認証
ユーザー管理
カスタマイズ
プラットフォーム- 盗まれた資格情報を使った新規ユーザー登録をブロックする。ユーザー名/パスワードの組み合わせ全体を完全にブロックします。
- 盗まれた資格情報を使ったログインをすべてブロックする。アカウント全体を完全にブロックし、悪意のある攻撃者がアプリケーションにアクセスするのを防ぎます。ユーザーはパスワードを変更するまでログインできません。
- ログインの試行があった場合に、ユーザーにメールを送信する。メールではリスクについて知らせ、直ちにパスワードを変更するよう案内します。ユーザーに送信するメッセージはカスタマイズできます。詳しくは、Customize Blocked Account Emailsを参照してください。
Credential Guard で漏えいをより迅速に検出
Credential Guard を Auth0 契約に追加するには、お問い合わせください。
漏えいパスワード検知を設定する
-
Auth0 Dashboard > Security > Attack Protection に移動し、Breached Password Detection を選択します。
-
漏えいパスワード検知を有効にするには、ページ右上のスイッチをオンにします。
Risk Assessment のテナントログを有効にするトグルが表示されない場合は、プランをアップグレードする必要がある可能性があります。
検出方法を設定する
- Auth0 Dashboard > Security > 攻撃対策 に移動し、Breached Password Detection を選択します。
- Detection セクションで、Breached Password Detection Method を探します。
- Auth0 との契約に Credential Guard が含まれている場合は、As soon as possible based on data received from the dark web, with Credential Guard を選択します。
- それ以外の場合は、When breach data is published を選択したままにします。
- 変更を適用するには、Save を選択します。
対応シナリオを設定する
- Auth0 Dashboard > Security > 攻撃対策 に移動し、Breached Password Detection を選択します。
-
Response セクションを探します。
- Block compromised credentials for new accounts トグルを有効にして、サインアップ時にユーザーが漏えいした資格情報を使用できないようにします。
- Block compromised user accounts トグルを有効にして、login時にユーザーが漏えいした資格情報を使用できないようにします。
- Block compromised credentials use for password reset トグルを有効にして、パスワードリセット時にユーザーが漏えいした資格情報を使用できないようにします。
通知を設定する
- Auth0 Dashboard > Security > 攻撃対策 に移動し、Breached Password Detection を選択します。
- Notifications セクションを見つけます。
- Auth0 がユーザーの資格情報が漏えいした可能性を検出したときにそのユーザーへメールを送信するには、Send notifications to users with compromised credentials トグルを有効にします。
- ユーザーが漏えいした資格情報を使ってサインアップしたときに管理者へメールを送信するには、Compromised user accounts トグルを有効にします。
- ユーザーが漏えいした資格情報を使ってログインしたときに管理者へメールを送信するには、Compromised user accounts トグルを有効にします。
- 通知頻度を選択します: Immediately、Daily、Weekly、または Monthly。
- 保存 を選択します。
スロットリングの動作
- 侵害されたユーザーアカウントをブロックする: スロットリングは適用されません。漏えいした認証情報が検知されると、ユーザーアカウントは常にブロックされます。
- ユーザーに通知を送信する: ユーザーごとに 1 時間あたり 1 回に制限されます。
- テナント管理者に通知を送信する: IP アドレスごとに 1 時間あたり 1 回に制限されます。
pwd_leakイベントをログに記録する: IP アドレスごとに 1 時間あたり 1 回に制限されます。
想定どおりのメール通知が届かない場合、またはテナントログに
pwd_leak イベントが見当たらない場合は、その検知がスロットリング期間内に発生していないか確認してください。スロットリング期間中は通知とログイベントが抑制されますが、これは想定された動作です。ただし、ユーザーアカウントのブロックは、スロットリングに関係なく常に実行されます。ユーザーへのメール通知をカスタマイズする
- Auth0 Dashboard > Branding > メールテンプレート に移動します。
- Template ドロップダウンメニューで、Password Breach Alert を選択します。
- 必要に応じてテンプレートを更新します。メッセージをカスタマイズするには、利用可能な共通変数を自由に使用できます。
検知設定を確認する
AUTH0-TEST- で始まるパスワードを使用すると、テスト用に Breached Password Detection が作動します。Signupフロー
- Signupフローを実行し、テスト用の漏洩パスワード (
Paaf213XXYYZZまたはPaat739!!WWXXYYZZ) またはAUTH0-TEST-で始まる任意のパスワードを使って、新しいアカウントの登録を試します。 - Block compromised credentials for new accounts が有効な場合は、エラーメッセージが表示され、漏洩したパスワードは使用できません。
- Auth0 Dashboard > Monitoring > Logs に移動します。
- ログで
type: "signup_pwd_leak"を検索し、Auth0 によってSignupがブロックされたことを確認します。
ログインフロー
- Auth0 Dashboard > User Management > User でテストユーザーを作成し、テスト用の漏えいパスワード (
Paaf213XXYYZZまたはPaat739!!WWXXYYZZ) またはAUTH0-TEST-で始まる任意のパスワードを設定します。 - ログインフローに沿って進み、設定した識別子とパスワードを送信します。
- Block compromised user accounts が有効になっている場合、ユーザーにはエラーメッセージが表示され、ログインがブロックされるとともに、パスワードのリセットが案内されます。
- Auth0 Dashboard > Monitoring > Logs に移動します。
type: "pwd_leak"でログを検索し、Auth0 によってログインがブロックされたことを確認します。- Auth0 Dashboard > User Management > User に移動し、テストユーザーを削除します。
リセットフロー
- Auth0 Dashboard > User Management > User でテストユーザーを作成します。
- パスワードリセットのフローを進め、漏えいパスワードのテスト用サンプル (
Paaf213XXYYZZまたはPaat739!!WWXXYYZZ) のいずれか、またはAUTH0-TEST-で始まる任意のパスワードを入力します。 - Block compromised user accounts が有効になっている場合、エンドユーザーにはエラーメッセージが表示され、パスワードをリセットできず、別のパスワードを使用するよう案内されます。
- Auth0 Dashboard > Monitoring > Logs に移動します。
- ログで
type: “reset_pwd_leak"を検索し、Auth0 がパスワードリセットをブロックしたことを確認します。 - Auth0 Dashboard > User Management > User に移動し、テストユーザーを削除します。