Guide pratique sur la Bot Detection

Guide pratique pour utiliser la fonctionnalité de surveillance de la Bot Detection d’Auth0 dans le Centre de sécurité

Avant de commencer

Vous devez activer la Bot Detection et configurer un fournisseur de captcha.

La fonctionnalité de surveillance de la Bot Detection d’Auth0 sert de système d’alerte précoce contre les botnets et les attaques. Vous trouverez ci-dessous des conseils pour identifier les bots qui tentent d’ouvrir une session dans votre locataire.

​

Repérer les événements de journal pertinents

Lorsque vous préparez une réponse, commencez par examiner les messages de journal liés à l’attaque potentielle. Pour une analyse avancée, activez la diffusion des journaux et connectez-la à l’outil externe de votre choix.

Les types d’événements de journal suivants sont pertinents pour enquêter sur une hausse de l’activité des robots.

Type d’événement de journal	Description
pla	Généré avant la connexion pour surveiller la détection des robots, même si celle-ci est uniquement en mode surveillance et n’utilise pas de captcha pour identifier les robots.
fu	Événements d’échec de connexion d’un utilisateur en raison d’un nom d’utilisateur non valide, ce qui peut indiquer des tentatives d’énumération de noms d’utilisateur ou de prise de contrôle de compte.
fp	Événements d’échec de connexion d’un utilisateur en raison d’un mot de passe non valide, ce qui peut indiquer des tentatives d’attaque par credential stuffing.
pwd_leak	Tentatives de connexion avec un mot de passe compromis, ce qui peut indiquer des tentatives d’attaque par credential stuffing.
limit_wc	Événements de blocage d’IP pour >10 tentatives de connexion échouées sur un seul compte, ce qui indique que l’adresse IP appartient probablement à un robot.
limit_sul	Événements de blocage d’utilisateur pour >20 tentatives de connexion par minute à partir de la même adresse IP, ce qui indique une activité probable de robots.
limit_mu	Événements de blocage d’IP pour >100 tentatives de connexion échouées ou >50 tentatives d’inscription à partir de la même adresse IP, ce qui indique une activité probable de robots.
fcoa	Événements d’échec d’authentification inter-origine, ce qui indique que des attaquants utilisent l’automatisation pour effectuer des prises de contrôle de compte.
scoa	Événements d’authentification inter-origine réussie, ce qui indique que des attaquants utilisent l’automatisation pour effectuer des prises de contrôle de compte lorsqu’ils proviennent d’un petit nombre d’adresses IP réparties entre plusieurs utilisateurs.

​

Réponse à une attaque

Bien que le fait de régler immédiatement le niveau de Bot Detection sur Élevé permette d’atténuer l’attaque, une stratégie globale doit concilier la tolérance au risque de votre entreprise, vos capacités techniques et l’expérience de connexion de vos utilisateurs. Au moment de réagir, tenez compte de deux facteurs principaux :

• Friction pour l’utilisateur : évaluez l’impact des mesures d’atténuation (p. ex. la fréquence des CAPTCHA) sur l’expérience utilisateur.
• Capacité technique : évaluez votre capacité à mettre en œuvre le blocage d’adresses IP, des règles WAF et à imposer l’MFA.

Auth0 recommande une approche de sécurité à plusieurs niveaux qui combine plusieurs techniques d’atténuation pour offrir une protection optimale.

​

Stratégies d’atténuation

Pour vous protéger au mieux contre les attaques, envisagez les stratégies suivantes :

• Activez le captcha pour un ou plusieurs flux et augmentez sa fréquence au besoin, mais rappelez-vous qu’un captcha est un moyen de dissuasion, pas une solution.
• Changez de fournisseur de captcha si des attaquants contournent votre captcha actuel, ou envisagez de migrer vers Auth Challenge d’Auth0 ou un autre fournisseur pris en charge.
• Si vous soupçonnez une campagne d’inscriptions frauduleuses, empêchez temporairement les nouvelles inscriptions d’utilisateurs à votre application à partir de points de terminaison publics sans authentification.
• Modifiez les règles de votre pare-feu d’application web avec un fournisseur de périphérie, ou utilisez des listes de contrôle d’accès du locataire pour bloquer les adresses IP abusives, les numéros de système autonome, les emplacements géographiques, les clients TLS ou des éléments d’en-tête HTTP comme les chaînes user-agent, et envisagez d’utiliser un proxy inverse.
• Resserrez les seuils de Brute Force et de Suspicious IP afin de réduire les limites de connexions autorisées et d’atténuer les attaques par force brute. Pour en savoir plus sur les attaques par force brute, consultez le guide pratique Brute Force.
• Désactivez les points de terminaison inutilisés en modifiant vos paramètres de Cross-Origin Authentication. Si vous soupçonnez des attaques liées à des mots de passe compromis, consultez le guide pratique Breached Password.
• Appliquez la MFA avec élévation d’authentification aux comptes compromis, jusqu’à exiger la MFA pour les comptes potentiellement compromis.
• Migrez vers des options de MFA plus robustes pour atténuer les attaques de pompage de SMS ou de fraude aux frais d’appel en remplaçant la MFA par SMS ou par appel vocal par OTP ou WebAuthn.