Skip to main content

始める前に

サポートされているサードパーティ CAPTCHA プロバイダー連携のいずれかを使用するには、プロバイダーの設定詳細が必要です。詳しくは、サードパーティ CAPTCHA プロバイダー連携を設定するをご覧ください。
は、リクエストがボットから送信されている可能性が高いことを検出することで、スクリプト化された攻撃を軽減します。こうした攻撃は、クレデンシャルスタッフィング攻撃やリスト検証攻撃と呼ばれることもあります。Bot Detection は特定の攻撃への対策を提供しつつ、正当なユーザーにはほとんど負担をかけません。Auth Challenge は、CAPTCHA を使わないユーザー検証を提供するデフォルトのボット検出レスポンスです。 詳しくは、Credential Stuffing Attacks: What Are They and How to Combat Themをご覧ください。 Auth0 は、大量のデータと統計モデルを使用して、ログイン、サインアップ、またはパスワードリセットのトラフィック急増がボットやスクリプトによるものである可能性が高いことを示すパターンを特定します。クレデンシャルスタッフィング攻撃の一部である可能性が高い IP アドレスからログイン、アカウント作成、またはパスワードリセットを試みるユーザーには、追加の検証ステップを完了することが求められます。これらのトリガーは、こうした攻撃に関連するトラフィックを検出しつつ、正当なユーザーに不要な負担をかけません。

​
Bot Detection を設定する

有効にすると、検出モデルなどの Bot Detection の設定や応答アクションをカスタマイズできます。これらの設定は、テナント内のすべての接続に適用されます。 Bot Detection を有効にした状態で Response アクションを設定しない場合、Bot Detection は Monitoring モードで動作します。監視モードでは、リスク評価の詳細を含む関連イベントが、確認用にテナントログへ記録されます。詳しくは、View Attack Protection Log Events を参照してください。 Auth0 Dashboard で、Risk Assessment のテナントログを有効にできます。
  1. Auth0 Dashboard > Security > 攻撃対策 に移動し、Bot Detection を選択します。
  2. Detection セクションで、トグルを有効にします。
    攻撃対策 画面の Detection セクション
    Risk Assessment のテナントログを有効にするトグルが表示されない場合は、プランをアップグレードする 必要があるかもしれません。
  3. Response セクションで、Bot Detection の応答を選択します。
    Auth0 Dashboard - 攻撃対策 - Bot Detection
    Auth Challenge を使用する場合、Fail open トグルはデフォルトで無効になっています。 Fail Open トグルを有効にすると、次のようになります。
    • Bot Detection サービスに接続できない場合、Auth0 は認証プロセスを優先し、CAPTCHA チャレンジなしで続行します。エンドユーザーにはエラーメッセージは表示されず、そのままログインまたは登録できます。
    • Bot Detection サービスに接続できる場合、認証プロセスは CAPTCHA チャレンジ付きで続行されます。
    Auth Challenge はデフォルトの Bot Detection 応答で、CAPTCHA を使わない Web 体験に加え、より強力なプライバシー保護と優れたユーザー体験を提供します。ダッシュボードに記載されているとおり、このログイン体験には Javascript が必要です。Javascript なしでもログイン体験を動作させる必要がある場合は、Simple CAPTCHA を選択してください。
  4. パスワードフロー、パスワードレスフロー、パスワードリセットフローで CAPTCHA を要求するタイミングを選択します。
    • Never: ユーザーにログイン時の CAPTCHA 完了を一切求めません。
    • When Risky: ログインが Bot Detection レベル の設定に一致する場合にのみ、ユーザーに CAPTCHA の完了を求めます。
    • Always: ユーザーにログイン時の CAPTCHA 完了を常に求めます。
  5. When Risky または Always を選択すると、Response セクションに CAPTCHA Providers フィールドが表示されます。Auth Challenge (Auth0 提供) 、Simple CAPTCHA (Auth0 提供) 、またはサポートされているサードパーティプロバイダー連携のいずれかを選択します (外部での設定と登録が必要です) 。
    • Auth Challenge または Simple CAPTCHA を選択した場合は、これで完了です。ログイン体験が Javascript をサポートしていない場合は、Simple CAPTCHA を選択する必要があります。
    • サポートされているサードパーティプロバイダー連携のいずれかを選択した場合は、プロバイダーの設定詳細を入力します。詳しくは、Configure third-party CAPTCHA provider integrations を参照してください。
    • Simple CAPTCHA を選択した場合、CAPTCHA 画像はスクリーンリーダーで判読できません。
  6. When Risky を選択すると、Response セクションに Bot Detection レベル フィールドが表示されます。ユースケースに最も適したセキュリティレベルを選択します。詳しくは、Configure Bot Detection Level を参照してください。
  7. Save を選択します。

​
Bot Detection レベルを設定する

Bot Detection レベルの設定を、許容できるリスクとビジネスニーズに合わせて調整します。 選択できる設定は 3 つあります。
  1. Low: ボットによるアクティビティの可能性が高い場合に CAPTCHA をトリガーし、実際のユーザーには比較的負担の少ない体験を提供します。
  2. Medium: デフォルト。ボットによるアクティビティの可能性が中程度の場合に CAPTCHA をトリガーし、実際のユーザーにとってセキュリティと使いやすさのバランスが取れた体験を提供します。
  3. High: ボットによるアクティビティの可能性がわずかでもある場合に CAPTCHA をトリガーし、セキュリティは高まりますが、実際のユーザーの負担が増える可能性があります。
このスライダーにアクセスするには、Auth0 Dashboard > Security > 攻撃対策 に移動します

​
信頼できる IP アドレスで Bot Detection を回避する

IP AllowList フィールドに追加すると、最大 100 件の個別の IP アドレスや CIDR 範囲 (IPv4 または IPv6) で Bot Detection を回避できるようになります。Auth0 は、このリストに含まれる IP アドレスまたは CIDR 範囲に対してブロックを適用せず、アラートも送信しません。
  1. Auth0 Dashboard > Security > 攻撃対策 に移動し、Bot Detection を選択します。
  2. IP AllowList フィールドに、Bot Detection を回避させる IP アドレスや CIDR 範囲を入力します。複数のアドレスまたは範囲を入力する場合は、カンマで区切ります。

​
Custom Login Page と Classic Login Experience 向けのサインアップ検知モデルを設定する

Auth0 では、ログインモデルとは別に、固有のシグナルを分析して異なる種類の攻撃に対処する、サインアップ検知用の機械学習モデルを提供しています。 このモデルにより、CAPTCHA の動作をサインアップフローとログインフローで分けられるため、サインアップ攻撃に対する保護を強化しつつ、最新のセキュリティ強化にも対応できます。
このモデルを有効にする前に、Auth0.js や Lock を使用するすべてのアプリケーションで、ライブラリが最新バージョンになっていることを確認してください。
  • Auth0.js: 9.28.0+
  • Lock: 13.0+
古いバージョンのライブラリを使用したままこのモデルを有効にすると、アプリケーションでエラーが発生する可能性があります。
Custom Login Page または Classic Login Experience を使用している場合は、 で、Bot Detection がサインアップフローに使用する検知モデルを設定できます。
  1. Auth0 Dashboard > Security > 攻撃対策 に移動し、Bot Detection を選択します。
  2. Detection Models セクションを探します。
  3. Signup detection models for custom and classic login pages のトグルを有効にします。

​
制限事項と制約

​
フローの制限

Bot Detection は、Auth0 Universal Login を使用する Web アプリケーションおよびモバイルアプリケーションで機能します。 を使用しないアプリケーションでは、サポート範囲が限定されます。特に、CAPTCHA または reCAPTCHA のチャレンジに対応できないフローでは制限があります。 Bot Detection を有効にする前に、すべてのログイン体験がサポート対象であることを確認してください。そうしないと、アプリケーションでエラーが発生するおそれがあります。

​
接続タイプの制限

使用する接続タイプに応じて、Bot Detection には次の制限があります。

​
カスタムログインページへの対応

Auth0.js を使用してカスタムログインページを構築している場合は、Bot Detection を有効にすることで、Auth0 がログインリクエストを高リスクと判断した際に CAPTCHA ステップをレンダリングできます。 カスタムログインフォームのコードでは、ユーザーに CAPTCHA ステップの完了が求められるケースに対応する必要があります。詳しくは、カスタムログインページに Bot Detection を追加するを参照してください。

​
ネイティブアプリケーションのサポート

ログインフローで Auth0 SDK を使用してネイティブアプリケーションを構築している場合は、Auth0 がログインリクエストを高リスクと判断した際に CAPTCHA ステップをレンダリングできるよう、Bot Detection を有効にできます。 カスタムログインフォームのコードでは、ユーザーに CAPTCHA ステップの完了が求められるケースに対応する必要があります。詳しくは、Add Bot Detection to Native Applications を参照してください。

​
詳しく見る