IPルール（ファイアウォールを使用）

CrowdHandlerには、待合室やウェブサイトへのアクセスを制御できる強力なファイアウォールが搭載されています。

ファイアウォール機能は「Plus」プラン以上で利用可能で、範囲を指定してルールを追加し、トラフィックのブロック、優先順位付け、またはバイパスを行うことができます。さらに、「Professional」および「Enterprise」プランでは、自動化されたIPフィルタリング機能も利用可能です。これらの機能は、異常検知機能と連携して動作します。

ファイアウォールへのアクセス

ドメイン一覧に移動し、ルールを設定したいドメイン名の横にある盾のアイコンをクリックします（IPルールはドメインごとに設定されます）。

IPアドレスの管理

「IPの管理」画面は、ファイアウォール内のデフォルトの表示画面です。この画面には、現在のファイアウォールルールと、現在接続中のIPアドレスのうち、アクセス回数が最も多いものが表示されます。新しいルールの追加、既存ルールの編集、または一覧に表示されているIPアドレスのステータスをすばやく変更することができます。

ルールは、アクティブな待機室による保護の対象となるトラフィックに適用されます。ドメイン上のすべてのトラフィックに常にファイアウォールルールを適用したい場合は、キャッチオール待機室を設定する必要があります。

ルールの追加

  1. IPアドレス（またはCIDR範囲）を入力してください
  2. 識別しやすいように、必要に応じてメモを追加してください
  3. このIPアドレスまたはIP範囲を追加したいリストを選択してください

ステータスは以下の通りです：

  • 無視- これは、サイトへのアクセスやキューの優先順位付けに関しては当該IPを通常通り扱う一方、自動ブロックや異常検知などの自動化された処理の対象とはしないことを意味します。IPまたはIP範囲の送信元が判明しており、信頼できる場合で、通常のルールによってブロックされたくない場合に、このステータスを使用してください。
  • ブロック- IPアドレスやIP範囲をブロックするにはこれを使用します。ユーザーは待機室にリダイレクトされ、ブロックされている状態が表示されます。テンプレートをカスタマイズすることで、表示されるメッセージを変更することができます。
  • バイパス- バイパス対象として設定されたIPアドレスまたはIP範囲からのトラフィックは、CrowdHandlerからは実質的に認識されません。ユーザーの確認、キューへの登録、セッションの追跡、さらにはリクエストのログ記録も一切行われません。これは、CrowdHandlerがバイパスされたトラフィックからユーザーを一切保護しないことを意味するため、必要に応じて、信頼できる少数のユーザーに対してのみこの機能を使用することをお勧めします。 代表的な利用例としては、キューの背後でアプリケーションが正常に動作しているかを確認する運用担当者や、キューによる干渉を受けずにアプリケーションをテストしたい開発者が挙げられます。
  • 優先処理- 優先設定されたIPアドレスおよびIP範囲からのトラフィックは、キュー内で最優先で処理されます。 トラフィックの量によっては、ユーザーは「待機室」を完全にスキップしたかのように感じる場合があります。ただし、ユーザーは依然としてドメイン全体の利用率に基づいてチェックされ、必要に応じて優先度の低いキューに振り分けられます。これは、ユーザーが優先コードを使用した場合と同じ仕組みです。IP優先順位付けは、企業ネットワークから接続するVIPクライアントを自動的に優先する場合や、社内の営業・サポートスタッフが顧客に代わってパブリックアプリケーションを使用する場合などに役立ちます。

IPの読み取りとステータスの変更

「IPの管理」画面には、既存のルールが一覧表示され、現在接続中のIPアドレスのうち、最も頻繁にアクセスしているものが表示されます。表示される情報は以下の通りです：

  • IPアドレス- IPv4およびIPv6に対応しています
  • 原産国の国旗とネットワークアイコン- 各アイコンにカーソルを合わせると、都市名、国名、およびネットワークまたはISPの名前が表示されます。いずれかをクリックすると、その場所やネットワークに関する詳細情報を含むIP検索情報が表示されます。特に注目すべきはルート（CIDR範囲）です。特定のIPをブロックしたり無視したりするよりも、ルート全体にルールを適用する方が効果的である場合があるためです。
  • 注：この情報は更新可能です。自動的にブロックされたIPアドレスには、ブロック理由に関する注記が表示されます。警告閾値を超えたIPアドレスにも、同様に注記が表示されます。
  • セッション数- このIPアドレスから発生したセッションの数を表します。この数値が高い場合は、ボットの活動、不正行為、あるいは複数のデバイスやプライベートタブを使用して待ち行列を悪用しようとするユーザーの存在を示している可能性があります。また、企業、政府、教育機関のネットワークである可能性もあります。これらが正当なユーザー層であると判断される場合は、これらのIPアドレス（またはルート）を無視するように設定することをお勧めします。
  • 接続済み- このIPアドレスからのセッションが最初に接続された時刻を示します。異常に長時間接続されているセッションは、不審な可能性があります。
  • ステータス- ステータスを選択し、保存アイコンをクリックすることで、IPを上記のステータスのいずれかに素早く設定できます。

IPフィルタリングと自動ブロック機能

画面の上部には、IPインテリジェンスや行動パターンに基づいてトラフィックを自動的にフィルタリングするための3つのコントロールがあります。

既知の脅威のフィルタリングおよび異常スコアに基づくブロック機能を利用するには、Professionalプラン以上への加入が必要です。

既知の脅威

CrowdHandlerは、IPアドレスに関する外部からの情報と、クライアントのトラフィックを監視して得られた内部情報を組み合わせて、IPアドレスを分類します。これらの分類を活用することで、初回接続時にトラフィックを自動的にブロックすることができます。以下の分類のいずれかを選択して利用することができます：

  • CrowdHandler ブロックルール- これは当社のグローバルブロックデータベースです。当社のネットワーク全体にわたるトラフィックを監視し、複数のクライアントにわたって異常、不正、または脅威となる行動を繰り返し示すIP範囲を特定することで構築されています。現在、約300万件のIPアドレスを網羅しています。ルールのリストは定期的に見直されていますが、更新は自動的に行われます。 このリストを有効にしたユーザーは、自身のドメインに対する個別のブロックや異常警告が最大80%減少することを実感することがよくあります。ただし、このリストに含まれる他のすべてのルールとは異なり、このリストに基づく個別のブロックは、コントロールパネルには記録されません。管理パネル内のルールは、当社のブロックルールよりも優先されます。したがって、許可されるべきだと考えるトラフィックがブロックされている場合は、無視ルールを追加して当社のルールを上書きすることができます。
  • 既知の攻撃者- これらは、外部のIPデータベースにおいて、セキュリティ上の脅威となるような動作を試みたとフラグが立てられたIPアドレスです。例としては、SQLインジェクションやXSSの試みなどが挙げられます。このトラフィックをブロックすることをお勧めします。
  • 既知の不正利用者- これらは、外部のIPデータベースにおいて、スパムや不正行為の試みとしてフラグが立てられているIPアドレスです。例としては、コメントの大量投稿、ニュースレターへの繰り返し登録、スクレイピングなどが挙げられます。このトラフィックをブロックすることをお勧めしますが、このカテゴリは前のカテゴリよりも誤検知が発生しやすい傾向があります。これは、国内のISPユーザーが知らず知らずのうちにこうした行為に巻き込まれたり、以前に同様の行為に使用されていたIPアドレスに切り替わったりすることがよくあるためです。
  • TOR- 外部の情報源によると、このアドレスは、多くの不正トラフィックの発生源であるTORネットワークに属していると判断されています。TORをブロックすることをお勧めします。ユーザーには匿名性を守る権利があるかもしれませんが、おそらく匿名の顧客は望んでいないでしょう。
  • データセンター- 企業や国内のISPではなく、データセンターから発信されるトラフィックは、スクリプトによるトラフィック（つまりボット）である可能性が極めて高いです。 データセンターからのトラフィックはブロックすることを推奨します。なお、正当なデータセンターのIPアドレスには、監視サービス、検索エンジンのクローラー、決済ゲートウェイのコールバックなどが含まれる場合があります。CrowdHandlerではこれらに対するグローバルな許可リストを管理していますが、もし利用しているサービスがブロックされていることが判明した場合は、そのIP範囲に対して無視ルールを追加することで、自動ブロック動作を上書きすることができます。
  • プロキシ- ユーザーは、自身の身元を隠すためにプロキシネットワーク（またはVPN）を利用します。違法行為を行うユーザーはIPアドレスを特定されたくないため、不正なユーザーやボットによるトラフィックのほとんどはプロキシネットワークから発生しています。プロキシネットワークをブロックすることで、不正なトラフィックを減らすことができます。 現在、プライバシーを懸念してVPNを利用する一般ユーザーも多いため、こうしたユーザーがブロックされてしまう可能性があることにご注意ください。待機画面のブロックメッセージを更新し、正当なユーザーに対して、アプリケーション利用時にはVPNをオフにするよう案内することをお勧めします。

X回以上のセッションがあるIPアドレスを自動ブロックする

通常、1つのセッション（1つのCrowdHandlerトークン）は1つのIPアドレスに対応しているものと想定されます。1つのIPアドレスから多数のトークンが接続されている場合、これはスクレイパーボットの可能性や、ユーザーが複数のデバイスや匿名タブを使用していることを示している可能性があります。このスライダーを使用すると、1つのIPアドレスから接続が許可されるセッション数の上限を設定でき、その上限を超えると当該IPアドレスが自動的にブロックされます。 また、1つのIPアドレスから多数の接続が見られるもう1つの理由として、そのIPアドレスが企業ネットワークや学術機関のネットワークに属している場合が考えられます。妥当な上限（例えば10）を設定し、複数のセッションが存在しても妥当であると判断されるネットワークに属するIPアドレスについては、無視ルールを追加することをお勧めします。

異常スコアがXを超える場合の自動ブロック

このスライダーを使用すると、異常スコアが過度に高いセッションの発信元となるIPアドレスを自動的にブロックすることができます。ブロックをトリガーする閾値を選択できます。

推奨事項

[推奨] タブには、ファイアウォールに追加すべき推奨ルールが最大 20 件表示されます。これらは、お客様のドメインにおいて自動ブロックや警告を引き起こしている IP アドレスのクラスターに関する観測結果に基づいています。

  • 範囲- ブロックするために推奨されるCIDR範囲です。
  • 国およびネットワークのアイコン- これらにカーソルを合わせると、そのIP範囲に関連付けられている都市とISPが表示されます。クリックすると、より詳細な情報が表示されます。
  • セッション- ここでは、指定されたIP範囲で追跡されたセッション数が表示されます。これをクリックすると、「セッション」タブが開き、過去7日間にその範囲から追跡されたすべての異常なセッションが表示されます。これを利用することで、推奨事項の背景にある動作について、より詳細な情報を確認できます。
  • 「開始日」および「最新日」 - これらの日付は、この範囲内のIPアドレスが最初に検出された日時と、最後に検出された日時を示しています。
  • 推奨事項 / ブロック- 該当範囲をブロックするという推奨事項に同意する場合は、「ブロック」ボタンをクリックしてください。「ルール」タブに永続的なブロックルールが追加されます。
  • 「無視」- 推奨事項に同意できない場合（例：そのネットワークや動作が「良質な」ボットと一致していると思われる場合など）、[無視] ボタンをクリックできます。これにより、その範囲の [ルール] タブに「無視」ルールが追加されます。

オートブロックログ

自動ブロックログには、過去7日間に自動ブロックされたIPアドレスの一覧と、ブロックされた理由が表示されます。自動ブロックはデフォルトで1時間のみ有効です。自動ブロックログを使用することで、誤検知の報告を確認することができます。自動ブロックログ画面でIPアドレスをクリックすると、そのIPアドレスでフィルタリングされた異常なセッションが表示される「セッション」画面が開くため、どのような動作が自動ブロックの原因となったかを確認することができます。

このセクションでは