Salesforce Commerce Cloudのセキュリティを強化するF5 Distributed Cloud Bot Defense

EコマースWebサイトの構築と展開は、これまで以上に容易になっています。しかし残念ながら、Eコマースサイトはサイバー犯罪者にとっても、絶えず変化するさまざまな脅威の標的として、これまで以上に魅力的になっています。その大半を占めるのが、ボット攻撃です。世界有数の小売企業に、規模を問わず利用されている業界トップクラスのソリューション、F5 Distributed Cloud Bot Defenseが、このたびSalesforce Commerce CloudのLINK Marketplaceで利用可能になりました。

米国連邦取引委員会（FTC）のデータによると、2020年に同委員会が消費者から受け取った詐欺被害の報告は210万件を超えました。報告の中で最も多かった詐欺の種類はなりすまし詐欺で、オンラインショッピング関連の詐欺がそれに続きました。消費者が報告した被害総額は33億ドルを超え、2019年の18億ドルから増加しています。2020年の被害額のうち、なりすまし詐欺によるものは約12億ドル、オンラインショッピング関連は約2億4,600万ドルでした。しかも、これはFTCに報告された被害に限られます。

お客さまを保護するだけでなく、eコマース事業者は自社も守る必要があります。脅威は日々増え続けており、アカウント乗っ取り（ATO）、知的財産の窃取、機密データの漏えい、決済プロセスの悪用など、その種類は多岐にわたります。

Salesforce Commerce Cloud (SFCC)

あらゆる規模の企業がB2CおよびB2Bコマースを展開できるよう、Salesforce Commerce Cloud (SFCC)は、「モバイル、ソーシャル、Web、店舗のすべてのチャネルで、ブランドによるインテリジェントで統一された購買体験の創出を可能にする」クラウドベースのプラットフォームを通じて、数千社もの企業とその顧客との取引を支援しています。

SFCCによると、同社のプラットフォームは年間210億ドルの流通取引総額を処理し、毎月5億件を超える個々の買い物客によるサイト訪問を支えています。こうしたアクティビティは企業規模を問わず発生していますが、小売業者の規模にかかわらず、Salesforce Commerce Cloud向けDistributed Cloud Bot Defenseは、世界最大級の小売業者、銀行、航空会社を防御するボット対策ソリューションを提供します。

Salesforce Commerce Cloudにおける悪意のあるボット対策のためのDistributed Cloud Bot Defense

企業のeコマースチャネルがどのプラットフォームに展開されているかにかかわらず、1日のログイン試行の90%以上が人間以外の訪問者によるものであることも珍しくありません。つまり、すなわちボットによるトラフィックです。ボット攻撃のトラフィックでは、すでに出回っている何百万件もの盗難・漏えいした認証情報をボットが次々と繰り返し試します。ユーザー名とパスワードの組み合わせをeコマースプラットフォームに大量に送りつけ、ごく一部でもログインに成功することを狙います。

eコマースサイトでは、1日のログイン試行の90%以上が人間以外の訪問者によるものであることも珍しくありません。

これはクレデンシャルスタッフィングと呼ばれるプロセスで、多大なコストがかかる可能性があります。こうした自動ログイン試行はすべて、帯域幅とアプリケーションリソースを継続的かつ着実に消費します。さらに、ボットの1つが盗まれた認証情報を使ってログインし、アカウント乗っ取り（ATO）に至ると、事態は一層深刻になります。

F5は、有害なボットによるあらゆるネットワークトラフィックを特定し、リソースを消費する前（またはさらに深刻な事態を招く前）にブロックする革新的なサービスを提供しています。Distributed Cloud Bot Defenseは、F5がSFCC専用に提供する認定カートリッジを介してSalesforce Commerce Cloud（SFCC）に迅速かつ容易に統合できるため、eコマースプラットフォームの保護に最適です。

Distributed Cloud Bot Defenseは、Webアプリケーション、モバイルアプリケーション、APIエンドポイントを、放置すれば大規模な不正行為につながる高度な攻撃から保護します。アプリケーションへのリクエストが不正な送信元からのものかどうかをリアルタイムで判定し、リクエストのブロック、リダイレクト、フラグ付けなど、企業が指定したアクションを実行します。

Distributed Cloud Bot Defenseは、世界最大規模の企業を防御してきた長年の経験と機械学習を組み合わせて活用している点で、業界内でも際立っています。つまり、無数の攻撃試行から、極めて詳細なデータを膨大に収集してきました。こうした豊富な経験により、Distributed Cloud Bot Defenseは、個々のリクエストがボットと人間のどちらによるものかだけでなく、その意図が悪意のあるものか無害なものかを識別するうえで、比類のない専門性を備えています。

導入

Distributed Cloud Bot Defenseの導入には、観測と緩和の2つの段階があります。観測段階では、Distributed Cloud Bot Defenseが高度なテレメトリを収集し、防御エンジンが攻撃を検知できるように情報を提供してトレーニングします。これらのシグナルは、WebアプリケーションではJavaScriptを介して、ネイティブモバイルアプリケーションではSDKを介して収集されます。

Distributed Cloud Bot Defense Engineは、あらゆるDistributed Cloud Bot Defense導入環境で意思決定を担うコンポーネントであり、緩和ステージ全体の中核となります。eコマースプラットフォームを標的とする自動化されたトランザクションを検知し、緩和します。不正なリクエストを排除するため、数百ものシグナルを処理し、アプリケーション、ネットワーク、ブラウザ、ユーザーの各レベルで自動化を検知します。

図1：Distributed Cloud Bot Defenseは、Salesforce Commerce Cloudプラットフォーム上の小売サイトを保護するため、APIベースのeコマースセキュリティを提供します。

AIとMLを活用するDistributed Cloud Bot Defenseは、すべてのトランザクションを分析し、各攻撃キャンペーンを詳細に調査することで、今後の攻撃をプロアクティブに認識します。攻撃キャンペーンが何らかの方法で手法を変更し（通常はソフトウェアの更新や新たなプロキシの利用）、F5を回避しようとしても、Distributed Cloud Bot Defenseは数百もの他のシグナルに基づいて、そのキャンペーンを引き続き特定できます。特に重要なのは、あるお客さまで新たな攻撃手法が確認されると、直ちに新しい対策が自動的に導入され、その詳細が共有されるため、他のすべてのF5のお客さまにも即座に同じ対策が適用されることです。

Distributed Cloud Bot Defenseは、SFCCの認定カートリッジを通じてマネージドサービスとして提供され、規模の大小を問わず、あらゆる小売業者に業界をリードするボット管理と保護をもたらします。

Distributed Cloud Bot Defenseは、即座に、ユーザーに意識させることなく動作します。アプリケーションリクエストが不正な送信元からのものだとプラットフォームがリアルタイムで判断すると、その送信元を直ちにブロックします。正規の人間のユーザーに、多要素認証やCAPTCHAなどの効果のない手間を強いることはありません。Distributed Cloud Bot Defenseは、F5認定カートリッジを通じてSFCC上でマネージドサービスとして提供され、業界をリードするボット管理と保護を、規模を問わずあらゆる小売業者にもたらします。

まとめ：Salesforce Commerce Cloudアプリケーションに必要なソリューション、F5 Distributed Cloud Bot Defense

Eコマース詐欺は現実に存在し、拡大を続ける脅威です。B2CおよびB2B事業者は顧客を保護する必要がありますが、その対策によってユーザー体験が損なわれ、顧客離れを招くことがあってはなりません。Salesforce Commerce Cloud（SFCC）は、エンドツーエンドのEコマース体験の展開と運用を支援します。一方、F5 Distributed Cloud Bot Defenseはバックグラウンドで機能し、自動化された不正なボット攻撃トラフィックにさらされるリスクを大幅に低減するとともに、ユーザー体験の妨げとなる要因を取り除くことで、Eコマース関連サービスのセキュリティ確保を支援します。

Distributed Cloud Bot Defenseの詳細については、f5.comにアクセスし、SFCC Marketplaceからカートリッジをダウンロードしてください。

詳細を見る

テクノロジーアライアンス：Salesforce Commerce Cloud向けF5 Distributed Cloud Bot Defense
https://www.f5.com/partners/technology-alliances/salesforce-commerce-cloud

ライトボードレッスン：F5 Distributed Cloud Bot Defense for Salesforce Commerce Cloud
https://youtu.be/YZPdUSuUvko

DevCentralの記事：

導入事例：小売企業がシューズ購入ボットの急増に対処し、不正、購入時の障壁、偽装を解消：
https://www.f5.com/customer-stories/retailer-solves-shoe-bot-spikes-fixes-fraud-friction-and-fake

ユーザー体験を損なわずに不正を阻止：最新のサイバー攻撃を検知し、防御する方法：
https://www.f5.com/resources/library/security/ecommerce

F5 Distributed Cloud Bot Defenseソリューション概要：
https://www.f5.com/pdf/solution-overview/f5-distributed-cloud-bot-defense-overview.pdf

Copyright © 2022 F5, Inc. All rights reserved. 本ウェブサイトに掲載されている素材（グラフィック、テキスト、画像、写真、レイアウトなどを含みますが、これらに限定されません。以下「コンテンツ」）は、米国著作権法により保護されています。F5 Networks, Inc.の事前の書面による同意なく、本ウェブサイトのコンテンツを複写、複製、交換、送信、譲渡、変更、アップロード、ダウンロード、公開、販売、または配布することは一切できません。

課題

Eコマースサイトは常にサイバー攻撃にさらされています
不正行為には、アカウント乗っ取り（ATO）、クレデンシャルスタッフィング攻撃、チェックアウトの悪用、Webスクレイピング、在庫確保妨害など、さまざまな形態があります
サイバー犯罪者にとって、eコマースは大きな利益を得られる標的となり得ます。決済詐欺による損失だけでも、年間200億米ドルを超えると予測されています
攻撃者は通常、あらゆるチャネル（Webとモバイル）を横断して活動します。信頼できるセキュリティソリューションにも、同様の対応が求められます

メリット

不正行為と悪用を大幅に削減
評判の低下を防止
ユーザー体験を妨げる要因を排除
アプリケーションのパフォーマンスと稼働時間を向上
セキュリティを強化

Eコマースサイトで保護すべき3つの重要領域

F5 cartridge for Salesforce Commerce Cloud (SFCC)は、SFCC PlatformとDistributed Cloud Bot Defenseを接続する統合モジュールです。選択したテレメトリをDistributed Cloud Bot Defenseに送信し、推論結果を受信して、攻撃を緩和します。このソリューションとその機能は、以下を含むさまざまな攻撃からeコマースWebサイトを保護するように設計されています。

アカウント乗っ取り：不正行為者がログインアプリケーションに対して数百万件もの盗まれた認証情報を立て続けに試す行為を阻止し、お客さまの顧客アカウントが乗っ取られる前に不正トラフィックを排除します。
チェックアウトの悪用：在庫枯渇攻撃（Denial of Inventory）とも呼ばれます。ボット攻撃では、オンラインチェックアウトを標的にして複数の商品をカートに追加し、購入可能な在庫を減らすことで、別の小売業者を有利にしようとする場合があります。同時に、正規のお客さまにも不便を強いることになります。
Webスクレイピング：製品情報や価格設定は、競争優位性の源泉となることが少なくありません。機密データを保護するため、自動スクレイパーやアグリゲーターがWebサイトからデータを収集する方法を制御します。

Distributed Cloud Bot Defenseは、Open Web Application Security Project®（OWASP）が特定したこれらの手口やその他の悪質な手口から保護します。OWASPは、ソフトウェアのセキュリティ向上に取り組む非営利財団です。