特征字段，很多风控库维护模拟器指纹黑名单。

五、第四层：行为时序信号（区分真人与脚本，核心判断依据）

这是判断 “机房 IP 是不是作弊流量” 最关键的一层。就算 IP 是机房，如果是真实企业人员正常浏览广告，行为特征和脚本完全不同。 典型异常行为特征：

• 曝光到点击间隔极短（几十毫秒）、点击到转化间隔高度固定；
• 落地页无滚动、无鼠标移动、无点击交互、停留时间极短直接离开；
• 脉冲式流量：短时间集中爆发大量曝光，随后归零；
• 高频遍历广告：同一个设备 / IP 短时间访问大量广告计划、广告主；
• 转化率异常偏高或者 0 转化、只点广告不落地。

六、第五层：流量轨迹与统计特征（离线风控、大盘审计）

适合平台离线任务，按 IP、指纹、渠道、广告计划做聚合统计，发现集群式作弊：

1. IP velocity（IP 流速）：同一个 IP 短时间跨国家、跨运营商切换；或者单个 IP 在短时间内产生巨量广告请求；
2. 跨渠道复用：同一套设备指纹，在多个广告主、联盟渠道持续产出转化；
3. 时段分布：流量集中在非目标地区的凌晨时段；
4. 大盘基线对比：渠道、计划的机房流量占比、点击率、转化率显著高于历史基线，触发告警。

七、广告平台两条风控链路：Pre-bid 和 Post-bid

广告平台的识别逻辑会根据链路延迟要求拆分，这是 AdTech 平台标准架构：

1. Pre-bid（竞价前，OpenRTB 链路） 延迟要求几十毫秒以内，无法做复杂指纹、行为采集。一般只用 IP 库标签、ASN 黑名单、历史高风险 IP 黑名单做粗过滤，高风险机房 / 代理流量直接不参与竞价，节省预算。

头部品牌程序化场景，如果对接 TTD、Xandr 这类 DSP，很多平台会对齐 Digital Element 这类行业通用数据源，减少审计对账分歧。

1. Post-bid（点击、落地页、归因回调阶段） 延迟宽松，可以全量采集信号，是识别复杂异常流量的主战场： 前端采集指纹、交互行为；后端关联 IP 情报、时序数据；离线模型做风险打分、样本回流、黑名单迭代；风险标签存入日志，用于对账、扣量、渠道评级。

八、平台通用：风险打分模型，而不是黑白名单

成熟广告平台基本不用简单二元判断（是 / 不是机房作弊），采用 0~100 风险分，分级处置：

• 低风险（0~30）：机房 IP，但行为是企业正常访问，放行、正常统计；
• 可疑（30~70）：机房 IP，伴随少量冲突特征，不直接扣量，标记审计、降权，持续观察；
• 高风险（70 分以上）：机房 IP + 脚本行为、指纹异常、脉冲流量，判定无效流量，不计转化、标记渠道风险。

九、容易踩坑的几个问题

1. 机房 IP ≠ 作弊流量：很多企业、B 端客户使用云服务器访问业务，属于真实用户，直接一刀切拦截会误伤正常流量；
2. 只靠 IP 库识别异常：高级住宅代理、SIM 农场 IP 在 IP 库标记为住宅 IP，单纯 IP 信号完全识别不出；
3. 竞价侧和归因侧 IP 基准不一致：两套不同 IP 库，会造成竞价判定和归因报表矛盾，对账审计难以自证；
4. 黑名单容易被绕过：黑灰产持续更换机房网段、代理出口，静态黑名单只能短期生效，必须依赖模型 + 实时信号；
5. 误杀带来的结算纠纷：所有异常流量判定，最好保留完整证据链路（IP 标签、指纹、行为日志），方便和广告主、媒体对账审计。

十、补充：自研能力不足的备选方案

中小广告平台如果人力有限，也可以接入专业第三方广告验证服务商，这类服务商内部整合了 IP 情报、指纹、行为模型，直接输出无效流量判定结果。接入前要确认判定口径在合作媒体、广告主侧是否认可，结算争议时能否提供审计证据。

结语

机房流量识别，本质是IP 网络标签作为前置信号，再结合指纹、行为、大盘统计做二次校验。广告平台的风控体系，核心不是拦截所有机房 IP，而是区分机房里的真实业务访问和自动化刷量脚本。 整套体系中，IP 情报库是基础，但完整的异常流量识别，必须依赖多维度信号融合、持续的样本回流和模型迭代。