> ## Documentation Index
> Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

> Security Center で Auth0 の Breached Password 監視機能を使用するためのプレイブック

# Breached Password プレイブック

<Card title="始める前に">
  [Breached Password Protection](/docs/ja-jp/secure/attack-protection/breached-password-detection) を設定し、[しきい値アラート](/docs/ja-jp/secure/security-center/security-alerts) を設定しておく必要があります。
</Card>

攻撃者は、テナントへの攻撃対象として、パスワードベースの認証を悪用する可能性があります。以下では、潜在的な攻撃を特定・調査し、ユーザーを保護してさらなるリスクを最小限に抑えるために必要な対処を行う方法について説明します。

<div id="find-log-events-of-interest">
  ### 注目すべきログイベントを見つける
</div>

対応を検討する際は、まず注目すべきログメッセージを絞り込み、潜在的な攻撃を特定します。たとえば、攻撃元が少数の IP、単一の自律システム番号 (ASN) 、または特定の国に集中している可能性があります。

ブルートフォース攻撃を調査する際は、以下の Auth0 テナントログのイベントタイプが参考になります。

<Accordion title="関連するログイベントタイプ">
  1. `f`: ユーザーのログイン失敗
  2. `fu`: 無効なユーザー名によるログイン失敗
  3. `fp`: 無効なパスワードによるログイン失敗
  4. `pwd_leak`: 漏えいしたパスワードでのログイン試行
  5. `signup_pwd_leak`: 漏えいしたパスワードでのサインアップ試行
  6. `fcoa`: クロスオリジン認証の失敗 (これらのイベントは `/co/authenticate` によって生成されます。これは、[厳密に必要な場合を除いて有効にすべきではありません](https://sec.okta.com/articles/2024/05/detecting-cross-origin-authentication-credential-stuffing-attacks/))
  7. `scoa`: クロスオリジン認証の成功 (これらのイベントは `/co/authenticate` によって生成されます。これは、[厳密に必要な場合を除いて有効にすべきではありません](https://sec.okta.com/articles/2024/05/detecting-cross-origin-authentication-credential-stuffing-attacks/))
</Accordion>

<div id="identify-breached-password-attacks">
  ### 漏えいしたパスワードを使った攻撃を特定する
</div>

攻撃者は、パスワード認証の突破を狙って、しばしば[ブルートフォース攻撃](/docs/ja-jp/secure/attack-protection/brute-force-protection) ([TT1110](https://attack.mitre.org/techniques/T1110/)) を仕掛けます。多数のボットを使ってパスワードを推測したり、再利用された資格情報でサインアップを試みて、ユーザーアカウントを検証したりします。

<div id="password-guessing">
  #### パスワード推測
</div>

パスワード推測 ([TT1110.001](https://attack.mitre.org/techniques/T1110/001/)) は、主に比較的未熟な攻撃者が用いる手口です。こうした攻撃者は、テナントのポリシーに関する事前知識をほとんど持たないまま、アカウントへのアクセスを試みて繰り返しパスワードを推測します。攻撃者は、未知のパスワードを持つユーザーが存在するかどうかを手当たり次第に試しているだけなので、[Auth0 のログイベント](/docs/ja-jp/deploy-monitor/logs/log-event-type-codes)には `fp`、`fu`、`fcoa` イベントが大量に現れます。

<div id="password-spraying">
  #### パスワードスプレー
</div>

攻撃者は、正規ユーザーのアカウントへのアクセスを狙って、パスワードスプレー ([TT1110.003](https://attack.mitre.org/techniques/T1110/003/)) を日和見的な大規模攻撃として仕掛けます。攻撃者は広く使われているパスワードを試すことで目的を達成しようとするため、こうした攻撃は Auth0 のブルートフォース対策にしばしば検知されます。パスワード推測攻撃と同様に、ログ内で `fp`、`fu`、`fcoa` イベントが多数発生している場合、攻撃者がパスワードスプレー攻撃を試みている可能性を見極める有効な手がかりになります。

<div id="credential-stuffing">
  #### クレデンシャルスタッフィング
</div>

テナントで追加の認証要素を必須とせずにパスワードを使用している場合、クレデンシャルスタッフィング ([TT1110.004](https://attack.mitre.org/techniques/T1110/004/)) は、最も効果的なブルートフォース攻撃の手法です。これらの攻撃は、漏えいしたパスワードのリストを使って被害者のアカウントへのログインを試み、パスワードの漏えいと使い回しにつけ込みます。クレデンシャルスタッフィング攻撃では、`fp` イベント (攻撃者はユーザーの存在を把握している可能性が高いため) や、`pwd_leak` イベント (攻撃者が漏えいした資格情報を使ってログインを試みているため) が頻繁に発生します。

<div id="mitigation-strategies">
  #### 緩和戦略
</div>

包括的な戦略では、ビジネスのリスク許容度や技術力と、ユーザーがサインイン時に得る体験とのバランスを取る必要があります。対策を講じる際は、主に次の 2 つの要素を考慮してください。

* **ユーザーの負担**: 緩和策 (例: CAPTCHA の頻度、パスキーの必須化、または <Tooltip tip="多要素認証（MFA）: SMS で送信されるコードなど、ユーザー名とパスワードに加えて別の認証要素を使用するユーザー認証プロセス。" cta="用語集を表示" href="/docs/ja-jp/glossary?term=MFA">MFA</Tooltip>) がユーザー体験に与える影響を評価します。
* **技術的能力**: IP ブロック、WAF ルール、多要素認証の強制適用を実装できるかを評価します。

Auth0 は、最適な保護を実現するために、複数の緩和手法を組み合わせた多層防御アプローチを推奨しています。以下は Auth0 の推奨事項です。

* [ボット検出](/docs/ja-jp/secure/attack-protection/bot-detection) を有効にし、[漏えいした資格情報](/docs/ja-jp/secure/attack-protection/breached-password-detection#configure-response-scenarios) をブロックします。必要に応じて、漏えいの可能性があるアカウントに多要素認証を要求することも含まれます。
* 1 つ以上のフローで CAPTCHA を有効化し、必要に応じて CAPTCHA の頻度を上げてください。ただし、CAPTCHA は抑止策であって、根本的な解決策ではない点に注意してください。<Tooltip tip="ボット検出: Auth0 がログインプロセス中に CAPTCHA を有効にすることで、疑わしいボットトラフィックをブロックする攻撃対策の一形態です。" cta="用語集を表示" href="/docs/ja-jp/glossary?term=bot+detection">ボット検出</Tooltip> の詳細については、[Bot Detection playbook](/docs/ja-jp/secure/attack-protection/playbooks/bot-detection-playbook) を参照してください。
* 攻撃者が現在の CAPTCHA を回避している場合は、CAPTCHA プロバイダーを変更するか、Auth0 の Auth Challenge または別の[サポート対象のプロバイダー](/docs/ja-jp/secure/attack-protection/bot-detection/configure-captcha)への移行を検討してください。
* エッジプロバイダーを使用して Web アプリケーションファイアウォールのルールを変更するか、[テナントアクセス制御リスト](/docs/ja-jp/secure/tenant-access-control-list) を使用して、不正な IP、自律システム番号、地理的な場所、[TLS クライアント](/docs/ja-jp/customize/custom-domains/self-managed-certificates/tls-ssl)、または `user-agent` 文字列のような HTTP ヘッダー要素をブロックしてください。
* [ブルートフォース](/docs/ja-jp/secure/attack-protection/brute-force-protection) と [Suspicious IP](/docs/ja-jp/secure/attack-protection/suspicious-ip-throttling) のしきい値を厳しくして、許可される接続数の上限を引き下げ、ブルートフォース攻撃を緩和してください。
* [クロスオリジン認証](/docs/ja-jp/authenticate/login/cross-origin-authentication) の設定を変更して、クレデンシャルスタッフィング攻撃を受けやすいステートレスなエンドポイントを無効にしてください。