Es ist nun sechs Monate her, seit wir die Anomalieerkennung aus der Beta-Phase genommen und die IP-Filterung eingeführt haben: die Möglichkeit, IP-Adressen, die von bekannten Angreifern, Rechenzentren, TOR-Verbindungen usw. genutzt werden, von Anfang an zu blockieren.
Seit der Einführung dieser Funktionen sind wir begeistert – und überrascht! –, zu sehen, wie unsere Kunden sie nutzen, um den Kampf gegen die Bots zu gewinnen.
Ergebnisse der letzten sechs Monate
Wir wussten zwar, dass ein hoher Prozentsatz des Traffics von Bots generiert wurde, aber seit wir die Statistiken auswerten, sind wir überrascht, wie hoch dieser Prozentsatz tatsächlich ist.
CrowdHandler blockiert nun jede Woche Tausende verdächtiger IP-Adressen für jede dieser Websites, bei denen die IP-Filterung aktiviert ist.
Vor allem aber: Diese sechsmonatige Beobachtungsphase an mehreren Standorten hat es uns ermöglicht, einige interessante Trends und Muster im Verhalten von Bots zu erkennen, die wiederum als Grundlage für weitere Verbesserungen dienten. Dank dieser gemeinsamen Erkenntnisse arbeiten unsere Sicherheitsfunktionen nun Hand in Hand, um Standorte auf der ganzen Welt zu schützen.
Neu: IP-Berichte fließen nun in den Anomalie-Score ein
Die Anomalieerkennung von CrowdHandler nutzt bereits fortschrittliche Algorithmen, um Muster zu erkennen, die auf betrügerische oder böswillige Aktivitäten hindeuten könnten. Nun wird auch die IP-Reputation berücksichtigt, um eine noch fundiertere Bewertung zu liefern.
Um Ihnen ein Beispiel dafür zu geben, warum dies nützlich ist: Mit iPhones können Nutzer ihre IP-Adresse verbergen, so als würden sie sich hinter einem Proxy-Netzwerk verstecken. Für sich genommen würde die Anomalieerkennung von CrowdHandler diesen Nutzer wahrscheinlich als möglichen Bot kennzeichnen – ein Fehlalarm. Da die IP-Adresse, von der die Anfrage stammt, jedoch einen guten Ruf genießt, wird unsere Anomalieerkennung dies nun berücksichtigen, sodass der Anomaliewert des Nutzers nicht so niedrig ausfällt.
Ebenso ist es wahrscheinlicher, dass eine Website eine schlechte Bewertung erhält, wenn ein Nutzer aus einem IP-Bereich mit schlechtem Ruf auf die Seite zugreift. Die Bots werden in diesem Fall eher abgewiesen.
Wenn eine IP-Adresse gesperrt wird, gilt die Sperre nur für eine Stunde. CrowdHandler zeichnet diese Entscheidung jedoch auf und nutzt die Informationen, um nach Häufungen von Sperren in bestimmten IP-Bereichen zu suchen. Darüber hinaus werden diese Informationen an alle anderen Websites weitergegeben, die von CrowdHandler geschützt werden. Wenn die IP-Adresse also ein zweites Mal für verdächtiges Verhalten genutzt wird, wird sie erneut gesperrt – was jedoch ihre Reputation noch stärker beeinträchtigt und zudem die Reputation aller IP-Adressen im selben Bereich auf jeder Website schädigt, die CrowdHandler nutzt.
Neu: Kunden können Empfehlungen zu IP-Bereichen einsehen
Um IP-Sperren zu umgehen, greifen Bots häufig zunächst über eine einzige IP-Adresse zu und wechseln dann alle paar Anfragen zu neuen Adressen innerhalb dieses Bereichs. Sie verfahren so, weil zwar eine dieser Adressen möglicherweise auf einer Missbrauchs-Liste steht, aber nicht unbedingt alle.
Dieses Verhalten löst unsere Algorithmen zur Anomalieerkennung aus, doch bis das Verhalten erkannt und die IP-Adresse gesperrt wurde, hat der Bot bereits die nächste IP-Adresse in Anspruch genommen. Aus diesem Grund analysieren wir die Kundenprotokolle, um die Bereiche zu identifizieren, die hohe Anomaliewerte, IP-Sperren und Warnungen auslösen.
Nun können CrowdHandler-Kunden die von uns für sie identifizierten problematischen IP-Bereiche überprüfen und entscheiden, ob sie diese Bereiche dauerhaft sperren möchten.
Neu: Kunden können die globale Sperrliste abonnieren
Böswillige Akteure verstecken sich in der Regel hinter einer relativ kleinen Anzahl von betrügerischen Proxy-Netzwerken. Daher können CrowdHandler-Kunden eine Reihe von Sperrlisten abonnieren, mit denen Sie beispielsweise IP-Adressen aus Rechenzentren oder IP-Adressen, die auf bekannten Missbrauchs-Listen stehen, herausfiltern können.
Nun umfasst die Auswahl der zu verwendenden Filter auch die globale Sperrliste von CrowdHandler: eine ständig aktualisierte Liste von IP-Bereichen, die wir in unserem gesamten Kundenstamm als verdächtig identifiziert haben. Sie basiert auf den Empfehlungen, die wir auf globaler Ebene für alle unsere Kunden aussprechen, die die Anomalieerkennung nutzen.
Und es funktioniert. Nutzer, die globale Sperrlisten abonnieren, konnten feststellen, dass sich das Datenvolumen, das sie speziell für ihre Domain sperren müssen, um 80 % verringert hat.
Verdeckte Ermittler: entlarvt
Alle Bots sind natürlich Computerprogramme. Manchmal ist dies offensichtlich, weil sie schlecht programmiert wurden und die von ihnen verwendeten Tools – wie beispielsweise Curl oder Axios – als User-Agent angeben. In der Regel fälschen sie jedoch die Agent-Zeichenkette und geben vor, ein gängiger Browser zu sein, wie beispielsweise Chrome unter Windows.
Doch selbst wenn sich ein Bot als etwas ausgibt, das er nicht ist, kann CrowdHandler dies erkennen.
Da wir täglich Millionen von Zugriffen analysieren, kann unser System zur Erkennung von Anomalien die typischen Anzeichen einer Fälschung erkennen, und wir können dies nutzen, um die Nachahmer zu blockieren – selbst wenn diese Tausende von weltweit verteilten IP-Adressen verwenden.
Auch hier werden die Informationen in den Anomaliewert einfließen und für unseren gesamten Kundenstamm genutzt. (Tatsächlich haben wir damit bereits mehrere Bot-Netzwerke identifiziert, die Tickets auf dem Schwarzmarkt verkaufen.)
Umso weniger Grund, sich wegen falsch-positiver Ergebnisse Sorgen zu machen
Wir wussten bereits, dass der Anteil der Fehlalarme gering war, und die letzten Monate haben uns gezeigt, dass er sogar noch geringer ist, als wir dachten (weniger als 0,25 %). Manchmal kommt es sogar vor, dass die Anomalieerkennung Nutzerverläufe meldet, die für uns völlig normal aussehen … nur um bei genauerer Untersuchung festzustellen, dass die Meldung korrekt war und es sich tatsächlich um böswillige Akteure handelte.
Wir verstehen jedoch, dass Kunden Bedenken haben können, wenn Anomaliewerte ab einem bestimmten Schwellenwert blockiert werden. Deshalb gibt CrowdHandler auch dann Warnmeldungen aus, wenn ein Kunde beschließt, nur Nutzer mit einem sehr hohen Anomaliewert zu blockieren (oder vielleicht sogar gar keine Nutzer zu blockieren). Und diese Warnmeldungen fließen weiterhin in unsere Gesamtanalyse ein und verbessern die Sicherheit, da CrowdHandler im Hintergrund Informationen protokolliert und so ein umfassenderes Gesamtbild erstellt.
Was ist mit den „guten Bots“?
Vielleicht fragen Sie sich: Was passiert angesichts all dieser Automatisierung, wenn wir versehentlich einen guten Bot wie Google identifizieren und blockieren?
Wir wissen, dass das nicht immer auf den ersten Blick ersichtlich ist; Microsoft, Google und Amazon sind zwar allesamt gute Unternehmen, aber sie vermieten auch Server an jeden, und es kommt nicht selten vor, dass Angreifer ihre Angriffe über Amazon Web Services, Google Cloud oder Microsoft Azure-Hosting starten.
Zunächst einmal gilt: Wenn Sie sich nicht sicher sind, blockieren Sie nicht. Wenn Sie sich die Liste mit den Empfehlungen ansehen, werden Sie feststellen, dass wir zu jedem Vorschlag weitere Informationen bereitstellen, die Ihnen helfen sollen, Ihre eigene Entscheidung zu treffen.
Um Ihnen jedoch noch mehr Sicherheit zu geben: CrowdHandler überprüft regelmäßig die Regeln unserer globalen Sperrliste und fügt globale „Bypass“- und „Ignore“-Listen für gängige „gute“ Bots hinzu, wie beispielsweise Überwachungsdienste. Darüber hinaus haben Ihre eigenen Regeln stets Vorrang vor den globalen Sperrlisten – sollten Sie also mit einem Eintrag auf der globalen Sperrliste nicht einverstanden sein, können Sie diesen auf Ihrer Domain dennoch zulassen.
Nutzen Sie die neuen Sicherheitstools noch heute
Wenn Sie bereits die Anomalieerkennung und die IP-Filterung nutzen, sind Sie bestens gerüstet. Alle neuen Tools stehen Professional- und Enterprise-Kunden ab sofort ohne zusätzliche Kosten zur Verfügung.
Wir sind schon sehr gespannt darauf, wie unsere Kunden sie im fortwährenden Kampf gegen die Bots einsetzen werden.