Web Application Firewall:アカウントセキュリティのベストプラクティス

Web および H5 向けの CAPTCHA

PC および H5 の Web ページで CAPTCHA を有効にすることは、重要なインターフェイスを保護するためのシンプルで効果的な方法です。通常、CAPTCHA サービスの統合には、ビジネスコードの軽微な変更が必要で、1～2 営業日かかります。

基本的な CAPTCHA は、単純なスクリプトからの直接的な API 呼び出しを効果的にブロックできます。しかし、攻撃者の手法やツールが進化するにつれて、標準的な CAPTCHA はバイパスされやすくなっています。より強力な保護のためには、プロフェッショナルな CAPTCHA サービス の使用を推奨します。

ネイティブアプリ向けの SDK 署名

CAPTCHA が適していないネイティブアプリ向けに、Alibaba Cloud は SDK ベースのソリューションを提供しています。このソリューションは、モバイルデバイスからハードウェアと環境情報を収集し、リクエストに署名して検証します。このプロセスにより、公式アプリからのリクエストのみがオリジンサーバーに転送され、スクリプト、自動化プログラム、エミュレーター、またはその他の不正なソースからのリクエストがブロックされることが保証されます。

多次元レート制限

IP アドレス、セッション、Cookie、パラメーター、ヘッダーなど、リクエスト内の高頻度のフィールドが関わる攻撃に対しては、多次元レート制限を使用して攻撃元をブロックできます。例えば、攻撃者が複数のプロキシ IP を使用しているが、同じログイン Cookie (UID など) を再利用している場合、Cookie に基づいてレート制限を設定できます。これにより、保護の対象が IP アドレスから、ビジネスロジックにより関連性の高いアカウントレベルにシフトします。

異常なリクエストの特徴の分析

不正なリクエストと正当なリクエストの違いを観察・分析することで、ほとんどの攻撃を特定できます。

• 不完全な HTTP ヘッダー。例えば、referer、cookie、content-type などのフィールドの欠落。

• 異常な User-Agent 値。例えば、標準的な Web サイトへの大量のリクエストで Java や Python の User-Agent (UA) 値が使用されていたり、WeChat ミニプログラムへのリクエストでデスクトップブラウザの UA が使用されていたりする場合。

• 不完全な Cookie。一般的なアプリケーションでは、SessionID、userid、deviceid、lastvisit など、ビジネス固有の意味を持つ複数の Cookie が使用されます。ボットは、結果を取得するために必要な 1 つまたは 2 つの Cookie のみを送信し、他は省略することがあります。

• 異常なパラメーターコンテンツ。不完全な Cookie と同様に、一部のパラメーターはボットが結果を取得するために必要ない場合があります。パラメーターの欠落や重複も異常と見なされます。

• 異常なビジネスフィールド。例えば、メールアドレス、電話番号、またはアカウント情報に、通常ではありえない、または非論理的なキーワードが含まれている場合。

ボット脅威インテリジェンス

WAF の ボット管理 モジュールは、アルゴリズムを使用して、Alibaba Cloud ネットワーク全体で認証情報スタッフィング攻撃に関与する不正な IP アドレスの動的な脅威インテリジェンスデータベースを維持します。ボット脅威インテリジェンス 機能を使用すると、これらの IP アドレスを監視モードで検出したり、ブロックやスライダー認証などの操作を適用したりできます。詳細については、「ボット脅威インテリジェンスルールの設定」をご参照ください。