今こそボット対策を見直すとき

Jim Downey

セキュリティ担当者として、ボット対策の問題は解決したとお考えなら、もう一度見直してみてください。

ボットは甚大な経済的損失をもたらします。クレデンシャルスタッフィングを行うボットはアカウント乗っ取りにつながり、無許可の転売業者が使用するボットは製品発売や期間限定キャンペーンを台無しにします。また、スクレイピングボットはパフォーマンスを低下させ、インフラストラクチャコストを増大させます。ギフトカードを不正解析するボットは残高を使い果たし、顧客の不満を招きます。影響が大きいだけでなく、攻撃は犯罪者にとって非常に収益性が高いため、オンラインで事業を展開する企業が攻撃を受ける可能性はほぼ100%です。影響も発生確率も高いことから、効果的なセキュリティ戦略が明らかに必要です。しかし、最近の報道が示すように、攻撃者は一般的に導入されているボット対策を回避する手法を開発し続けています。今こそ、現在導入しているボット対策を見直すべき時です。

2023年1月24日、Ticketmasterの親会社Live Nationの社長であるJoe Berchtold氏は、Taylor Swiftの今後のツアーのチケット販売で混乱が生じた原因は転売ボットにあると、米国上院司法委員会で証言しました。Berchtold氏は上院議員らに対し、「その結果、消費者に非常に不快な体験をさせてしまったことを、深くお詫びします」と述べました。

同じく2023年1月、CNETは報じましたNortonのパスワードマネージャーを利用する数千人に対し、権限のない第三者が、保管庫に保存されたパスワードとともに個人情報へアクセスした可能性があるとの通知が送られました。Nortonの親会社であるGen Digitalは、このセキュリティインシデントについて、IDS（侵入検知システム）が異常に多いログイン失敗を検知したことで発覚した、ボットによるクレデンシャルスタッフィング攻撃が原因だと説明しました。

Ticketmasterはボット対策に投資しており、Gen Digitalも同様に保護対策を講じていたと考えられます。それでもボットはセキュリティ上の被害を引き起こし、可用性と機密性に影響を及ぼしただけでなく、多くの否定的な報道も招きました。ここで当然の疑問が生じます。ボット対策ソリューションは何年も前から提供されているにもかかわらず、なぜ多くのボット防御策は悪意のあるボットを軽減できないのでしょうか。

今なおCAPTCHAに依存している組織にとって、その答えは明らかです。CAPTCHAは、正規の顧客に煩わしさを感じさせ、eコマースのコンバージョン率を低下させるだけで、効果がありません。CAPTCHA解読サービスをWebで検索すれば、価格とスピードを競うサービスが少なくとも十数件見つかります。あるオープンソースライブラリの開発者は、CAPTCHAをいとも簡単に回避できるようにすることを自らの使命としています：

「現在の形のCAPTCHAは失敗に終わっています。ロボットよりも人間にとってはるかに大きな障害であり、煩わしい存在となっているため、役に立ちません。この議論に対する私なりのアナーキスト的な貢献は、この不条理を実証することです。ロボット向けのプラグインを使えば、わずか1行のコードで、どのサイトのreCAPTCHAも回避できます」

WAFベースのIP拒否リストに依存してボットを緩和している組織にとっても、この対策は同様に望みがありません。ボット検知の回避を目的として、ボット作成者に数千万もの住宅用IPアドレスを提供するサービスが存在します。こうしたサービスは「ローテーション型住宅用プロキシ」として宣伝されています。多くの企業のブラウザがフォワードプロキシ経由でリクエストを送信するのと同様に、ボットはプロキシにHTTPリクエストを送信し、サービス側はWebサイトやAPIへのリクエスト送信に使用するパブリックIPアドレスを継続的に切り替えます。従来、ボットは一般に、クラウドサービスなどのデータセンタープロキシを使用していました。これらは広く知られており、容易に特定できます。しかし、こうした新しいプロキシサービスでは、お客さまと同じ地域の住宅用IPアドレスが使用されます。ISPによるNATのため、各IPアドレスがボットと正規のお客さまのどちらを表している可能性もあることから、実際のお客さまからのアクセスを拒否せずに、これらすべてのIPアドレスをブロックすることは現実的ではありません。

さらに一歩進んで、ZenRows、ScrapFly、およびScrapingBeeなどの新しい商用サービスにより、APIを呼び出すだけで簡単にWebスクレイピングを実行できます。これらのサービスは、利用者に代わってボット対策を回避する作業を全面的に担います。こうしたAPIベースのサービスは、米国および欧州連合で合法とされるスクレイピングのみに特化していますが、犯罪者はダークウェブ上で、クレデンシャルスタッフィングなど、より悪質なボット攻撃を実行する同様のサービスを利用できます。

商用サービスに加え、複数のオープンソースプロジェクトがボット対策の回避に取り組んでいます。広く利用されているNode.jsの自動化・テストツールであるPuppeteer向けの「stealth plugin」を使用すると、Puppeteerは検知を回避できます。活発な開発者グループがGitHubでこのプロジェクトを保守しており、ボット対策による検知が確認されるたびにアップデートを公開しています。ドキュメントには、「このいたちごっこはまだ始まったばかりで展開も速いため、迅速なテストと反復に対応できるよう、プラグインは可能な限り柔軟に保たれています」と記載されています。同様のライブラリである「undetected-chromedriver」は、Python開発者向けです。オープンソースの理念に基づき、これらのプロジェクトは、開発者がアプリに対して自動化を実行できるよう、ウェブのオープン性を維持することを目的としています。しかし残念ながら、この機能は犯罪者にも容易に悪用される可能性があります。

オープンソースプロジェクトや商用サービスの開発に携わる組織が増えるにつれ、ボット防御の回避に取り組む開発者は、知見を得て共有するようになっています。こうした手順では、検出ツールのJavaScriptを難読化解除し、検出サービスへの送信に向けてツールがデータをどのようにパッケージ化しているかを解明する方法を段階的に説明しています。これらの開発者は、クライアント側のコードをリバースエンジニアリングすることで、検出ツールの仕組みを明らかにしています。たとえば、ZenRowsのある開発者は、共有しています。ウィンドウサイズと、ボット検出サービスが不整合を捉える仕組みについて得た知見は、次のとおりです。

「センサーデータのサンプル画像を見ると、ウィンドウサイズが送信されていることがわかります。実際の画面サイズ、利用可能なサイズ、内側と外側のサイズなど、ほとんどのデータポイントは相互に関連しています。たとえば、内側のサイズが外側のサイズを上回ることはありません。そのため、ここではランダムな値は使えず、実際のサイズの組み合わせが必要です」

脅威の深刻さを踏まえると、今こそボット対策を見直すべき時です。ボット検知の有効性をリードするF5が、その取り組みを支援します。現在のボット対策が実際にどの程度有効なのか、どのようなボットを見逃しているのか、またそれによってビジネスにどれほどのコストが生じているのかを把握したい場合は、F5が無料の「脅威評価」と「ボットによるビジネスへの影響に関するコンサルテーション」を提供しています。

著者について

Jim Downey

Jim Downeyのその他のブログ記事