異常検知機能をベータ版から正式リリースし、IPフィルタリング機能を追加してから6ヶ月が経ちました。この機能により、既知の攻撃者やデータセンター、TOR接続などが使用するIPアドレスを、サービス開始当初からブロックできるようになりました。
これらの機能が公開されて以来、お客様がこれらの機能を活用してボットとの戦いに勝利されている様子を目の当たりにし、私たちは感激すると同時に、驚きも感じています！
過去6か月間の調査結果
トラフィックのかなりの割合がボットによるものであることはわかっていましたが、統計を追跡し始めてから、その割合がこれほど高いことに驚かされています。
CrowdHandlerは現在、IPフィルタリングが有効になっている各サイトにおいて、毎週数千件の不審なIPアドレスをブロックしています。
何よりも重要なのは、複数のサイトにわたるこの6か月間の監視を通じて、ボットの挙動における興味深い傾向やパターンを把握できたことであり、それがさらなる改善につながったことです。こうした知見の共有により、当社のセキュリティ機能は今や連携して、世界中のサイトを保護しています。
新機能：IPレポートが異常スコアの算出に反映されるようになりました
CrowdHandlerの異常検知機能は、すでに高度なアルゴリズムを用いて、不正や悪意のある活動を示唆する可能性のあるパターンを特定しています。さらに、IPレピュテーションも考慮に入れることで、より的確なスコアを算出できるようになりました。
これがなぜ有用なのか、例を挙げて説明しましょう。iPhoneでは、ユーザーがプロキシネットワークの背後に隠れているかのように、IPアドレスを隠すことができます。CrowdHandlerの異常検知機能だけでは、おそらくこのユーザーをボットの可能性があると判定し、誤検知（偽陽性）となってしまいます。しかし、そのIPアドレスの評判が良好であるため、当社の異常検知機能はこの点を考慮に入れるようになり、その結果、そのユーザーの異常スコアはそれほど低くはなりません。
同様に、評判の悪いIPアドレス範囲からユーザーがサイトにアクセスした場合、低いスコアが付けられる可能性が高くなります。また、ボットはアクセス拒否される可能性が高くなります。
IPアドレスがブロックされた場合、そのブロックは1時間のみ有効です。しかし、CrowdHandlerはその判断を記録し、その情報を利用して特定のIPアドレス範囲周辺でブロックの集中がないかを確認します。 さらに、この情報はCrowdHandlerが保護している他のすべてのサイトで共有されます。そのため、そのIPアドレスが再び不審な動作に使用された場合、再度ブロックされますが、これによりそのIPアドレスの評判はさらに著しく損なわれるだけでなく、CrowdHandlerを利用しているすべてのサイトにおいて、同じIP範囲内の他のIPアドレスの評判も損なわれることになります。
新機能：お客様はIPアドレスの範囲に関する推奨事項を確認できるようになりました
IPアドレスのブロックを回避するため、ボットは多くの場合、まず1つのIPアドレスからアクセスし、その後、数回のリクエストごとにその範囲内の別のアドレスへと切り替えていきます。これは、その範囲内のアドレスの一部が不正利用リストに登録されている可能性はあるものの、すべてが登録されているとは限らないためです。
この挙動は当社の異常検知アルゴリズムを起動させますが、その挙動が特定され、IPアドレスがブロックされる頃には、ボットはすでに次のIPアドレスに移ってしまっています。そのため、当社は顧客のログを分析し、高い異常スコアやIPブロックの発生、警告を引き起こすIPアドレス範囲を特定しています。
これで、CrowdHandlerをご利用のお客様は、当社が特定した不正なIP範囲を確認し、これらの範囲を恒久的にブロックするかどうかを選択できるようになりました。
新機能：お客様はグローバルブロックリストに登録できるようになりました
悪意のある攻撃者は、比較的少数の悪質なプロキシネットワークに身を隠す傾向があります。そのため、CrowdHandlerのお客様はさまざまなブロックリストを購読することができ、例えばデータセンターに所在するIPアドレスや、既知の不正利用リストに掲載されているIPアドレスなどをフィルタリングして除外することが可能です。
また、使用するフィルタの選択肢には、CrowdHandlerのグローバルブロックリストも含まれています。これは、当社の顧客基盤全体で問題があると特定されたIP範囲をまとめた、常に更新されているリストです。このリストは、異常検知機能を利用しているすべてのクライアントを対象に、当社がグローバルレベルで提示している推奨事項に基づいて作成されています。
そして、この方法は効果を発揮しています。グローバルブロックリストを購読しているユーザーは、自社ドメインに関してブロックする必要のあるトラフィック量が80％減少したことを確認しています。
潜入捜査官：正体が露見
もちろん、すべてのボットはコンピュータプログラムです。プログラミングが杜撰で、Curl や Axios といった使用中のツールをユーザーエージェントとして報告してしまうため、それが一目瞭然の場合もあります。通常、ボットはエージェント文字列を偽装し、Windows 上の Chrome といった一般的なブラウザであるかのように報告します。
しかし、ボットが実際とは異なるものだと偽って宣言した場合でも、CrowdHandlerはそれを検知することができます。
当社は1日あたり数百万件のアクセス解析を行っているため、異常検知機能によってなりすましの兆候を特定することができ、これにより、たとえ世界中に分散した数千ものIPアドレスを使用している場合でも、なりすましをブロックすることが可能です。
ここでも、情報が異常スコアに反映され、当社の顧客ベース全体で活用されます。（実際、これを利用して、すでに複数のチケット転売ボットネットワークを特定しています。）
偽陽性を心配する理由はさらに少ない
誤検知の割合が小さいことは以前からわかっていましたが、ここ数ヶ月の状況から、その割合は予想以上に小さい（0.25％未満）ことが明らかになりました。時には、異常検知システムが、私たちには問題ないように見えるユーザーの行動パターンを検知することもあります……しかし、詳しく調査してみると、検知が正しかったことが判明し、そのユーザーが実際に悪意のある人物であったことがわかります。
とはいえ、一定レベルを超える異常スコアを持つユーザーをブロックすることに対して、お客様が不安を感じることもあると理解しています。そのため、たとえお客様が異常スコアが非常に高いユーザーのみをブロックする（あるいは、一切ブロックしない）ことを選択された場合でも、CrowdHandlerは引き続き警告を表示します。CrowdHandlerはバックグラウンドで情報を記録し、全体像を把握しているため、こうした警告も当社の総合的なインテリジェンスに反映され、セキュリティの向上に役立てられます。
善意のボットについてはどうでしょうか？
「これだけ自動化が進んでいる中で、もし誤ってGoogleのような正当なボットを識別してブロックしてしまったらどうなるのか？」と疑問に思うかもしれません。
これは必ずしも一目でわかることではないことは承知しています。マイクロソフト、グーグル、アマゾンはいずれも優良企業ですが、これらの企業は誰にでもサーバーを貸し出しており、Amazon Web Services、Google Cloud、あるいはMicrosoft Azureのホスティング環境を拠点として攻撃が行われることも珍しくありません。
まず最初に言っておきたいのは、確信が持てない場合はブロックしないことです。推奨リストをご覧いただければ、各提案についてより詳しい情報を掲載しており、それが皆様がご自身で判断を下す際の助けになるはずです。
しかし、さらに安心していただけるよう、CrowdHandler ではグローバルブロックリストのルールを定期的に見直しており、監視サービスなど、一般的な「善意の」ボットを対象としたグローバルな「バイパス」リストや「無視」リストを追加しています。さらに、お客様ご自身のルールは常にグローバルブロックリストよりも優先されます。そのため、グローバルブロックリストの項目に同意できない場合でも、ご自身のドメインではそれを許可するように設定することができます。
今すぐ新しいセキュリティツールを使い始めましょう
すでに異常検知やIPフィルタリングをご利用の場合は、追加の設定は不要です。新しいツールはすべて、ProfessionalおよびEnterpriseのお客様向けに、追加料金なしで今すぐご利用いただけます。
お客様がボットとの戦いを続ける中で、これらをどのように活用されるのか、今からとても楽しみです。