Web Application Firewall:アカウントセキュリティのベストプラクティス

Web ページと H5 での CAPTCHA の利用

CAPTCHA は、PC や H5 の Web ページ上の重要なインターフェースを保護するための、最もシンプルで効果的な方法の 1 つです。通常、CAPTCHA サービスを統合するにはアプリケーションコードをわずかに変更する必要があり、作業には 1〜2 営業日ほどかかります。

基本的な CAPTCHA は、単純なツールやスクリプトによる直接的な API コールを効果的にブロックできます。しかし、攻撃手法やツールが進化するにつれて、基本的な CAPTCHA は突破されやすくなっています。保護を強化するには、専門的な CAPTCHA サービスを使用してください。

SDK 署名の利用

CAPTCHA が適していないネイティブアプリ向けに、Alibaba Cloud は SDK ソリューションを提供します。SDK は、モバイルデバイスからハードウェアと環境情報を収集し、リクエストに署名して検証します。このプロセスにより、正規の公式アプリからのリクエストのみがオリジンサーバーに転送され、スクリプト、自動化プログラム、エミュレーター、またはその他の不正なソースからのリクエストはブロックされます。

多次元レート制限

IP アドレス、セッション、Cookie、パラメーター、ヘッダーなど、リクエストに共通する高頻度の特徴が見られる攻撃に対しては、多次元レート制限を使用して送信元をブロックできます。たとえば、攻撃者が多数のプロキシ IP アドレスを使用しても、uid などの同じセッション Cookie を再利用する場合、Cookie に基づいてレート制限を行うことができます。これにより、保護の対象が IP アドレスから、ビジネスロジックに紐付いた「アカウント」の次元に移行します。

設定例： [ルール名] を test に、[一致条件] を [URL] [プレフィックス一致] /login.php に設定します。[頻度設定] を有効にし、[統計対象] を [カスタム Cookie] に設定して Cookie 名 uid を入力し、[統計期間] を 60 秒、[しきい値] を 10 に設定します。[アクション] には [スライダー CAPTCHA] を選択し、[タイムアウト] を 1,800 秒に設定し、[保護タイプ] を [CC 攻撃対策] に設定します。

異常なリクエストの特徴の分析

ほとんどの攻撃では、注意深い観察と分析によって、悪意のあるリクエストと正規のユーザートラフィックとの違いが明らかになります。以下に、一般的な異常なリクエストの特徴をいくつか示します。

• 不完全な HTTP ヘッダー。たとえば、リクエストに referer、cookie、content-type などのフィールドが欠落している場合があります。

• 異常な User-Agent 値。たとえば、標準的な Web サイトへの大量のリクエストに Java や Python クライアント特有の User-Agent 文字列が含まれていたり、WeChat ミニプログラムへのリクエストにデスクトップブラウザーの User-Agent 文字列が含まれていたりする場合があります。

• 不完全な Cookie。一般的なアプリケーションでは、SessionID、userid、deviceid、lastvisit など、ビジネス固有の意味を持つ複数の Cookie を使用します。しかし、ボットは結果を得るために必要な 1 つまたは 2 つの Cookie のみを送信し、通常のユーザーセッションの一部である他の Cookie を省略する場合があります。

• リクエストに、結果に影響しないパラメーターが欠落していたり、繰り返し含まれていたりする場合があります。

• ビジネスフィールド内の異常なデータ。たとえば、メールアドレス、電話番号、またはアカウント情報に、異常または非論理的なキーワードが含まれている場合があります。

クレデンシャルスタッフィングとボット脅威インテリジェンス

WAF の [ボット管理] モジュールは、アルゴリズムを使用して Alibaba Cloud ネットワーク全体でクレデンシャルスタッフィングに関連する悪意のある IP アドレスを特定します。このデータは、動的に更新されるクレデンシャルスタッフィング IP インテリジェンスデータベースを形成します。[ボット管理] モジュールの [ボット脅威インテリジェンス] 機能を使用して、クレデンシャルスタッフィング IP 検出を有効にできます。ルールを監視モードに設定するか、一致する IP アドレスに対してブロックやスライダー CAPTCHA などのアクションを設定します。詳細については、「ボット脅威インテリジェンスルールの設定」をご参照ください。