Funkcjonalność

Ograniczanie ruchu z adresów IP (IP throttling)

Jak działa: Spowalnia serie nieudanych logowań z tego samego adresu.

CIC

W skrócie

IP throttling spowalnia serię nieudanych prób logowania z jednego adresu IP - atakujący tracą szybkość potrzebną do wypróbowania wielu haseł, podczas gdy prawdziwi klienci mogą logować się dalej ze swoich adresów.12

Umów rozmowęJak to robi Auth0 ↓
5
rodzajów ataków, przed którymi pomaga chronić

Co to jest i jakie ataki zatrzymuje

Wiele ataków na stronę logowania pochodzi z jednego adresu, bo to najtańszy sposób wysyłania dużej liczby żądań. Im szybciej adres je wysyła, tym więcej haseł może wypróbować.

IP throttling ogranicza tę szybkość. Suspicious IP Throttling zlicza nieudane próby logowania z danego adresu, a Auth0 może ograniczyć ruch, gdy liczba jest nietypowo wysoka.1

To pomaga przy atakach, takich jak:

1

Zgadywanie haseł metodą brute-force

Atakujący próbuje wielu haseł do jednego konta tak szybko, jak da się wysyłać żądania.

2

Credential stuffing z jednego źródła

Atakujący testują losowe wyciekłe pary adresu e-mail i hasła na Twojej stronie logowania.

3

Password spraying

Jeden adres próbuje kilku popularnych haseł na wielu kontach, więc żadne pojedyncze konto nie wykazuje wielu niepowodzeń.

4

Masowa rejestracja z jednego adresu

Skrypt zakłada w krótkim czasie wiele fałszywych kont z tego samego adresu.

5

Enumeracja kont

Jeden adres próbuje wielu adresów e-mail, aby ustalić, które z nich mają u Ciebie konto.

Przed i po wdrożeniu funkcjonalności

Przed
Po
PrzedJeden adres może próbować haseł tak szybko, jak potrafi wysyłać żądania.
PoAuth0 może ograniczyć ruch z adresu, który wykonuje nietypowo dużo prób.1
PrzedAtak z jednego adresu trwa, dopóki ktoś go nie zauważy i nie zablokuje adresu ręcznie.
PoOgraniczanie ruchu działa automatycznie przy logowaniu i rejestracji.1
PrzedZaufana sieć biura lub partnera dostaje takie same limity jak reszta internetu.
PoZaufane adresy IP można dodać do listy dozwolonych (allowlist).1

Jak to robi Auth0

Auth0 Suspicious IP Throttling obserwuje próby przychodzące z każdego adresu IP i spowalnia adres, który zachowuje się nietypowo.1

1

Żądania przychodzą z adresu

Klienci i atakujący wysyłają żądania logowania i rejestracji do Twojego tenanta Auth0.1

2

Auth0 obserwuje liczbę prób

Auth0 śledzi, ile prób pochodzi z każdego adresu IP.1

3

Ograniczenie włącza się, gdy wzorzec jest nietypowy

Gdy adres wykonuje nietypowo dużo prób, Auth0 może ograniczyć ruch z tego adresu.1

4

Ustawienia i lista dozwolonych adresów wyznaczają wyjątki

Możesz skonfigurować ochronę i wskazać zaufane adresy IP, których nie należy ograniczać.12

CIC
Kogo chroniUżytkownicy Twojej aplikacji
Suspicious IP ThrottlingAuth0 Attack Protection zawiera ograniczanie ruchu z adresów, które wykonują nietypowo dużo prób logowania lub rejestracji.12
Lista dozwolonych adresów IP (allowlist)Zaufane adresy IP można dodać do listy dozwolonych, aby nie były ograniczane.1
Ochrona przed atakami brute-forceAuth0 oferuje też ochronę przed powtarzanymi nieudanymi próbami na pojedynczym koncie.3

Jak wdrażamy to w Zelto

Limity zapewnia Auth0 - Zelto sprawdza z Tobą, skąd łączą się Twoi klienci, na przykład z biur współdzielonych, sieci komórkowych i serwerów pośredniczących partnerów, aby ograniczanie ruchu spowalniało atakujących i nie obejmowało tych klientów. Planujemy wdrożenie etapami, aby zminimalizować ryzyko i skutki, a supportowi dajemy jasną odpowiedź dla klienta, który zgłasza, że jego ruch został ograniczony.

Typowy przebieg wdrożenia

  1. Sprawdzamy, skąd pochodzą logowania

    Przeglądamy Twoje logi pod kątem adresów, sieci i partnerów, którzy wysyłają ruch logowania i rejestracji.

  2. Budujemy listę dozwolonych adresów

    Spisujemy zaufane adresy, takie jak Twoje biura i systemy partnerów, i ustalamy, kto po Twojej stronie zatwierdza zmiany na tej liście.

  3. Przeglądamy ustawienia ochrony

    Sprawdzamy, czy ograniczanie ruchu i brute-force protection są włączone oraz czy reakcje pasują do tego, jak logują się Twoi klienci.

  4. Przygotowujemy support

    Piszemy krótką instrukcję dla supportu, aby klient, którego ruch został ograniczony, usłyszał, co się stało i co zrobić dalej.

  5. Obserwujemy i dostosowujemy

    Ograniczony ruch przeglądamy regularnie, a listę dozwolonych adresów i ustawienia aktualizujemy, gdy zmieniają się klienci lub ataki.

Pułapki, które uwzględniamy w planie

Wielu klientów korzysta z jednego adresu, na przykład biura lub sieci komórkowej.

−Traktujemy każdy adres jak jednego klienta. Jeden hałaśliwy użytkownik powoduje ograniczenie ruchu dla wszystkich za tym adresem.

+Sprawdzamy, skąd łączą się klienci, dodajemy zaufane sieci do listy dozwolonych i po wdrożeniu obserwujemy ograniczony ruch.

Atakujący zmieniają swoje adresy.

−Polegamy wyłącznie na ograniczaniu ruchu z adresów IP. Każdy nowy adres zaczyna ze świeżym limitem.

+Łączymy je z wykrywaniem botów i wykrywaniem wyciekłych haseł, aby atakujący nie ominęli wszystkich kontroli samą zmianą adresu.

Twoje własne testy albo integracja partnera wysyłają dużo żądań.

−Uruchamiamy testy obciążeniowe lub integracje na produkcji bez uprzedzenia nikogo (co powoduje ograniczenia ruchu).

+Używamy środowiska testowego albo dodajemy źródło do listy dozwolonych na czas testu, z wyznaczonym właścicielem, który przegląda ten wpis.

Klient ma ograniczony ruch i dzwoni do supportu.

−Support nie ma wyjaśnienia, więc prosi klienta o spróbowanie ponownie.

+Support ma instrukcję, która wyjaśnia, co się stało, i sprawdza logi logowań, zanim cokolwiek zaproponuje.

Chcesz zatrzymywać serie nieudanych logowań już przy wejściu?

Sprawdzimy, skąd dziś pochodzi ruch logowania do kont Twoich klientów. Potem powiemy, od czego zacząć.

Umów rozmowę30 minut, bez prezentacji. Sprawdzamy dzisiejsze procesy logowania Twoich klientów.

Źródła

Oficjalna dokumentacja Okta i Auth0 oraz źródła prawne

  1. 1Suspicious IP throttlingAuth0 Docs
  2. 2Attack protectionAuth0 Docs
  3. 3Brute-force protectionAuth0 Docs