Funkcjonalność
Wykrywanie botów (Bot detection)
Jak działa: Zatrzymuje zautomatyzowane logowania i credential stuffing, zanim dotrą do kont.
Powiązane funkcjonalności
- Ograniczanie ruchu z adresów IP
- Wyciekłe hasła
- Polityki adaptacyjne
Co to jest i jakie ataki zatrzymuje
Atakujący rzadko wpisują hasła ręcznie. Uruchamiają skrypty, które próbują wielu par adresu e-mail i hasła na stronie logowania, w formularzu rejestracji albo w formularzu resetu hasła.
Wykrywanie botów analizuje ruch trafiający na te strony. Gdy wygląda on na zautomatyzowany, Auth0 może wymagać wyzwania (challenge), zanim żądanie pójdzie dalej. Istnieje możliwość skonfigurowania ochrony oddzielnie dla każdego database connection, z różnymi limitami przypisanymi per połączenie.13
To pomaga przy atakach, takich jak:
Credential stuffing
Atakujący testują losowe wyciekłe pary adresu e-mail i hasła na Twojej stronie logowania.
Nadużycia rejestracji przez skrypty
Boty masowo zakładają fałszywe konta, co zanieczyszcza dane klientów i może służyć do oszustw.
Nadużycia resetu hasła
Skrypt zasypuje formularz resetu, aby wysyłać klientom niechciane e-maile albo sprawdzać, które konta istnieją.
Enumeracja kont
Skrypt próbuje kolejnych adresów e-mail, aby ustalić, które z nich mają u Ciebie konto.
Wolne skrypty rozproszone na wiele adresów
Atakujący rozkładają próby na wiele adresów i na dłuższy czas, aby proste limity dla pojedynczego adresu ich nie wychwyciły.
Przed i po wdrożeniu funkcjonalności
Jak to robi Auth0
Auth0 Bot Detection działa przed procesami logowania i dla każdego żądania decyduje, czy wymagać wyzwania (challenge).1
Żądanie trafia do chronionego procesu
Odwiedzający wysyła żądanie logowania, rejestracji albo resetu hasła.1
Może być wymagane wyzwanie
Gdy ruch wygląda podejrzanie, Auth0 może wyświetlić wyzwanie (challenge), które człowiek musi przejść.13
Ustawienia decydują o rygorze
Konfigurujesz czułość i objęte procesy, aby zrównoważyć ochronę z utrudnieniami dla klientów (user friction).3
Jak wdrażamy to w Zelto
Wykrywanie zapewnia Auth0 - Zelto ustala z Tobą, które procesy atakują boty, jak rygorystyczne ma być wykrywanie i jak uniknąć blokowania prawdziwych klientów. Planujemy wdrożenie etapami, aby zminimalizować ryzyko i skutki, a zanim cokolwiek zaostrzymy, sprawdzamy wynik na Twoich stronach logowania i w aplikacjach.
Typowy przebieg wdrożenia
Sprawdzamy, które procesy przyciągają zautomatyzowany ruch
Przeglądamy Twoje procesy logowania, rejestracji i resetu hasła oraz logi, które już masz.
Wybieramy procesy i czułość
Ustalamy, które procesy dostają wyzwanie (challenge) i jak czułe jest wykrywanie, oraz kto po Twojej stronie odpowiada za te ustawienia.
Testujemy na Twoich stronach logowania i w aplikacjach
Sprawdzamy, czy wyzwanie działa na urządzeniach i w przeglądarkach, z których korzystają Twoi klienci - także wtedy, gdy korzystają z urządzeń asystujących (assistive technology), co jest istotne z punktu widzenia accessibility Twojej aplikacji.
Włączamy etapami
Zaczynamy od procesu, który boty atakują najczęściej, a zanim zwiększymy czułość - obserwujemy, ilu klientów dostaje wyzwanie.
Przeglądamy i dostosowujemy
Podejrzany ruch przeglądamy regularnie, a ustawienia zmieniamy, gdy klienci lub atakujący zmieniają zachowanie.
Pułapki, które uwzględniamy w planie
Wykrywanie jest ustawione tak ostro, że klienci stale dostają wyzwanie.
−Ustawiamy maksymalną czułość pierwszego dnia. Klienci porzucają logowanie, a skargi trafiają do supportu.
+Zaczynamy od umiarkowanego poziomu i obserwujemy, ilu klientów dostaje wyzwanie - następnie zwiększamy czułość krok po kroku.
Boty atakują proces, którego nikt nie chronił.
−Chronimy tylko stronę logowania. Atakujący przechodzą do rejestracji i resetu hasła.
+Przeglądamy każdy proces, który przyjmuje adres e-mail lub hasło, i obejmujemy ochroną te, których używają atakujący.
Atakujący zmieniają adresy i zwalniają tempo.
−Polegamy wyłącznie na wykrywaniu botów i zakładamy, że problem jest rozwiązany.
+Łączymy je z ograniczaniem ruchu z adresów IP i wykrywaniem wyciekłych haseł, aby każda kontrola pokrywała to, co pomijają pozostałe.
Klienci korzystają z technologii asystujących albo nietypowych przeglądarek.
−Testujemy wyzwanie tylko w przeglądarkach używanych przez nasz zespół, więc część klientów nie jest w stanie go wykonać.
+Testujemy na urządzeniach, w przeglądarkach i z narzędziami asystującymi, z których korzystają klienci, i ustalamy, co się dzieje, gdy klient nie może wykonać wyzwania.
Chcesz, żeby zautomatyzowane logowania przestały docierać do kont Twoich klientów?
Sprawdzimy, gdzie dziś zautomatyzowany ruch trafia w Twoje procesy logowania, rejestracji i resetu hasła. Potem powiemy, od czego zacząć.
Umów rozmowę30 minut, bez prezentacji. Sprawdzamy dzisiejsze procesy logowania Twoich klientów.Źródła
Oficjalna dokumentacja Okta i Auth0 oraz źródła prawne
- 1Bot detectionAuth0 Docs
- 2Attack protectionAuth0 Docs
- 3Update Bot Detection settings (Management API)Auth0 Docs