本記事は「The future of bot protection: smarter attacks demand a layered approach」を翻訳した記事です。
TL;DR: 現在、インターネット上のボットトラフィックの65%を悪性ボットが占めています。サイバー犯罪におけるAIの導入は、2023年から2030年の間に年平均成長率(CAGR)37%で増加する見込みです。ボットの作成が容易になり、人間の行動を模倣する能力が飛躍的に向上しています。AIに対抗するには、Auth0 Bot Detection、アイデンティティセキュリティ機能、AWSのAIを活用した脅威検出などの最新の防御策を重ねる必要があります。
ボットは無害な場合もあります。しかし、多くは悪意を持っています。現在、インターネットトラフィック全体の42%をボットが占めており、65%が悪性ボットです。悪性ボットは自動化された攻撃を仕掛けてアカウントを侵害するだけでなく、マーケティング予算も枯渇させます。ボットは大規模にアカウントを登録し、企業のサインアップボーナス、オファー、ロイヤルティポイントを食い潰します。数字は嘘をつきません。ボット攻撃は企業に深刻な被害をもたらしています。2024年のFastlyの調査は、ボット攻撃がいかに広範囲に及び、被害をもたらしているかを明らかにしました。
生成AIがサイバー犯罪を再構築しボットをより危険にする
懸念すべきは悪性ボットの量だけではありません。巧妙化が進んでいることも問題です。世間の動向に少しでも注意を払っていれば、生成AIがビジネスにどのような革命をもたらしているかを目にしているはずです。カスタマーサポートを担当するAIエージェントから、パーソナライズされたコンテンツを大規模に生成するマーケティングチームまで、メリットは否定できません。しかし、暗い側面もあります。サイバー犯罪におけるAIの導入は、2023年から2030年の間に驚異的な37%のCAGRで成長する見込みであり、攻撃者が自動化された攻撃を実行し、より多くの損害を引き起こすことがかつてないほど容易になっています。
サイバー犯罪者は同じAIの進歩を利用して自動化された攻撃を強化しており、コードを1行も書かずに実行する者もいます。ボットの作成はかつてないほど簡単になり、人間の行動を模倣する能力が飛躍的に向上したため、従来のセキュリティ制御を回避できます。ボットが高度になるにつれて、ボットと戦う方法をより賢くする必要があります。結論から言うと、最新の防御策を重ねる必要があります。特効薬はありません。また、AIと戦うにはAIを使用する必要があります。詳細については後ほど説明します。
CAPTCHA — ボット検出の仕組みはすべて同じというわけではない
ボット検出と聞いて、おそらく顔をしかめるでしょう。最初に思い浮かぶのは従来のCAPTCHAだからです。
チェックボックスをオンにする、歪んだテキストを解読する、信号機が写っているすべての画像を選択するなど、以前に見たことがあるはずです。単純なCAPTCHAは基本的なボット攻撃には効果的ですが、実際のユーザーの操作を遅らせ、フラストレーションを引き起こします(自転車の無限のグリッドに苦労したことがない人はいないでしょう)。
そして、ここからが本題です。現代のボットはCAPTCHAを出し抜いています。高度な自動化とAIを活用したボットは、人間よりも速く正確に画像ベースのCAPTCHAを解決できます。つまり、従来のCAPTCHAはイライラするだけでなく、機能していません。ユーザーへの摩擦を最小限に抑えながら、人間や善良なボットと悪意のあるボットを区別し、AIの脅威と戦うためにAIの力を活用する、より優れた多層的な防御が必要です。
Auth0とAWSが連携してどのように役立つかを見てみましょう。
Auth0が悪意のあるボットにどのように反撃するか
Auth0 Bot Detection – 自動化された攻撃に対する第一の防衛線
AIを活用した攻撃が進化するにつれて、ユーザーエクスペリエンスを損なうことなく悪意のあるトラフィックに対する保護を強化するために、第4世代のAuth0 Bot Detectionエンジンを再設計しました。Auth0 Bot Detectionは何億人ものユーザーのアイデンティティの脅威を継続的に監視し、悪性ボットを検出してリアルタイムで対応します。高度な機械学習モデルを備えており、ボットの発見と阻止にさらに効果的です。
偽のサインアップやクレデンシャルスタッフィングなどの自動化された攻撃を検出し、Auth Challengeなどのユーザーフレンドリーなチャレンジ、またはGoogle reCAPTCHA、hCaptcha Enterprise、Friendly Captchaなどのすぐに使えるサードパーティのボットチャレンジ統合で対応します。
サインアップ攻撃用に設計したモデルを含む、機械学習モデルを活用します。カスタマイズしたモデルは、実際の顧客に提示するボットチャレンジを減らしながら、ユーザージャーニー全体でボットの検出と防止を大幅に改善します。
Auth0 Bot Detectionは、平均して正当なユーザーの1%未満をブロックします(Auth0の全体的な顧客トラフィックに基づく)。
自動化された攻撃から防御するために追加のAuth0防御を重ねます。
パスキーは、ユーザーがアプリ、プラットフォーム、デバイスにすばやくログインできるようにし、フィッシングの防止に役立つパスワードレスのログインオプションを提供します。理論的には、パスキーはボット検出を意味し、CAPTCHAをスキップできます。しかし、すべてのユーザーや組織がすべてのアプリにMFA(多要素認証)を追加するわけではないため、ボット検出はログインボックスの最も実行可能な第一レベルの防御であり続けます。
Adaptive MFAは、信頼できないIP、検出した新しいデバイス、「Impossible Travel」(連続するサインイン間の距離と時間を分析して不審なログイン試行を検出する)などのリスクがある場合にのみ追加の検証を求めることで、MFAの疲労を軽減します。自動化された攻撃がユーザーのユーザー名とパスワードの推測に成功した場合、MFAはインシデントを防ぐための第二の防衛線となります。
Breached Password Protectionは、サインアップ、ログイン、またはパスワードリセット時に、漏洩が判明している認証情報をブロックします。漏洩した認証情報の使用を検出し、リアルタイムでブロックしてユーザーに通知します。
Credential Guardは、専任のセキュリティチームと35以上の言語および200以上の地域のサポートにより、漏洩した認証情報を最大10倍速く検出します。検出時間を数か月から数時間に短縮します。専任のセキュリティチームが犯罪者のアンダーグラウンドやダークウェブに潜入し、漏洩した認証情報を見つけます。
Brute Force ProtectionとSuspicious IP Throttlingは、ボットが引き起こすアカウントへの高速攻撃をブロックします。
Security Centerは、ほぼリアルタイムの可観測性ツールのダッシュボードを使用して、攻撃の迅速な検出と対応を可能にします。アイデンティティイベント、異常、有効性に関するインテリジェントな洞察を取得します。カスタムしきい値アラートを設定します。SIEMツールと簡単に統合できます。
Log Streamingは、関連するAuth0アクティビティをサードパーティのSIEMおよびSOARツールにストリーミングして、より迅速な検出と対応を可能にします。カスタムビジネスロジックを使用して、セキュリティの脅威、停止、新規サインアップなどへの対応を自動化します。
Auth0とAWSを組み合わせて多層防御を実現する
Auth0のボット保護とアイデンティティセキュリティ機能は、AWSのAIを活用した脅威検出と連携して、組織の防御をさらに強化します。
AWSは、生成AIを使用するビジネスアプリを構築している場合でも、生成AIの脅威からシステムを保護している場合でも、生成AIスタック全体の異常な動作を検出するサービススイートを提供します。AWSで利用できるソリューションの一部を次に示します。
Auto Scaling Groups
AWSのAuto Scaling Groupsは、トラフィックの需要に基づいてAWSインスタンスの数を自動的に調整します。悪意のあるボットトラフィックが引き起こす予期しない急増を処理するためにリソースをスケーリングすることで、ボット攻撃を軽減するのにも役立ちます。
AWS WAF (Web Application Firewall)
AWS WAFは、受信トラフィックを分析してボット検出を提供します。有害なボットトラフィックが重要なリソースに到達する前にフィルタリングすることでWebアプリケーションを保護し、クレデンシャルスタッフィング、スクレイピング、その他の自動化された攻撃のリスクを軽減します。
AWS Shield
AWS Shieldは、ボット主導の攻撃を含む分散型サービス拒否(DDoS)攻撃から防御します。AWS Shield Advancedは、AWS WAFと統合してアプリケーションを標的とする巧妙なボットトラフィックを検出およびブロックすることで、より強力な保護を提供します。
まとめ
AIはボット攻撃の脅威を悪化させていますが、ボット攻撃との戦いに活用できます。
そこでAuth0とAWSの出番です。連携してAIを活用した多層的なセキュリティアプローチを提供し、ユーザージャーニーのあらゆる側面を保護します。正当なユーザーのみがシステムにアクセスできるようにし、悪意のある自動化されたアクティビティをブロックします。すべてユーザーの摩擦を最小限に抑え、DevOpsおよびSecOpsチームの負荷を軽減する方法で実現します。
Auth0とAWSの詳細については、本記事を確認ください。