ブログに戻る

フォロー&ご登録

良いボットをブロックせずに悪質なボットを阻止する

Brooks Cunningham

Senior Security Strategist, Fastly

セキュリティ

今日の相互接続されたデジタル世界では、自動化は至る所にあります。そのような世界では、内部監視ツールから API と統合するサードパーティパートナーまで、良いボットと悪質なボットが混在しています。このため、有益な自動化と悪意のある行為者を区別することは、Web アプリケーションファイアウォール (WAF) にとって重要な課題です。Fastly の Next-Gen WAF は、シグナル除外ルールという高度なソリューションを提供し、セキュリティ体制を損なうことなく、信頼できる自動化をスムーズに実行し続けることを可能にします。

私たちが手なずけている信号

Fastly の Next-Gen WAF は、さまざまなタイプの自動化されたトラフィックを識別することができます。一方、信頼できる内部ツールやパートナーの統合にとっては、以下のようなシグナルが誤ってトリガーされる可能性があります。

  • SUSPECTED-BOT.HEADLESS

  • SUSPECTED-BOT

  • SUSPECTED-BAD-BOT

  • SUSPECTED-BAD-BOT.HEADLESS

これらのシグナルは本物の脅威を特定するために不可欠ですが、自社の合法的な自動化に適用すると、偽陽性として検出され、重要なオペレーションを中断させてしまう可能性があります。

除外の理由と精度の重要性

目標とすべきは、ボットの活動を完全に無視することではなく、インテリジェンスを用いることです。内部システムや信頼できるパートナーは、ビジネスにとって不可欠です。そのため、正当なリクエストをブロックしたり、評価対象のボットとしてフラグを立てたりすると、広告ブロッカーの中断、データの不一致、運用上の問題が発生する可能性があります。これに対し、シグナル除外ルールは、望ましくないボットの活動と必要な自動化を区別する精度を実現します。

Fastly ソリューション : シグナル除外ルール

シグナル除外ルールは、Fastly の Next-Gen WAF における強力な機能で、特定のパターンに一致するリクエストに特定のシステムシグナルがタグ付けされるのを防ぎます。注目すべきは、WAF を完全にバイパスするのとは異なり、単に WAF に「この条件に一致するリクエストには特定のボットシグナルを適用しないこと」と伝えるだけというシンプルさです。

信頼できる自動化を特定する

シグナル除外ルールの効果は、信頼できる自動化を正確に特定できるかどうかにかかっています。以下に最も効果的な方法を示します。

推奨される方法 : HTTP ヘッダー (例 : API キー)

信頼できる自動化を識別するための最も堅牢かつ柔軟な方法は、リクエストとともに一意の HTTP ヘッダーを送信するように要求することです。以下にその例を示します。

  • カスタム API キー (例 : X-API-Key: your-secret-automation-key)

  • 特定のユーザーエージェント文字列 : ユーザーエージェントはスプーフィング攻撃に対して脆弱ですが、信頼できる自動化にのみ知らされた独自の複雑な文字列を他の要素と組み合わせると効果的です。方法 : 特定の HTTP ヘッダーフィールドと値を探すためのシグナル除外ルールを設定します。リクエストにこのヘッダーが含まれている場合、指定されたボットシグナルは適用されません。この方法は、悪意のある攻撃者が推測したり複製したりするのが難しく、潜在的に動的なネットワーク特性とは関係がないため、強くお勧めします。

代替方法 : IP アドレス (注意ワード付き)

信頼できる自動化は、ソース IP アドレスで識別することもできます。

方法 : 内部ツールまたはパートナーに属する既知の IP アドレスまたは CIDR 範囲のリストを作成します。シグナル除外ルールは、これらの IP から発信されたリクエストにボットシグナルを適用しなくなります。

警告 : 単純ではありますが、IP アドレスのみに頼るのは危険です。パートナーや内部ツールが共有ホスティング環境を使用している場合、その IP アドレスは信頼できない他の団体によっても使用されている可能性があります。そのため、同じ IP アドレス範囲から発信された悪意のあるトラフィックが誤って除外される可能性があります。常に注意を払い、IP ベースの除外を定期的に確認してください。

「Allow」を超えて : 堅牢な保護を維持する

リクエストルールで単純な Allow アクションの代わりにシグナル除外ルールを使用することの大きな利点の1つは、他の脅威に対して保護を継続できることです。

信頼できる自動化に対して Allow アクションを持つリクエストルールを作成した場合、それらのリクエストはすべての WAF インスペクションをすり抜けてしまいます。つまり、信頼できるパートナーのシステムが侵害されたり、内部ツールに脆弱性があったりしても、そこから発生する SQL インジェクションやコマンド実行などの攻撃が WAF によって検出されないことになります。

一方、シグナル除外ルールはより細かく設定することができます。このルールは特定のボットシグナルのタグ付けのみを防止します。他のすべての WAF ルール (検出し、一般的な Web 悪用を軽減するように設計されている) は有効なままにしておけます。そのため、信頼できるソースが攻撃の媒介になるような事態が発生しても、Fastly Next-Gen WAF は警戒を怠らず、包括的な保護を提供し続けます。

実装方法 (高レベルステップ)

シグナル除外ルールの実装は、通常、Fastly Next-Gen WAF の設定内で次のように行います。

1. Next-Gen WAF の設定に移動します。

2. 新しいシグナル除外ルールを作成します。

3. 除外の条件を定義します。(以下の例における UI 内でのルールの構成は正確な表現ではないことに注意してください)。例 :

  • request_headers.name equals x-api-key AND request_headers.value equals your-secret-key

  • OR request.ip is in your-trusted-ip-list

4. SUSPECTED-BOT.HEADLESS、SUSPECTED-BOT、SUSPECTED-BAD-BOT、SUSPECTED-BAD-BOT.HEADLESS など、除外する特定のシグナルを選択します。シグナルごとに複数のルールが必要になる場合もあります。

5. 変更を保存してデプロイします。

最後に

Fastly の Next-Gen WAF シグナル除外ルールは、自動化されたセキュリティを管理するためのインテリジェントで安全な方法を提供します。信頼できる内部ツールやサードパーティパートナーを正確に特定し、ボット検知シグナルから除外することで、本物の脅威に対する堅牢な防御を維持しながら、スムーズな運用を確保できます。このアプローチにより、偽陽性が最小限に抑えられ、セキュリティ体制が強化され、ビジネスで不必要な摩擦が生じることなく自動化を活用できるようになります。

ボット管理戦略を微調整する準備はできていますか？今すぐ Fastly の Next-Gen WAF ドキュメントをご覧いただき、スマートなシグナル除外ルールを実装する方法をご確認ください。

始める準備はできましたか?

ぜひご連絡ください
専門家に相談する