F5 Distributed Cloud Bot DefenseでSalesforce Commerce Cloudのセキュリティを確保

F5エコシステム | 2022年5月09日

Ahmed Dessoukiシニアプリンシパル・ビジネスデベロップメントマネージャー | F5

あらゆる規模のB2BおよびB2C事業者にとって、Salesforce Commerce Cloud (SFCC)は、オンライン販売やデジタルストアフロントに関するあらゆるニーズに応える定番プラットフォームとして急速に普及しています。SFCCは、拡張性に優れたクラウドベースのSaaS型eコマースソリューションです。高く評価されている機能と性能を備え、世界的な大手ブランドを惹きつけています。導入企業には、Adidas、Herman Miller、New Balance、PetSmart、Pumaなどが名を連ねます。個人経営の小規模店舗からグローバル小売企業まで、幅広い事業者がこのプラットフォームを採用しているのも不思議ではありません。（実際、Salesforceの2021年度の売上高は前年度比で24%増加しました。）

残念ながら、オンライン小売のような成長分野は、Eコマースサイトを日々絶え間なく攻撃する犯罪者や詐欺行為者にとっても格好の標的です。さらに、オンライン詐欺には、アカウント乗っ取り（ATO）、クレデンシャルスタッフィング攻撃、チェックアウトの悪用、Webスクレイピング、在庫枯渇攻撃など、さまざまな手口があります。その被害額も甚大です。決済詐欺による損失だけでも、年間200億ドル超に上ると推定されています。

F5は、小売業のお客さまに向けて、アプリケーションセキュリティの革新に継続的に取り組んでいます。Salesforce Commerce Cloudとの連携は、オンラインコマースを保護するF5の最も強力なツールを、容易かつコスト効率よく導入・運用できるようにする取り組みの好例です。

eコマースアプリやWebサイトに流入するトラフィックの90%以上が、自動化された攻撃によるものである場合もあります。「クレデンシャルスタッフィング」と呼ばれる手法では、サイバー犯罪者が侵害されたWebサイトから盗まれた、または漏えいした大量のログイン認証情報（ユーザー名とパスワードの組み合わせ）を使用し、別のWebサイトのログインページで試します。サイバー犯罪者は悪意のあるボットを使い、侵害された数十万件、場合によっては数百万件もの認証情報を、一度に1つ以上のWebサイトへ投入（「スタッフィング」）します。その結果、アカウント乗っ取り（ATO）が発生し、攻撃者が銀行口座から資金を引き出したり、高額な買い物をしたり、個人情報を盗んで不正な新規アカウントを作成したりする可能性があります。最悪の場合、攻撃者はユーザー権限の昇格を試み、組織のネットワークへの足掛かりを得て、さらに深刻な結果をもたらす重大な攻撃を実行します。

図1：クレデンシャルスタッフィング攻撃は、憂慮すべきほど容易かつ低コストで実行できる

攻撃が成功しなくても、その試行はすべて小売業者のコスト負担につながります。自動ログイン試行によって、帯域幅とリソースが常に消費され続けるためです。ボット対策ソリューションを導入していない場合、こうしたボット攻撃によってサイトやアプリの速度が低下し、ビジネスパフォーマンスが悪化します。その影響は顧客にもすぐに認識されます。顧客体験への悪影響を迅速に解消できなければ、顧客は他の小売業者へ流れてしまいます。最近の調査によると、自動化されたボットによる平均的な企業の損失は、収益の3.6%に相当します。影響が特に深刻な上位25%の企業では、年間損失額は少なくとも2億5,000万米ドルに上ります。

F5は、有害なネットワークトラフィックやボットによるネットワークトラフィックを幅広く識別する、最先端のソリューション群を先駆けて開発してきました。F5のソリューションは、アプリケーションリクエストが不正な送信元からのものかどうかをリアルタイムで判定し、リクエストのブロック、リダイレクト、フラグ付けなど、企業が指定したアクションを実行します。これにより、企業の不正対策を事後対応型から事前対応型へと転換できます。では、その実現に向けてF5はどのように支援できるのでしょうか。

図2：Distributed Cloud Bot Defenseは、Salesforce Commerce Cloudプラットフォーム上のeコマースを保護するAPIベースのセキュリティを提供します

お客さまを支援する有力な方法の1つが、統合ソリューションを通じて、Salesforce Commerce Cloudのお客さまにDistributed Cloud Bot Defenseを提供することです。このソリューションは、F5/SFCC認定コネクターであるF5 Cartridgeによって実現されており、こちらからダウンロードできます。F5 Distributed Cloud Bot Defenseは、複数のベンダーが提供する複数の製品やソリューションを使用しても同等の成果を得られない可能性がある高度なセキュリティを提供することで、SFCC eコマース環境全体の複雑さを軽減します。

F5のエグゼクティブバイスプレジデント兼セキュリティ担当ゼネラルマネージャーであるHaiyan Songは、次のように述べています。「F5とSalesforce Commerce Cloudの連携は、お客さまとデジタルコマース業界に大きなメリットをもたらします。業界をリードする2社の協業により、Distributed Cloud Bot DefenseをSalesforce Commerce Cloudと緊密に統合し、ユーザー体験を損なうこともパフォーマンスを犠牲にすることもなく、詐欺行為やボット攻撃からアプリケーションを保護する革新的なセキュリティを提供します。両社のお客さまがSFCC向けDistributed Cloud Bot Defenseを活用することで、セキュリティをコストセンターから収益を生み出す機能へと転換し、顧客体験の向上とビジネスへの効果を明確に実証、測定できるようになります。」

運用の手間を最小限に抑え、顧客全体で連携して防御することで、Distributed Cloud Bot Defenseを導入し、高度で巧妙に改変された攻撃を防ぎ、あらゆるチャネル（Web、モバイル、API）を保護するなど、さまざまな対策を実現できます。実際、SFCC環境へのDistributed Cloud Bot Defenseの導入プロセスは非常に簡単です。こちらのパートナーのユースケースでは、eコマースプラットフォームが十分に保護されていない場合のリスクと、Distributed Cloud Bot Defenseを使用してSalesforce Commerce Cloudアプリケーションのセキュリティを確保することがいかに簡単かをご確認いただけます。

（このコンテンツの旧版は2021年後半に公開されました。）