> ## Documentation Index > Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt > Use this file to discover all available pages before exploring further. > Auth0 が攻撃を検出し、アプリケーションへの悪意のあるアクセスの試みから保護し、不審なアクティビティを管理者とユーザーに警告し、以降のログイン試行をブロックする仕組みについて説明します。 # Bot Detection サポートされているサードパーティ CAPTCHA プロバイダー連携のいずれかを使用するには、プロバイダーの設定詳細が必要です。詳しくは、[サードパーティ CAPTCHA プロバイダー連携を設定する](/docs/ja-jp/secure/attack-protection/bot-detection/configure-captcha)をご覧ください。 Bot Detection は、リクエストがボットから送信されている可能性が高いことを検出することで、スクリプト化された攻撃を軽減します。こうした攻撃は、クレデンシャルスタッフィング攻撃やリスト検証攻撃と呼ばれることもあります。Bot Detection は特定の攻撃への対策を提供しつつ、正当なユーザーにはほとんど負担をかけません。Auth Challenge は、CAPTCHA を使わないユーザー検証を提供するデフォルトのボット検出レスポンスです。 詳しくは、[Credential Stuffing Attacks: What Are They and How to Combat Them](https://auth0.com/resources/whitepapers/credential-stuffing-attacks)をご覧ください。 Auth0 は、大量のデータと統計モデルを使用して、ログイン、サインアップ、またはパスワードリセットのトラフィック急増がボットやスクリプトによるものである可能性が高いことを示すパターンを特定します。クレデンシャルスタッフィング攻撃の一部である可能性が高い IP アドレスからログイン、アカウント作成、またはパスワードリセットを試みるユーザーには、追加の検証ステップを完了することが求められます。これらのトリガーは、こうした攻撃に関連するトラフィックを検出しつつ、正当なユーザーに不要な負担をかけません。
## Bot Detection を設定する
有効にすると、検出モデルなどの Bot Detection の設定や応答アクションをカスタマイズできます。これらの設定は、テナント内のすべての接続に適用されます。 Bot Detection を有効にした状態で **Response** アクションを設定しない場合、Bot Detection は [Monitoring](/docs/ja-jp/secure/attack-protection#monitoring) モードで動作します。監視モードでは、リスク評価の詳細を含む関連イベントが、確認用にテナントログへ記録されます。詳しくは、[View Attack Protection Log Events](/docs/ja-jp/secure/attack-protection/view-attack-protection-events) を参照してください。 [Auth0 Dashboard](https://manage.auth0.com/#) で、Risk Assessment のテナントログを有効にできます。 1. [Auth0 Dashboard > Security > 攻撃対策](https://manage.auth0.com/#/security/attack-protection) に移動し、**Bot Detection** を選択します。 2. **Detection** セクションで、トグルを有効にします。 攻撃対策 画面の Detection セクション Risk Assessment のテナントログを有効にするトグルが表示されない場合は、[プランをアップグレードする](https://manage.auth0.com/#/tenant/billing/subscription) 必要があるかもしれません。 3. **Response** セクションで、Bot Detection の応答を選択します。 Auth0 Dashboard - 攻撃対策 - Bot Detection Auth Challenge を使用する場合、**Fail open** トグルはデフォルトで無効になっています。 **Fail Open** トグルを有効にすると、次のようになります。 * Bot Detection サービスに接続できない場合、Auth0 は認証プロセスを優先し、CAPTCHA チャレンジなしで続行します。エンドユーザーにはエラーメッセージは表示されず、そのままログインまたは登録できます。 * Bot Detection サービスに接続できる場合、認証プロセスは CAPTCHA チャレンジ付きで続行されます。 Auth Challenge はデフォルトの Bot Detection 応答で、CAPTCHA を使わない Web 体験に加え、より強力なプライバシー保護と優れたユーザー体験を提供します。 ダッシュボードに記載されているとおり、このログイン体験には Javascript が必要です。Javascript なしでもログイン体験を動作させる必要がある場合は、Simple CAPTCHA を選択してください。 4. パスワードフロー、パスワードレスフロー、パスワードリセットフローで CAPTCHA を要求するタイミングを選択します。 * **Never**: ユーザーにログイン時の CAPTCHA 完了を一切求めません。 * **When Risky**: ログインが **Bot Detection レベル** の設定に一致する場合にのみ、ユーザーに CAPTCHA の完了を求めます。 * **Always**: ユーザーにログイン時の CAPTCHA 完了を常に求めます。 5. **When Risky** または **Always** を選択すると、**Response** セクションに **CAPTCHA Providers** フィールドが表示されます。**Auth Challenge** (Auth0 提供) 、**Simple CAPTCHA** (Auth0 提供) 、またはサポートされているサードパーティプロバイダー連携のいずれかを選択します (外部での設定と登録が必要です) 。 * **Auth Challenge** または **Simple CAPTCHA** を選択した場合は、これで完了です。ログイン体験が Javascript をサポートしていない場合は、**Simple CAPTCHA** を選択する必要があります。 * サポートされているサードパーティプロバイダー連携のいずれかを選択した場合は、プロバイダーの設定詳細を入力します。詳しくは、[Configure third-party CAPTCHA provider integrations](/docs/ja-jp/secure/attack-protection/bot-detection/configure-captcha) を参照してください。 * **Simple CAPTCHA** を選択した場合、CAPTCHA 画像はスクリーンリーダーで判読できません。 6. **When Risky** を選択すると、**Response** セクションに **Bot Detection レベル** フィールドが表示されます。ユースケースに最も適したセキュリティレベルを選択します。詳しくは、[Configure Bot Detection Level](/docs/ja-jp/secure/attack-protection/bot-detection#configure-bot-detection-level) を参照してください。 7. **Save** を選択します。
## Bot Detection レベルを設定する
**Bot Detection レベル**の設定を、許容できるリスクとビジネスニーズに合わせて調整します。 選択できる設定は 3 つあります。 1. **Low**: ボットによるアクティビティの可能性が高い場合に CAPTCHA をトリガーし、実際のユーザーには比較的負担の少ない体験を提供します。 2. **Medium**: デフォルト。ボットによるアクティビティの可能性が中程度の場合に CAPTCHA をトリガーし、実際のユーザーにとってセキュリティと使いやすさのバランスが取れた体験を提供します。 3. **High**: ボットによるアクティビティの可能性がわずかでもある場合に CAPTCHA をトリガーし、セキュリティは高まりますが、実際のユーザーの負担が増える可能性があります。 このスライダーにアクセスするには、Auth0 Dashboard > Security > 攻撃対策 に移動します
## 信頼できる IP アドレスで Bot Detection を回避する
**IP AllowList** フィールドに追加すると、最大 100 件の個別の IP アドレスや CIDR 範囲 (IPv4 または IPv6) で Bot Detection を回避できるようになります。Auth0 は、このリストに含まれる IP アドレスまたは CIDR 範囲に対してブロックを適用せず、アラートも送信しません。 1. [Auth0 Dashboard > Security > 攻撃対策](https://manage.auth0.com/#/security/attack-protection) に移動し、**Bot Detection** を選択します。 2. **IP AllowList** フィールドに、Bot Detection を回避させる IP アドレスや CIDR 範囲を入力します。複数のアドレスまたは範囲を入力する場合は、カンマで区切ります。
## Custom Login Page と Classic Login Experience 向けのサインアップ検知モデルを設定する
Auth0 では、ログインモデルとは別に、固有のシグナルを分析して異なる種類の攻撃に対処する、サインアップ検知用の機械学習モデルを提供しています。 このモデルにより、CAPTCHA の動作をサインアップフローとログインフローで分けられるため、サインアップ攻撃に対する保護を強化しつつ、最新のセキュリティ強化にも対応できます。 このモデルを有効にする前に、[Auth0.js](https://github.com/auth0/auth0.js/) や [Lock](https://github.com/auth0/lock) を使用するすべてのアプリケーションで、ライブラリが最新バージョンになっていることを確認してください。 * **Auth0.js**: 9.28.0+ * **Lock**: 13.0+ 古いバージョンのライブラリを使用したままこのモデルを有効にすると、アプリケーションでエラーが発生する可能性があります。 [Custom Login Page](/docs/ja-jp/customize/login-pages) または [Classic Login Experience](/docs/ja-jp/authenticate/login/auth0-universal-login/universal-login-vs-classic-login/classic-experience) を使用している場合は、Auth0 Dashboard で、Bot Detection がサインアップフローに使用する検知モデルを設定できます。 1. [Auth0 Dashboard > Security > 攻撃対策](https://manage.auth0.com/#/security/attack-protection) に移動し、**Bot Detection** を選択します。 2. **Detection Models** セクションを探します。 3. **Signup detection models for custom and classic login pages** のトグルを有効にします。
## 制限事項と制約
### フローの制限
Bot Detection は、[Auth0 Universal Login](/docs/ja-jp/authenticate/login/auth0-universal-login) を使用する Web アプリケーションおよびモバイルアプリケーションで機能します。Universal Login を使用しないアプリケーションでは、サポート範囲が限定されます。特に、CAPTCHA または reCAPTCHA のチャレンジに対応できないフローでは制限があります。 Bot Detection を有効にする前に、すべてのログイン体験がサポート対象であることを確認してください。そうしないと、アプリケーションでエラーが発生するおそれがあります。 | フロー | 制限 | | ------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Universal Login | デフォルトでサポートされています。 | | クラシックログイン (カスタマイズなし) | デフォルトでサポートされています。 | | クラシックログイン (**Lock** テンプレートを使用する Custom Login Page) | `lock.js` SDK バージョン 12.4.0 以降を使用している場合にサポートされます。 | | クラシックログイン (**Custom Login Form** テンプレートを使用する Custom Login Page) | `auth0.js` SDK バージョン 9.24 以降を使用し、さらに CAPTCHA または reCAPTCHA のチャレンジを処理できるようコードを拡張している場合にサポートされます。 | | ネイティブアプリケーション | 次のいずれかの SDK を使用している場合にサポートされます: | | Resource Owner Password Flow を使用する Regular Web または Native アプリケーション | 限定的にサポートされます。CAPTCHA などの Bot Detection Response には対話型フローが必要なため、サポートされません。SDK から `requires_verification` エラーが返された場合は、ユーザーが認証を完了できるよう、Web ベースのログインフローを開始する必要があります。 | | `lock.js` または `auth0.js` SDK を使用し、クロスオリジン認証 (`co/authenticate` エンドポイント) を実行する Auth0 でホストされていないフロー | サポートされません。 |
### 接続タイプの制限
使用する接続タイプに応じて、Bot Detection には次の制限があります。 | 接続タイプ | 制限 | | --------------------- | ----------------------------------------------------- | | Database | フローの制限の表に記載されている互換性のあるログインフローをログインで使用している場合にサポートされます。 | | Custom database | フローの制限の表に記載されている互換性のあるログインフローをログインで使用している場合にサポートされます。 | | Active Directory/LDAP | フローの制限の表に記載されている互換性のあるログインフローをログインで使用している場合にサポートされます。 | | Enterprise | サポートされていません。 | | Social Login | サポートされていません。 | | パスワードレス | フローの制限の表に記載されている互換性のあるログインフローをログインで使用している場合にサポートされます。 |
### カスタムログインページへの対応
Auth0.js を使用してカスタムログインページを構築している場合は、Bot Detection を有効にすることで、Auth0 がログインリクエストを高リスクと判断した際に CAPTCHA ステップをレンダリングできます。 カスタムログインフォームのコードでは、ユーザーに CAPTCHA ステップの完了が求められるケースに対応する必要があります。詳しくは、[カスタムログインページに Bot Detection を追加する](/docs/ja-jp/secure/attack-protection/bot-detection/bot-detection-custom-login-pages)を参照してください。
### ネイティブアプリケーションのサポート
ログインフローで Auth0 SDK を使用してネイティブアプリケーションを構築している場合は、Auth0 がログインリクエストを高リスクと判断した際に CAPTCHA ステップをレンダリングできるよう、Bot Detection を有効にできます。 カスタムログインフォームのコードでは、ユーザーに CAPTCHA ステップの完了が求められるケースに対応する必要があります。詳しくは、[Add Bot Detection to Native Applications](/docs/ja-jp/secure/attack-protection/bot-detection/bot-detection-native-apps) を参照してください。
## 詳しく見る
* [サードパーティ CAPTCHA プロバイダー連携を設定する](/docs/ja-jp/secure/attack-protection/bot-detection/configure-captcha) * [カスタムログインページに Bot Detection を追加する](/docs/ja-jp/secure/attack-protection/bot-detection/bot-detection-custom-login-pages) * [ネイティブアプリケーションに Bot Detection を追加する](/docs/ja-jp/secure/attack-protection/bot-detection/bot-detection-native-apps) * [漏えいパスワードの検知](/docs/ja-jp/secure/attack-protection/breached-password-detection) * [総当たり攻撃対策](/docs/ja-jp/secure/attack-protection/brute-force-protection) * [不審な IP スロットリング](/docs/ja-jp/secure/attack-protection/suspicious-ip-throttling)