不審な IP スロットリング 不審な IP スロットリングは、Auth0 テナントの作成時にデフォルトで有効になります。Auth0 は、ある IP アドレスから多数の Signup 試行またはログイン失敗試行を検出すると、その IP アドレスへのスロットリングが解除されるまで、以降の試行に対して HTTP 429 Too Many Requests status code を返します。
テナントに記録される Signup とログイン失敗試行の詳細については、Log Type Codes を参照してください。
不審な IP スロットリングは、Auth0 Dashboard または Auth0 Management API で設定できます。
Auth0 では、不審な IP スロットリングを無効にしないことを強く推奨しています。
Auth0 Dashboard > Security > 攻撃対策 に移動し、Suspicious IP Throttling を選択します。ページ上部のトグルを選択して、不審な IP スロットリングを有効または無効にします。
信頼できる IP アドレスがスロットリング制限を超えても許可する IP AllowList に追加することで、最大 100 件の個別の IP アドレスや CIDR 範囲 (IPv4 または IPv6) を Suspicious IP Throttling の対象外にできます。これらの IP アドレスがスロットリング制限を超えても、Auth0 はテナント管理者に通知したり、ブロックしたりしません。
Auth0 Dashboard > Security > 攻撃対策 に移動し、Suspicious IP Throttling を選択します。IP AllowList フィールドに、ログインやサインアップの試行を無制限に許可する IP アドレスや CIDR 範囲を入力します。複数の IP アドレスや CIDR 範囲を入力する場合は、カンマで区切ってください。
デフォルトでは、不審な IP アドレスとしてマークされると、Auth0 からテナント管理者にメールが送信されます。
ログインまたはサインアップの短時間での大量試行に対して、Auth0 がどのように応答するかを設定できます。
応答設定を 1 つも有効にしないまま攻撃対策機能を有効化すると、監視モードが有効になります。このモードでは、関連するイベントはテナントログに記録されるだけです。詳しくは、攻撃対策のログイベントを表示する をご覧ください。
Auth0 Dashboard > Security > Attack Protection に移動し、Suspicious IP Throttling を選択します。Response セクションを見つけます。Block Settings セクションで、Limit high-velocity traffic targeting too many accounts を有効にして、ログインまたはサインアップのしきい値を超えた IP アドレスからのトラフィックを抑制します。Notifications セクションで、Send notification to account administrator を有効にして、IP アドレスがログインまたはサインアップのしきい値を超えた場合に、テナント管理者へ自動的にメールを送信します。Save を選択します。
Auth0 で不審な IP アドレスに対するスロットリングの方法をカスタマイズできます。変更できるのは次の項目です。
特定の IP アドレスから許可する、ログイン失敗およびサインアップ試行の最大回数
スロットリングされた IP アドレスから、新たなログインおよびサインアップ試行を許可するレート
最大試行回数とスロットリングレート、およびその仕組みの詳細については、不審な IP のスロットリングの仕組み を参照してください。
Auth0 Dashboard > Security > 攻撃対策 に移動し、Suspicious IP Throttling を選択します。
Detection セクションを見つけます。
Suspicious IP Thresholds で Custom を選択します。
Login Threshold を設定します。
Maximum Attempts : 1 つの IP アドレスから 1 日に実行できるログイン失敗回数を入力します。この回数を超えると、Auth0 は次の試行をブロックします。Throttling Rate : 新しいログイン token を付与するレートを入力します。
Signup Threshold を設定します。
Maximum Attempts : 1 つの IP アドレスから 1 分間に実行できるサインアップ試行回数を入力します。この回数を超えると、Auth0 は次の試行をブロックします。Throttling Rate : 新しいサインアップ token を付与するレートを入力します。
Save を選択します。
Auth0 では、ログイン試行とサインアップ試行は別々にカウントされ、それぞれ個別に許可されます。以降のログイン試行が停止された IP アドレスでも、引き続きサインアップを試すことはできます。以降のサインアップ試行が停止された IP アドレスでも、引き続きログインを試すことはできます。
Auth0 は、1 日のうちに何度もログインに失敗した IP アドレスに対してスロットリングを適用します。ログインのスロットリング率は、Auth0 が 24 時間にわたって IP アドレスごとに均等に許可するログイン試行回数を決定します。たとえば、スロットリング率が 100 の場合、Auth0 は約 15 分ごとに 1 回、新たな試行を許可します。
Auth0 は、1分間に過剰な回数の Signup を試みた IP アドレスに対してスロットリングを適用します。たとえば、ある IP アドレスが 50 回 Signup を試みると、Auth0 はそれ以降の試行をブロックします。ログインとは異なり、Signup の試行は失敗している必要はありません。
Signup のスロットリングレートは、Auth0 が各 IP アドレスに対して 24 時間にわたり均等に許可する Signup 試行回数を決定します。たとえば、スロットリングレートが 72,000 の場合、Auth0 はおよそ 1 秒ごとに新たな試行を 1 回許可します。
正しい構造や形式に従っていないログインおよびサインアップのリクエストは、有効な試行とはみなされないため、設定したしきい値にはカウントされません。
ログインおよびサインアップのリクエストの詳細については、Auth0 Authentication API を参照してください。
不審な IP に対するスロットリングはユーザーの IP アドレスに基づいて行われるため、次のユースケースでは追加の設定が必要です。
認証
ユーザー管理
カスタマイズ
プラットフォーム
