ボットセキュリティとは、オンラインコマースを支援するボット、AlexaやSiriのようなパーソナルアシスタント、Webサイト上のカスタマーサービスを自動化するチャットボットなどの有益なボットに影響を与えることなく、悪意のあるボットから保護し、オンラインリソースの完全性と可用性を確保する取り組みです。
ボットセキュリティとは
悪意のあるボットがもたらす脅威
悪意のあるボットは、データの侵害やサービスの妨害など、さまざまな形でビジネスに損害を与え、デジタルエコシステムに重大な脅威をもたらします。
ボットは、システムに侵入し、個人データ、財務記録、知的財産などの機密情報を外部に持ち出すようプログラムできます。また、認証情報を悪用した攻撃で主に使用されるデジタルツールでもあります。さらに、データベースやストレージシステム内のデータを操作または改ざんし、金銭的損失や記録の不正確化を招く可能性もあります。
ボットは、オンラインサービスやシステムの妨害にも利用されます。犯罪者は、接続された複数のデバイスから多数のボットを操り、Webサイト、サーバー、ネットワークに対して、分散型サービス拒否（DDoS）攻撃を仕掛けて過負荷状態にし、正規のユーザーがサービスを利用できないようにすることがあります。
ボットの活動は、企業の財務面での成功にも深刻な悪影響を及ぼす可能性があります。ブランドの評判を損ない、在庫を操作し、金融詐欺につながり得るアカウント乗っ取り（ATO）を可能にするためです。
サイバーセキュリティにおけるボットの種類
サイバーセキュリティの観点では、ボットは主に悪意のあるボットと防御用ボットの2種類に分けられます。
悪意のあるボット
サイバー犯罪者は、悪意のあるボットをプログラムし、Webプロパティやアプリケーション全体の攻撃対象領域を悪用しようとする、巧妙かつ複雑で検知されにくい多様な攻撃を仕掛けます。人の介入なしで動作するよう設計されたこれらのボットは、マルウェアの拡散、DDoS攻撃の実行、機密情報の窃取、不正行為などを行うことがよくあります。悪意のあるボットは、ネットワークへの侵入、データの完全性の侵害、サービスの妨害を引き起こす可能性があり、重大なサイバーセキュリティ上の脅威となります。その活動は、ソフトウェアの脆弱性の悪用からソーシャルエンジニアリング攻撃まで多岐にわたり、最終的には損害や金銭的損失をもたらしたり、システムや機密情報への不正アクセスを実現したりすることを目的としています。
防御的なボット対策
防御型ボット制御とは、さまざまなセキュリティ上の脅威や攻撃からコンピューターシステム、ネットワーク、Webプラットフォームを保護するために設計された、自動化プログラムやメカニズムの別称です。これらのボットは多様な方法で動作し、デジタル資産を保護するとともに、情報の完全性、機密性、可用性を確保します。
こうした防御用の自動化には、既知のマルウェアに関連するパターンや挙動を特定するために、シグネチャベースの検出、振る舞い分析、ヒューリスティックを使用する「アンチウイルスボット」が含まれます。防御用ボットは「ファイアウォールによる保護」の一部としても使用され、データパケットを分析し、事前定義されたセキュリティルールを適用することで、受信および送信ネットワークトラフィックを監視し、トラフィックを許可するかブロックするかを判断します。特にWebアプリケーションファイアウォール（WAF）は、振る舞い分析を組み込んでおり、機械学習による自動保護を提供する高度なボット管理制御と統合できます。
侵入検知・防御システム（IDPS）でも、防御ボットを使用しています。特定のIPアドレスのブロック、ファイアウォールルールの変更、セキュリティ担当者へのアラート通知など、対応の自動化と脅威インテリジェンスの活用により、セキュリティインシデントをプロアクティブに特定して防止します。また、防御ボットは、DDoS攻撃に関連するパターンを特定し、サービスの可用性を維持するための対策を講じることで、ボットネットに関連する悪意のあるトラフィックをフィルタリングし、迂回させることもできます。こうした対策には、ファイアウォールルールを動的に更新して攻撃元からのトラフィックをブロックし、悪意のあるボットによるネットワークへのさらなるアクセスを防ぐことなどが含まれます。
サイバーセキュリティにおけるボットの例
ボット攻撃にはさまざまな形態があり、多様な種類の組織が標的となる可能性があります。
- クレデンシャルスタッフィング。ボット攻撃で最も一般的な形態の1つが、クレデンシャルスタッフィングです。これは、さまざまな不正行為の主な手段となるアカウント乗っ取り（ATO）につながります。この2段階のサイバー犯罪は、通常はユーザー名とパスワードの組み合わせであるユーザー認証情報を窃取または収集することから始まります。認証情報は、さまざまなサイバー攻撃やその他のサイバー犯罪手法によって窃取されるほか、ダークウェブのマーケットプレイスで購入されることもあります。攻撃者は、有効な認証情報を大量に蓄積すると、侵害された多数の認証情報を別のサイトのWebサイトログインフォームで試すことで、多くの場合は極めて大規模なクレデンシャルスタッフィングを開始できます。消費者の約3分の2が複数のWebサイトで同じユーザー名とパスワードを使い回しているため、漏えいした認証情報は、サイバー犯罪者とその配下の自動化ボット群に容易に悪用されます。漏えいした認証情報のかなりの割合が、他のサイトのアカウントへのアクセスにも使用できるためです。攻撃者はアカウントを乗っ取ると、認証情報を変更して正規のアカウント所有者を締め出し、資産を奪い、そのアカウントを利用してさらなる不正行為に及ぶ可能性があります。
- コンテンツスクレイピング。コンテンツスクレイピングを目的としたボットの使用は、正当な影響と有害な影響の両方をもたらします。コンテンツスクレイピングでは、自動化されたボットを使用して対象のWebサイトから大量のコンテンツを収集し、そのデータを分析したり、別の場所で再利用したりします。コンテンツの収集は、価格の最適化や市場調査などの有益な目的に利用できる一方、価格操作や著作権で保護されたコンテンツの窃取など、悪意のある目的にも利用される可能性があります。また、コンテンツスクレイピングが大量に行われると、サイトのパフォーマンスに影響し、正規ユーザーがサイトにアクセスできなくなる可能性もあります。
- DDoS攻撃DDoS攻撃は、犯罪者が複数の送信元から大量のボットを操ったり、攻撃者の制御下にある侵害されたコンピューターやデバイスのネットワークであるボットネットを利用したりして、サイトのパフォーマンス低下を狙う攻撃です。攻撃者は複数の送信元を連携させ、標的に対して同時に攻撃を仕掛けることで処理能力を超過させ、利用不能に陥らせます。DDoS攻撃は、オンラインサービスの可用性と完全性を損ない、深刻な混乱を引き起こす可能性があります。また、金銭的損失、恐喝、評判の低下につながるおそれもあります。
- 在庫の買い占め購入ボットとも呼ばれる転売ボットは、オンラインの商品やサービスが発売されると同時に大量購入するために使用されます。犯罪者は決済手続きを瞬時に完了することで、価値の高い在庫を大量に確保し、通常は流通市場で大幅に値上げして転売します。こうしたボットにより、犯罪者は在庫や価格を操作できるようになり、人為的な品薄、在庫の入手困難、消費者の不満を引き起こします。
- 偽アカウントの作成。サイバー犯罪者は、ボットを使用してアカウント作成プロセスを自動化し、偽アカウントを悪用して、製品レビューの操作、偽情報の拡散、マルウェアの配布、特典プログラムや割引プログラムの不正利用、スパムの作成と送信などの不正行為を行います。同様に、犯罪者はボットをプログラムし、クレジットカードやローンを申し込ませることで、金融機関に対する詐欺を働くこともできます。
- ギフトカードクラッキング。攻撃者はボットを使用して数百万通りものギフトカード番号を照合し、残高のあるカード番号を特定します。残高のあるカード番号を特定すると、正規の利用者が使用する前に、そのギフトカードを使用したり売却したりします。旅行業界やホスピタリティ業界のロイヤルティプログラムも、こうしたボットベースの攻撃の標的となります。
ボット攻撃の手口
ボット攻撃は、組織のネットワークに深刻な悪影響を及ぼし、事業運営に重大な損害を与える可能性があります。
データ窃取は、ボット攻撃によって生じ得る最も深刻な結果の1つです。ボットは、Webサイト、データベース、APIから組織的にデータを収集するようプログラムできるためです。収集されるデータには、知的財産、営業秘密、その他の専有情報が含まれる可能性があり、競争優位性の喪失やブランド評価の低下につながるおそれがあります。また、顧客情報が窃取されると、データ保護規制への準拠が損なわれ、罰金や法的責任につながる可能性もあります。
ボット攻撃は、サービスを妨害し、金銭的損失や顧客からの信頼低下を招くことで、組織に甚大な被害をもたらす可能性があります。ボットによる攻撃を緩和しない場合に生じる深刻な結果の1つがDDoSです。これは、犯罪者がボットネットを操ってネットワークリソースを過負荷状態にし、サービスを停止させる攻撃です。
クレデンシャルスタッフィングやアカウント乗っ取り攻撃によって、正規のお客さまが自身のアカウントから締め出され、取引できなくなることで、サービスが中断する場合もあります。お客さまがアカウントにアクセスできなくなるだけでなく、侵害されたアカウントを掌握した犯罪者が、そのアカウントを不正取引に悪用する可能性もあります。
セキュリティボットの設定方法
悪意のあるボット攻撃から保護するためのセキュリティボット対策の設定には、いくつかの重要な手順があります。
1. ボットトラフィックを特定
システムや業界に固有の潜在的なボット脅威を特定するため、詳細な分析を実施します。IP分析などの手法を用いて、送信元IPアドレスに基づき受信トラフィックの特性を調べます。これにより、既知の悪意あるIPアドレスや不審な挙動に関連するパターンを特定し、ボットトラフィックと正規ユーザーのアクティビティを区別しやすくなります。ボットのアクティビティに関連する既知の悪意あるIPアドレスの拒否リストを管理します。
IPアドレスの位置情報を分析して異常を検出します。通常とは異なる地域からトラフィックが突然急増した場合、ボットネットの存在を示している可能性があります。また、多くの自律システム番号（ASN）は、攻撃者が検出を回避するため、攻撃キャンペーン用の分散インフラストラクチャを構築する際に使用することが知られています。ユーザーエージェント分析では、ユーザーエージェントシグネチャを調べ、リクエストを送信しているクライアントの種類を特定します。ボットは一般的なパターンから外れた汎用または改変されたユーザーエージェントを使用することが多いため、正規ユーザーと区別できます。
2. 行動分析を実施する
行動分析を使用して受信トラフィックを評価し、ボットの活動を示す可能性のあるパターンや異常を特定します。この方法は、人間の行動を模倣しようとする高度なボットに対して特に効果的です。ボットのセッションは正規ユーザーよりも短く、変化に乏しいことが多いため、ユーザーセッションの継続時間と流れを調べます。また、Webサイトやアプリケーションの操作に、反復的、高速、または人間らしくないパターンが見られる場合もあります。一部の高度な行動分析メカニズムでは、マウスの動きやクリックを追跡し、人間による操作と自動化された操作を区別します。
3. Web Application Firewall（WAF）を設定する
WAFは、Webアプリケーションとインターネットの間で防御壁として機能し、さまざまなサイバー脅威からデータとWebアプリケーションを保護するとともに、許可されていないデータがアプリケーション外に流出するのを防ぎます。WAFには、悪意のあるボットトラフィックを検知して緩和し、Webスクレイピング、クレデンシャルスタッフィング、自動化された攻撃などの悪意ある活動を防止する機能が含まれています。また、一定期間内に特定のIPアドレスから送信できるリクエスト数を制限するレート制限およびスロットリングの仕組みにより、DDoS攻撃の影響緩和を支援します。さらに、SQLインジェクション、クロスサイトスクリプティング（XSS）、クロスサイトリクエストフォージェリ（CSRF）など、その他の悪意ある攻撃や自動化された攻撃からWebアプリケーションとシステムを保護できます。
WAFには複数の導入方法があり、アプリケーションの導入先、必要なサービス、希望する管理方法、求めるアーキテクチャの柔軟性とパフォーマンスのレベルに応じて選択できます。また、WAFは、攻撃者が悪意のあるキャンペーンの手法を変えても有効性とレジリエンスを維持できる、専用のボット管理制御と統合することも可能です。ニーズに適したWAFと導入形態を選ぶ際は、こちらのガイドをご覧ください。
4. 専用のボット管理を導入
セキュリティは、攻撃者が使用するツール、手法、意図にかかわらず、対策の回避を狙って攻撃手段を変更する動きに適応すると同時に、ログインプロンプト、CAPTCHA、MFAによってユーザーに負担をかけないことが求められます。これには、Webアプリケーション、モバイルアプリケーション、APIインターフェースを対象としたオムニチャネル保護、リアルタイムの脅威インテリジェンス、AIを活用した事後分析が含まれます。
クラウドやアーキテクチャを横断する可視性と、永続性があり難読化されたテレメトリを、共同防御ネットワークおよび高度にトレーニングされた機械学習モデルと組み合わせることで、ボット、自動化された攻撃、不正行為を比類のない精度で検知し、抑止します。攻撃者が対策を回避するために手法を変更して適応しても、緩和策の効果を最大限に維持できるため、正規のお客さまに負担をかけることなく、極めて高度なサイバー犯罪者や国家主体による攻撃も阻止できます。
ボットセキュリティのベストプラクティス
効果的なボットセキュリティを維持するためのベストプラクティスは次のとおりです。
- ボットトラフィックをプロアクティブに監視し、脅威に迅速に対応する。定期的な監視により、組織はWebトラフィックの通常の挙動を示すベースラインを確立できます。これにより、パターンの逸脱や異常を早期に検出し、潜在的なボット活動の兆候を把握できます。早期に検出することで、ボットが重大な被害をもたらす前に迅速に対応できます。また、脅威の状況は絶えず変化しており、新たなボット攻撃手法が次々と出現しています。定期的に監視することで、セキュリティチームは最新の傾向を把握し、新たな脅威が発生した時点で特定できます。リアルタイムインテリジェンスと、人間が支援するAIを用いた事後分析を組み合わせることで、防御側は対策を調整し、攻撃者による攻撃手法の再構築を阻止して無力化できます。
- 不審なボットアクティビティに対するリアルタイムアラートを設定するロギングおよびアラートシステムを使用して、不審な挙動を即座に通知できるようにします。ログを定期的に確認し、パターンや潜在的なセキュリティインシデントを特定します。ボット関連の攻撃が発生した場合に実施すべき手順を定めた、包括的なインシデント対応計画を策定します。多くのベンダーは、組織によるリスク分析と必要な保護対策の導入を支援するため、継続的な監視と定期的な脅威ブリーフィングを提供しています。
- セキュリティパッチを体系的に適用する運用体制を整備する。セキュリティパッチやシステムアップデートを速やかに適用することで、既知の脆弱性を狙う悪意のあるボットに悪用されるリスクを軽減できます。また、システムに定期的にパッチを適用すると、攻撃対象領域が縮小し、未公開の脆弱性をボットが悪用しにくくなるため、ゼロデイ攻撃に対する保護も強化されます。ただし、多くのボットは、ソフトウェアの脆弱性や弱点を悪用するのではなく、ログオン、アカウント作成、パスワードのリセットなどの重要なビジネスロジックに内在する脆弱性を狙って悪用する点に注意が必要です。
F5が支援できること
悪意のあるボット攻撃がますます巧妙化し、悪質かつ危険になる中、サイバー犯罪者とセキュリティチームの軍拡競争も激しさを増しています。脅威とその緩和策が絶えず進化し続けることを前提に、ボットセキュリティも攻撃者の先を行き、レジリエンスを維持するために進化を続けています。
ボットの脅威を軽減する最善の方法は、多層型のセキュリティアプローチを採用し、変化する攻撃ベクトルに対応するとともに、脆弱性や脅威が悪用される前に特定して対処することです。ボットによる影響に対処できるよう組織として事前に備えることで、知的財産、顧客データ、重要なサービスを自動化された攻撃から保護しやすくなります。
F5 Distributed Cloud Bot Defenseは、Webアプリケーション、モバイルアプリケーション、APIインターフェースをオムニチャネルで保護する機能を含む、リアルタイムの監視とインテリジェンスを提供し、自動化された攻撃から組織を保護します。Distributed Cloud Bot Defenseは、リアルタイムの脅威インテリジェンス、AIを活用した事後分析、セキュリティオペレーションセンター（SOC）による継続的な監視を利用し、高度なサイバー攻撃を阻止するレジリエンスを備えたボット対策を実現します。攻撃者が手法を変更しても、WebアプリケーションからAPIへ攻撃対象を移しても、テレメトリの偽装や人間によるCAPTCHA解読サービスの利用によって自動化対策を回避しようとしても、F5のソリューションは有効性を維持します。
F5は、高度なオンラインセキュリティを実現するため、多層型DDoS防御も提供しています。これは、大規模なネットワーク攻撃、プロトコル攻撃、アプリケーションを標的とする攻撃をリアルタイムで検知・緩和する、クラウド提供型のマネージド緩和サービスです。同等の防御機能は、オンプレミスのハードウェア、ソフトウェア、ハイブリッドソリューションとしても利用できます。F5 Distributed Cloud DDoS Mitigationは、ネットワークインフラストラクチャやアプリケーションに到達する前に、ボリューム型攻撃、アプリケーション固有のレイヤー3～4攻撃、高度なレイヤー7攻撃を防御します。
