Se você, como profissional de segurança, acha que resolveu seu problema de mitigação de bots, pense novamente.
Os bots causam enormes prejuízos financeiros: bots de preenchimento de credenciais levam à invasão de contas; bots de revendedores não autorizados transformam lançamentos de produtos e ofertas por tempo limitado em um fiasco; bots de coleta de dados reduzem o desempenho e aumentam os custos de infraestrutura; e bots que tentam descobrir códigos de cartões-presente esvaziam os saldos e enfurecem os clientes. Além do grande impacto, a probabilidade de um ataque contra empresas on-line é de quase 100%, pois esses ataques são extremamente lucrativos para os criminosos. Diante do alto impacto e da elevada probabilidade, fica claro que você precisa de uma estratégia de segurança eficaz. No entanto, como demonstram as manchetes recentes, os invasores continuam desenvolvendo formas de contornar as defesas contra bots mais utilizadas, o que torna este o momento ideal para reavaliar as contramedidas que você adotou contra bots.
Em 24 de janeiro de 2023, Joe Berchtold, presidente da Live Nation, empresa controladora da Ticketmaster, testemunhou perante o Comitê Judiciário do Senado dos EUA que bots de revendedores foram responsáveis pelos problemas na venda de ingressos para a próxima turnê de Taylor Swift. “Foi isso que resultou em uma péssima experiência para os consumidores, o que lamentamos profundamente”, disse Berchtold aos senadores.
Também em janeiro de 2023, a CNET informou que milhares de usuários do gerenciador de senhas Norton receberam avisos de que uma parte não autorizada poderia ter obtido acesso às suas informações pessoais, bem como às senhas armazenadas em seus cofres. A Gen Digital, empresa controladora da Norton, atribuiu o incidente de segurança a um ataque de preenchimento de credenciais realizado por bots, detectado quando seu sistema IDS (Sistema de Detecção de Intrusões) sinalizou um número excepcionalmente alto de tentativas de login malsucedidas.
A Ticketmaster havia investido na mitigação de bots, e podemos presumir que a Gen Digital também contava com proteções. Ainda assim, os bots causaram danos à segurança, afetando a disponibilidade e a confidencialidade, além de gerar muita publicidade negativa. Isso levanta uma questão óbvia: embora as soluções antibot estejam disponíveis há anos, por que tantas defesas contra bots não conseguem mitigar bots maliciosos?
Para as organizações que ainda dependem de CAPTCHA, a resposta é óbvia. Além de incomodar clientes reais e reduzir as taxas de conversão no comércio eletrônico, o CAPTCHA não funciona. Basta pesquisar na web por serviços de resolução de CAPTCHA para encontrar pelo menos uma dúzia deles competindo em preço e velocidade. O criador de uma biblioteca de código aberto assumiu como missão tornar extremamente fácil burlar o CAPTCHA:
“Os CAPTCHAs, em sua forma atual, fracassaram. Eles são um obstáculo e um incômodo muito maiores para os seres humanos do que para os robôs, o que os torna inúteis. Minha contribuição anarquista para essa discussão é demonstrar esse absurdo com um plugin para robôs que permite burlar reCAPTCHAs em qualquer site com uma única linha de código.”
Para as organizações que dependem de listas de bloqueio de IP baseadas em WAF para mitigar bots, a tarefa é igualmente impossível. Há serviços que oferecem aos criadores de bots dezenas de milhões de endereços IP residenciais destinados a contornar a detecção de bots. Esses serviços são anunciados como proxies residenciais rotativos; o bot envia solicitações http ao proxy, de forma semelhante a muitos navegadores corporativos que enviam solicitações por meio de proxies de encaminhamento, e o serviço alterna continuamente o endereço IP público usado para enviar a solicitação ao site ou à API. No passado, os bots normalmente usavam proxies de data centers, muitas vezes provenientes de serviços de nuvem, que são bem conhecidos e fáceis de identificar. No entanto, esses novos serviços de proxy usam endereços IP residenciais da mesma região geográfica que seus clientes. Como cada endereço IP pode representar simultaneamente um bot ou um cliente legítimo devido ao uso de NAT pelos provedores de internet, não é viável bloquear todos esses endereços IP sem também impedir o acesso de seus clientes reais.
Indo um passo além, novos serviços comerciais como ZenRows, ScrapFly, e ScrapingBee tornam a raspagem da web tão simples quanto fazer uma chamada de API. Esses serviços assumem total responsabilidade por contornar as defesas contra bots em seu nome. Embora esses serviços baseados em API se concentrem exclusivamente em raspagem, uma prática legal nos Estados Unidos e na União Europeia, criminosos têm acesso a serviços semelhantes na dark web que realizam ataques de bots mais maliciosos, como o preenchimento de credenciais.
Além dos serviços comerciais, vários projetos de código aberto estão buscando formas de contornar as defesas contra bots. Um plugin furtivo para o Puppeteer, uma ferramenta popular de automação e testes para Node.js, permite que o Puppeteer evite a detecção. Um grupo ativo de desenvolvedores mantém o projeto no GitHub e lança atualizações sempre que se descobre que uma defesa contra bots consegue detectá-lo. Segundo a documentação: “Como esse jogo de gato e rato ainda está no início e evolui rapidamente, o plugin é mantido o mais flexível possível para permitir testes e iterações rápidas.” Uma biblioteca semelhante, a undetected-chromedriver, é voltada para desenvolvedores Python. Seguindo o espírito do código aberto, o objetivo desses projetos é manter a web aberta para que os desenvolvedores possam executar automações em aplicativos. Infelizmente, essa funcionalidade pode ser facilmente explorada por criminosos.
Com mais organizações envolvidas na criação de projetos de código aberto e serviços comerciais, os desenvolvedores que trabalham para contornar as defesas contra bots aprendem e compartilham informações. Essas instruções orientam os leitores pelas etapas de desofuscação do JavaScript das ferramentas de detecção e de compreensão de como essas ferramentas empacotam seus dados para enviá-los ao serviço de detecção. Por meio da engenharia reversa do código do lado do cliente, esses desenvolvedores identificam como as ferramentas de detecção funcionam. Por exemplo, um desenvolvedor da ZenRows compartilha o que aprendeu sobre o dimensionamento de janelas e como os serviços de detecção de bots identificam inconsistências:
“Na imagem de exemplo dos dados do sensor, podemos ver que o tamanho da janela é enviado. A maioria dos pontos de dados está relacionada: dimensões reais e disponíveis da tela, além das dimensões internas e externas da janela. As dimensões internas, por exemplo, nunca devem ser maiores que as externas. Valores aleatórios não funcionarão aqui. Seria necessário usar um conjunto de dimensões reais.”
Tendo em mente a gravidade da ameaça, está claro que é hora de reavaliar suas contramedidas de mitigação de bots. Como líder em eficácia na detecção de bots, a F5 pode ajudar. Se você deseja entender a real eficácia da sua mitigação de bots, quais bots não estão sendo detectados e quanto isso está custando à sua empresa, a F5 oferece gratuitamente uma avaliação de ameaças e uma consultoria sobre o impacto dos bots nos negócios.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...