テナントアクセス制御リストで厳選ブロックリストを使用する

Auth0 管理の厳選 IP ブロックリストを Tenant ACL ルールで使用すると、IP 範囲や ASN を手動で管理することなく、既知の脅威を自動的にブロックできます。

この機能は、攻撃対策をご利用のお客様に提供されています。

Auth0 では、低評価の IP や TOR 出口ノードなど、複数の脅威インテリジェンスカテゴリに対応したブロックリストをキュレートしています。これらのブロックリストは、テナントアクセス制御リスト (ACL) ルールで参照できます。有効化された厳選ブロックリストのエントリにトラフィックが一致すると、Auth0 はリクエストのブロックなど、ACL ルールで定義されたアクションを自動的に実行します。

動的に更新される当社のブロックリストは、IP 範囲や自律システム番号 (ASN) を手動で管理する代わりに使用できます。また、他の CIDR ブロック、ASN、地理的位置情報マッチャーと組み合わせることもできます。

​

主な機能

• 自動更新: Auth0 Threat Intelligence はすべての auth0.* ブロックリストフィードを継続的に更新するため、お客様側で ルール を手動で更新する必要はありません。
• 統合マッチング: auth0_managed マッチャーは、IPv4、IPv6、TLS フィンガープリントの混在といった複雑な処理を、単一の array 内で透過的に処理します。

​

利用可能な厳選ブロックリスト

Auth0 では、標準的な命名規則に基づいて厳選ブロックリストを大まかなカテゴリに分類しています。すべての厳選ブロックリストには、auth0.<category> 接頭辞が使用されます。

ブロックリスト識別子	カテゴリ	説明
auth0.icloud_relay_proxy	Apple Private Relay	Apple iCloud Private Relay の出口ノードからのトラフィック。
auth0.low_reputation	評判の低い IP	アクティブな脅威ベクトルや高リスクの発信元など、Auth0 の脅威インテリジェンスによって特定された高リスク IP アドレス。
auth0.proxy	オープンおよび商用プロキシ	住宅用、データセンター、または公開プロキシに関連する IP アドレス。
auth0.tor	TOR 出口ノード	アクティブな TOR 出口ノードとして特定された IP アドレス。
auth0.vpn	VPN ネットワーク	商用 Virtual Private Network (VPN) プロバイダーからの IP アドレス。

​

厳選されたブロックリストを使用してルールを設定する

ルール定義内で Network ACLs Management API の auth0_managed マッチャーを使用して、厳選されたブロックリストを設定します。

​

厳選されたブロックリストに基づくトラフィックのブロック

認証エンドポイントで信頼性の低いIPアドレスからのトラフィックをブロックするには、/api/v2/network-acls に POST リクエストを送信します。

{
  "description": "Block low-reputation IPs",
  "active": true,
  "priority": 1,
  "rule": {
    "action": {
      "block": true
    },
    "match": {
      "auth0_managed": [
        "auth0.low_reputation"
      ]
    },
    "scope": "authentication"
  }
}

​

他のマッチャーと組み合わせる

厳選ブロックリストは、同じACLルール内でCIDRブロック、ASN、または地理的位置情報マッチャーと組み合わせて使用できます。

{
  "description": "Block specific regions and curated threat IPs",
  "active": true,
  "priority": 2,
  "rule": {
    "action": {
      "block": true
    },
    "match": {
      "auth0_managed": [
        "auth0.low_reputation",
        "auth0.icloud_relay_proxy"
      ],
      "geo_country_codes": [
        "CN"
      ]
    },
    "scope": "authentication"
  }
}

​

厳選ブロックリストのトラフィックを除外する

not_match を使用すると、厳選ブロックリストに含まれないトラフィックを明示的に許可できます。たとえば、より広範なブロックルールが有効な場合でも、低評価とフラグ付けされていないトラフィックを許可できます。

{
  "description": "Allow traffic not flagged as low reputation",
  "active": true,
  "priority": 2,
  "rule": {
    "action": {
      "allow": true
    },
    "not_match": {
      "auth0_managed": ["auth0.low_reputation"]
    },
    "scope": "authentication"
  }
}

​

詳細情報

• テナントアクセス制御リストルールを設定する
• ルールの評価
• Management API のパラメータリファレンス