Cela fait six mois que nous avons sorti la fonctionnalité de détection des anomalies de sa phase bêta et que nous avons ajouté le filtrage d'adresses IP: la possibilité de bloquer d'emblée les adresses IP utilisées par des attaquants connus, des centres de données, des connexions TOR, etc.
Depuis la mise en ligne de ces fonctionnalités, nous avons été ravis – et surpris ! – de voir comment nos clients les ont utilisées pour remporter la bataille contre les bots.
Conclusions tirées au cours des six derniers mois
Nous savions qu'une grande partie du trafic était générée par des bots, mais depuis que nous suivons ces statistiques, nous avons été surpris de constater à quel point ce pourcentage était élevé.
CrowdHandler bloque désormais chaque semaine des milliers d'adresses IP suspectes pour chacun de ces sites sur lesquels le filtrage par adresse IP est activé.
Mais surtout : ces six mois d'observation, menés sur plusieurs sites, nous ont permis de détecter certaines tendances et certains schémas intéressants dans le comportement des bots, ce qui nous a permis d'apporter de nouvelles améliorations. Grâce à ce partage d'informations, nos fonctionnalités de sécurité fonctionnent désormais en synergie pour protéger des sites partout dans le monde.
Nouveauté : les rapports IP contribuent désormais au score d'anomalie
La détection des anomalies de CrowdHandler utilise déjà des algorithmes avancés pour repérer les types de schémas susceptibles d'indiquer une activité frauduleuse ou malveillante. Désormais, elle prend également en compte la réputation de l'adresse IP, afin de fournir un score encore plus pertinent.
Pour vous donner un exemple illustrant l'utilité de cette fonctionnalité : les iPhone permettent aux utilisateurs de masquer leur adresse IP, comme s'ils se cachaient derrière un réseau proxy. À elle seule, la détection d'anomalies de CrowdHandler signalerait probablement cet utilisateur comme un bot potentiel – un faux positif. Mais comme l'adresse IP d'où provient la connexion jouit d'une bonne réputation, notre système de détection d'anomalies en tiendra désormais compte et le score d'anomalie de l'utilisateur ne sera pas aussi bas.
De même, si un utilisateur accède au site depuis une plage d'adresses IP réputée pour être malveillante, il risque davantage d'obtenir une mauvaise note. Les robots sont quant à eux plus susceptibles d'être bloqués.
Lorsqu'une adresse IP est bloquée, le blocage ne dure qu'une heure. Cependant, CrowdHandler enregistre cette décision et utilise ces informations pour détecter des regroupements de blocages autour de certaines plages d'adresses IP. De plus, ces informations sont partagées avec tous les autres sites protégés par CrowdHandler. Ainsi, si l'adresse IP est à nouveau utilisée pour un comportement suspect, elle sera à nouveau bloquée – mais cela nuira encore davantage à sa réputation et à celle des adresses IP de la même plage, sur tous les sites utilisant CrowdHandler.
Nouveauté : les clients peuvent consulter les recommandations relatives aux plages d'adresses IP
Pour tenter d'éviter les blocages d'adresses IP, les bots se connectent souvent à partir d'une seule adresse IP, puis passent à de nouvelles adresses au sein de cette plage, toutes les quelques requêtes. Ils procèdent ainsi car, même si l'une de ces adresses a pu être signalée sur une liste d'abus, il est possible que ce ne soit pas le cas pour toutes.
Ce comportement déclenche nos algorithmes de détection des anomalies, mais le temps que ce comportement soit identifié et que l'adresse IP soit bloquée, le bot est déjà passé à une autre adresse IP. C'est pourquoi nous analysons les journaux de nos clients afin d'identifier les plages d'adresses IP qui génèrent des scores d'anomalie élevés, des blocages d'adresses IP et des alertes.
Désormais, les clients de CrowdHandler peuvent consulter les plages d'adresses suspectes que nous avons identifiées pour eux et choisir de les bloquer définitivement.
Nouveauté : les clients peuvent désormais s'abonner à la liste noire mondiale
Les acteurs malveillants ont tendance à se cacher derrière un nombre relativement restreint de réseaux de proxys malveillants. Ainsi, les clients de CrowdHandler peuvent s'abonner à toute une série de listes de blocage, ce qui leur permet, par exemple, de filtrer les adresses IP situées dans des centres de données ou figurant sur des listes d'abus connues.
Désormais, le choix des filtres à utiliser inclut également la liste de blocage globale de CrowdHandler : une liste constamment mise à jour des plages d'adresses IP que nous avons identifiées comme étant signalées au sein de notre base de clients. Elle repose sur les recommandations que nous formulons à l'échelle mondiale, pour l'ensemble de nos clients qui utilisent la détection d'anomalies.
Et ça marche. Les utilisateurs qui s'abonnent à des listes de blocage mondiales ont constaté une réduction de 80 % du volume de trafic qu'ils doivent bloquer, spécifiquement pour leur domaine.
Agents infiltrés : démasqués
Tous les bots sont, bien sûr, des programmes informatiques. Parfois, cela saute aux yeux, car ils ont été mal programmés et indiquent les outils qu’ils utilisent comme agent utilisateur, par exemple Curl ou Axios. En général, ils falsifient la chaîne d’agent et font croire qu’ils sont un navigateur courant, comme Chrome sous Windows.
Cependant, même lorsqu'un bot se présente comme quelque chose qu'il n'est pas, CrowdHandler est capable de le détecter.
Comme nous analysons des millions de requêtes par jour, notre système de détection des anomalies est capable d'identifier les signes révélateurs d'une usurpation d'identité, ce qui nous permet de bloquer les imitateurs, même lorsqu'ils utilisent des milliers d'adresses IP réparties dans le monde entier.
Une fois encore, ces informations viennent s'ajouter au score d'anomalie et sont exploitées à l'échelle de l'ensemble de notre clientèle. (D'ailleurs, nous nous en sommes déjà servis pour identifier plusieurs réseaux de bots spécialisés dans la revente illégale de billets.)
Rien de plus qu’une raison de s’inquiéter des faux positifs
Nous savions déjà que le pourcentage de faux positifs était faible, et ces derniers mois nous ont montré qu’il était encore plus faible que nous ne le pensions (moins de 0,25 %). Il arrive même parfois que la détection des anomalies signale des parcours d’utilisateurs qui nous semblent normaux… pour finalement constater, après une analyse plus approfondie, que le système avait vu juste et qu’il s’agissait bel et bien d’acteurs malveillants.
Cependant, nous comprenons que les clients puissent hésiter à bloquer les scores d’anomalie dépassant un certain seuil. C’est pourquoi, même si un client décide de ne bloquer que les utilisateurs présentant un score d’anomalie très élevé (voire de ne bloquer aucun utilisateur), CrowdHandler continuera à émettre des alertes. Et ces alertes continuent de contribuer à notre intelligence globale et à améliorer la sécurité, car CrowdHandler travaille en arrière-plan pour enregistrer les informations et dresser une vue d’ensemble.
Et les « bons » bots, alors ?
Vous vous demandez peut-être : avec toute cette automatisation, que se passerait-il si nous identifiions et bloquions par erreur un bot inoffensif, comme celui de Google ?
Nous savons que ce n'est pas toujours évident : Microsoft, Google et Amazon sont toutes d'excellentes entreprises, mais elles louent également des serveurs à n'importe qui, et il n'est pas rare que des personnes lancent des attaques à partir des services d'hébergement Amazon Web Services, Google Cloud ou Microsoft Azure.
La première chose à retenir, c'est que si vous avez un doute, ne bloquez pas. En consultant la liste des recommandations, vous verrez que nous fournissons davantage d'informations pour chaque suggestion, ce qui devrait vous aider à prendre votre propre décision.
Mais, pour vous rassurer davantage, CrowdHandler revoit également régulièrement les règles de notre liste de blocage globale, en y ajoutant des listes globales de « contournement » et d’« exclusion » pour les bots « bienveillants » courants, tels que les services de surveillance. De plus, vos propres règles prévaudront toujours sur les listes de blocage globales : ainsi, si vous n’êtes pas d’accord avec une entrée figurant sur la liste de blocage globale, vous pouvez toujours choisir de l’autoriser sur votre domaine.
Commencez dès aujourd'hui à utiliser les nouveaux outils de sécurité
Si vous utilisez déjà la détection des anomalies et le filtrage d'adresses IP, vous êtes déjà paré. Tous ces nouveaux outils sont désormais disponibles pour les clients des formules « Professional » et « Enterprise », sans frais supplémentaires.
Nous avons hâte de voir comment nos clients vont les utiliser dans leur lutte incessante contre les bots.