Jetzt ist es an der Zeit, Ihre Maßnahmen zur Bot-Abwehr neu zu bewerten

Jim Downey

Wenn Sie als Sicherheitsexperte glauben, Ihr Problem mit der Bot-Abwehr gelöst zu haben, sollten Sie noch einmal darüber nachdenken.

Bots verursachen enorme finanzielle Schäden: Credential-Stuffing-Bots führen zur Übernahme von Konten, nicht autorisierte Wiederverkäufer-Bots machen Produkteinführungen und zeitlich begrenzte Angebote zum Fiasko, Scraper-Bots beeinträchtigen die Performance und erhöhen die Infrastrukturkosten, und Bots zum Knacken von Geschenkkarten räumen Guthaben ab und verärgern Kunden. Nicht nur die Auswirkungen sind erheblich, auch die Wahrscheinlichkeit eines Angriffs auf online tätige Unternehmen liegt bei nahezu 100 Prozent, da solche Angriffe für Kriminelle äußerst lukrativ sind. Angesichts der schwerwiegenden Auswirkungen und der hohen Wahrscheinlichkeit benötigen Sie eindeutig eine wirksame Sicherheitsstrategie. Wie aktuelle Schlagzeilen jedoch zeigen, entwickeln Angreifer weiterhin Methoden, um gängige Bot-Abwehrmaßnahmen zu umgehen. Daher ist jetzt der richtige Zeitpunkt, Ihre bestehenden Gegenmaßnahmen gegen Bots neu zu bewerten.

Am 24. Januar 2023 sagte Joe Berchtold, Präsident der Ticketmaster-Muttergesellschaft Live Nation, vor dem Justizausschuss des US-Senats aus, dass Wiederverkäufer-Bots für die Probleme des Unternehmens beim Ticketverkauf für Taylor Swifts bevorstehende Tournee verantwortlich gewesen seien. „Dies führte zu einem schrecklichen Kundenerlebnis, das wir zutiefst bedauern“, erklärte Berchtold den Senatoren.

Ebenfalls im Januar 2023 berichtete CNET, dass Tausende Nutzer des Norton-Passwortmanagers benachrichtigt wurden, dass sich möglicherweise ein unbefugter Dritter Zugriff auf ihre personenbezogenen Daten sowie auf die in ihren Tresoren gespeicherten Passwörter verschafft hatte. Gen Digital, die Muttergesellschaft von Norton, führte den Sicherheitsvorfall auf einen von Bots ausgeführten Credential-Stuffing-Angriff zurück. Dieser wurde erkannt, als das IDS (Intrusion Detection System) eine ungewöhnlich hohe Anzahl fehlgeschlagener Anmeldeversuche meldete.

Ticketmaster hatte in die Abwehr von Bots investiert, und wir können davon ausgehen, dass auch Gen Digital entsprechende Schutzmaßnahmen implementiert hatte. Dennoch verursachten Bots weiterhin Sicherheitsvorfälle, beeinträchtigten die Verfügbarkeit und Vertraulichkeit und sorgten zudem für viel negative Presse. Das wirft eine naheliegende Frage auf: Obwohl Anti-Bot-Lösungen seit Jahren verfügbar sind, warum gelingt es so vielen Bot-Abwehrsystemen nicht, bösartige Bots abzuwehren?

Für Unternehmen, die noch immer auf CAPTCHA setzen, liegt die Antwort auf der Hand. CAPTCHA verärgert nicht nur echte Kunden und senkt die Konversionsraten im E-Commerce, sondern ist schlichtweg wirkungslos. Suchen Sie einfach im Internet nach Diensten zum Lösen von CAPTCHAs, und Sie werden mindestens ein Dutzend Anbieter finden, die sich bei Preis und Geschwindigkeit gegenseitig unterbieten. Der Entwickler einer Open-Source-Bibliothek hat es sich zur Aufgabe gemacht, das Umgehen von CAPTCHAs zum Kinderspiel zu machen:

„CAPTCHAs sind in ihrer derzeitigen Form gescheitert. Für Menschen stellen sie ein weitaus größeres Hindernis und Ärgernis dar als für Roboter, wodurch sie nutzlos werden. Mein anarchistischer Beitrag zu dieser Diskussion besteht darin, diese Absurdität aufzuzeigen – mit einem Plugin für Roboter, mit dem eine einzige Codezeile genügt, um reCAPTCHAs auf jeder beliebigen Website zu umgehen.“

Für Unternehmen, die zur Abwehr von Bots auf WAF-basierte IP-Sperrlisten setzen, ist die Aufgabe ebenso aussichtslos. Es gibt Dienste, die Bot-Entwicklern mehrere zehn Millionen private IP-Adressen anbieten, mit denen sich die Bot-Erkennung umgehen lässt. Diese Dienste werden als rotierende Residential Proxys vermarktet: Der Bot sendet http-Anfragen an den Proxy – ähnlich wie viele Browser in Unternehmen Anfragen über Forward Proxys senden – und der Dienst wechselt fortlaufend die öffentliche IP-Adresse, über die die Anfrage an die Website oder API gesendet wird. Früher nutzten Bots in der Regel Rechenzentrums-Proxys, häufig von Cloud-Diensten, die allgemein bekannt und leicht zu erkennen sind. Diese neuen Proxy-Dienste verwenden jedoch private IP-Adressen aus derselben geografischen Region wie Ihre Kunden. Da jede IP-Adresse aufgrund des NATings durch Internetanbieter gleichzeitig entweder einem Bot oder einem legitimen Kunden zugeordnet sein könnte, lassen sich nicht alle diese IP-Adressen sperren, ohne dabei auch echte Kunden abzuweisen.

Noch einen Schritt weiter gehen neue kommerzielle Dienste wie ZenRows, ScrapFly, und ScrapingBee: Sie machen Web-Scraping so einfach wie den Aufruf einer API. Die Dienste übernehmen vollständig die Aufgabe, in Ihrem Namen Bot-Abwehrmaßnahmen zu umgehen. Während sich diese API-basierten Dienste ausschließlich auf Scraping konzentrieren, das in den Vereinigten Staaten und der Europäischen Union legal ist, haben Kriminelle im Darknet Zugang zu ähnlichen Diensten, die bösartigere Bot-Angriffe wie Credential Stuffing durchführen.

Neben kommerziellen Diensten befassen sich auch mehrere Open-Source-Projekte mit der Umgehung von Bot-Schutzmaßnahmen. Ein Stealth-Plugin für Puppeteer, ein beliebtes Automatisierungs- und Testtool für Node.js, ermöglicht es Puppeteer, der Erkennung zu entgehen. Eine aktive Gruppe von Entwicklern pflegt das Projekt auf GitHub und veröffentlicht Updates, sobald bekannt wird, dass es von einer Bot-Abwehr erkannt wird. In der Dokumentation heißt es: „Da dieses Katz-und-Maus-Spiel noch in den Kinderschuhen steckt und sich rasant entwickelt, wird das Plugin so flexibel wie möglich gehalten, um schnelle Tests und Iterationen zu ermöglichen.“ Eine ähnliche Bibliothek namens undetected-chromedriver richtet sich an Python-Entwickler. Ganz im Sinne von Open Source sollen diese Projekte das Web offenhalten, damit Entwickler Anwendungen automatisiert nutzen können. Leider lässt sich diese Funktionalität leicht von Kriminellen ausnutzen.

Da immer mehr Organisationen an der Entwicklung von Open-Source-Projekten und kommerziellen Diensten beteiligt sind, tauschen die Entwickler, die sich mit der Umgehung von Bot-Abwehrmechanismen befassen, Erkenntnisse aus und lernen voneinander. Diese Anleitungen führen die Leser Schritt für Schritt durch die Deobfuskation des JavaScript-Codes von Erkennungstools und zeigen, wie sich entschlüsseln lässt, auf welche Weise diese Tools ihre Daten für die Übertragung an ihren Erkennungsdienst verpacken. Durch Reverse Engineering des clientseitigen Codes finden diese Entwickler heraus, wie Erkennungstools funktionieren. So berichtet beispielsweise ein Entwickler von ZenRows, was er über Fenstergrößen und darüber herausgefunden hat, wie Bot-Erkennungsdienste Unstimmigkeiten erkennen:

„In der Abbildung mit den Beispielsensordaten sehen wir, dass die Fenstergröße übermittelt wird. Die meisten Datenpunkte hängen miteinander zusammen: die tatsächliche und die verfügbare Bildschirmgröße sowie die Innen- und Außenmaße des Fensters. Die Innenmaße sollten beispielsweise niemals größer sein als die Außenmaße. Zufällige Werte funktionieren hier nicht. Man benötigt einen Satz tatsächlicher Größenwerte.“

Angesichts der Schwere der Bedrohung ist es eindeutig an der Zeit, Ihre Maßnahmen zur Bot-Abwehr neu zu bewerten. Als führender Anbieter bei der Wirksamkeit der Bot-Erkennung kann F5 Sie dabei unterstützen. Wenn Sie den tatsächlichen Stand der Wirksamkeit Ihrer Bot-Abwehr verstehen möchten, wissen wollen, welche Bots Ihnen entgehen und welche Kosten dadurch für Ihr Unternehmen entstehen, bietet F5 eine kostenlose Bedrohungsanalyse und eine Beratung zu den geschäftlichen Auswirkungen von Bots an.

Über den Autor

Jim Downey

Weitere Blogbeiträge von Jim Downey