> ## Documentation Index
> Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

# 総当たり攻撃対策

> 発信元の IP アドレスをブロックしたり、ユーザーアカウントをロックしたり、メールまたは SMS でユーザーに通知したりすることで、総当たりによるログイン試行からユーザーアカウントを保護します。

総当たり攻撃対策では、単一の IP アドレスからユーザーアカウントへのログインに複数回失敗した場合に、Auth0 がどのように対応するかを決定します。総当たり攻撃対策では、次のように設定できます。

* 発信元の IP アドレスからそのユーザーとしてログインできないようにする

* そのユーザーによるすべてのログイン試行を防ぐ

* メールまたは SMS でユーザーに通知する

デフォルトでは、Auth0 テナントの作成時に総当たり攻撃対策が有効になります。総当たり攻撃対策は、テナント管理者を含むすべてのユーザーに適用されます。

接続では総当たり攻撃対策を有効のままにしておき、他の管理者アカウントをブロック解除できるよう、予備のテナント管理者を用意しておくことを強くお勧めします。

<div id="configure-brute-force-protection">
  ## 総当たり攻撃対策を設定する
</div>

[Dashboard > Security > アタックプロテクション > Brute-force Protection](https://manage.auth0.com/#/security/attack-protection/brute-force) では、総当たり攻撃対策の有効化、カスタマイズ、無効化を行えます。設定項目は次のとおりです。

* ページ上部のトグルで、総当たり攻撃対策の有効/無効を切り替えます。現在の状態は、**Enabled** / **Disabled** のステータスインジケーターに表示されます。

* **Detection** セクションには、[総当たり攻撃のしきい値](#brute-force-threshold) と [IP AllowList](#ip-allowlist) の設定があります。

* **Response** セクションには、[ブロック設定](#block-settings) と [通知](#notifications) の設定があります。

総当たり攻撃対策を有効にしていても、Response の設定をすべて無効にすると、ステータスインジケーターは **Monitoring** に変わります。Auth0 は [テナントログにアタックプロテクションイベントを記録します](/ja/docs/secure/attack-protection/view-attack-protection-events) が、それ以上のアクションは実行しません。

<Warning>
  [Resource Owner Password (ROP) フロー](/ja/docs/get-started/authentication-and-authorization-flow/resource-owner-password-flow/call-your-api-using-resource-owner-password-flow) の使用時に総当たり攻撃対策を正しく機能させるには、`auth0-forwarded-for` ヘッダーを使用して [ユーザーの IP アドレスを送信する](/ja/docs/get-started/authentication-and-authorization-flow/resource-owner-password-flow/avoid-common-issues-with-resource-owner-password-flow-and-attack-protection#send-the-user’s-ip-address-from-your-server) よう、アプリケーションを設定する必要があります。
</Warning>

<div id="brute-force-threshold">
  ### 総当たり攻撃のしきい値
</div>

総当たり攻撃のしきい値は、1 つの IP アドレスから 1 つの[ユーザー識別子](/ja/docs/authenticate/database-connections/flexible-identifiers-and-attributes#attribute-and-identifier-definitions)に対して許可されるログイン失敗回数です。この回数に達すると、総当たり攻撃対策が発動します。オプションは 2 つあります。

* **デフォルト** では、総当たり攻撃のしきい値は 10 に設定されます。

* **カスタム** では、総当たり攻撃のしきい値を 1 ～ 100 の範囲で設定できます。

指定した総当たり攻撃のしきい値に達した失敗ログイン試行の処理が完了した直後に、選択した攻撃緩和策が適用されます。

非同期メソッドを使用する Auth0 SDK を利用している場合、1 つのユーザー識別子から、設定した総当たり攻撃のしきい値を超える数の認証リクエストがアプリケーションに連続して送信されることがあります。ただし、いずれかのリクエストがそのしきい値に達すると、そのユーザー識別子からの以降のリクエストには [HTTP 429 `too_many_attempts` エラー](/ja/docs/libraries/common-auth0-library-authentication-errors#sign-up)が返されます。

<div id="ip-allowlist">
  ### IP AllowList
</div>

IP AllowList は、IPv4 または IPv6 アドレス、あるいは CIDR 表記の範囲をカンマ区切りで指定するリストです。IP AllowList に含まれる IP アドレスからのログイン試行は、総当たり攻撃対策の対象外となります。

IP AllowList を使用すると、ユーザーがプロキシの背後にいる場合などに、信頼できる IP アドレスまたは範囲を指定できます。

<div id="block-settings">
  ### ブロック設定
</div>

総当たり攻撃対策のブロック設定では、ブルートフォース検知がトリガーされたときに、Auth0 が特定のユーザー アカウントに対する追加のログイン試行をブロックするかどうか、またどのようにブロックするかを設定します。オプションは 2 つあります。

* **ブルートフォースログインをブロック** は、総当たり攻撃対策をトリガーした IP アドレスから、指定されたユーザー識別子に対して行われる追加のログイン試行をブロックします。これはデフォルトで有効です。

* **アカウントロックアウト** は、指定されたユーザー識別子に対するすべてのログイン試行をブロックします。これはデフォルトで無効です。

<div id="notifications">
  ### 通知
</div>

**影響を受けるユーザーに通知を送信** が有効な場合、Auth0 は、アカウントがブロックされるとそのユーザーに SMS またはメール通知を送信します。

ログインフローで電話番号を識別子として使用している場合、Auth0 はユーザーに SMS を送信します。SMS 通知は、識別子ごとに 1 時間あたり最大 1 件に制限されます。

アカウントにメールアドレスが関連付けられている場合、Auth0 はユーザーにメールを送信します。メール通知は、固有の IP アドレスごとに 1 時間あたり最大 1 件に制限されます。デフォルトでは、[ブロック済みアカウントのメール通知](/ja/docs/customize/email/customize-blocked-account-emails) には、ユーザーが自分のアカウントをブロック解除できるリンクが含まれます。

<div id="remove-brute-force-protection-blocks">
  ## 総当たり攻撃対策のブロックを解除する
</div>

総当たり攻撃対策のブロックは、次のいずれかが発生するまで有効なままです。

* 最後にログインに失敗してから 30 日が経過する。

* 管理者が、次のいずれかのエンドポイントを使用して Management API で総当たり攻撃対策のブロックを解除する。

  * ユーザーの識別子を使用する [識別子によるブロック解除エンドポイント](/ja/docs/api/management/v2/user-blocks/delete-user-blocks) (`DELETE /user-blocks`) 。

  * [ユーザーのブロックを解除するエンドポイント](/ja/docs/api/management/v2/user-blocks/delete-user-blocks-by-id) (`DELETE /user-blocks/{id}`) 。

<Callout icon="file-lines" color="#0EA5E9" iconType="regular">
  [テナント管理者によるブロック](/ja/docs/manage-users/user-accounts/block-and-unblock-users)は、総当たり攻撃対策のブロックとは別に処理されます。[テナント管理者によるブロックの解除](/ja/docs/manage-users/user-accounts/block-and-unblock-users#remove-tenant-administrator-blocks)について詳しくは、こちらを参照してください。
</Callout>

* 管理者が[総当たり攻撃のしきい値](#brute-force-threshold)を引き上げる。

* 設定されている場合、影響を受けたユーザーが[メール通知](#notifications)内のブロック解除リンクを選択する。

* 影響を受けたユーザーがパスワードを変更する。ユーザーのアカウントが OTP アカウントやデータベースアカウントなど複数の接続タイプでリンクされている場合、ブロックを解除するには、リンクされているすべてのアカウントでパスワードを変更する必要があります。

<div id="learn-more">
  ## 詳細を見る
</div>

* [アタックプロテクションのログイベントを表示する](/ja/docs/secure/attack-protection/view-attack-protection-events)
* [ユーザーをブロック/ブロック解除する](/ja/docs/manage-users/user-accounts/block-and-unblock-users)
* [ブロックされたアカウント向けメールをカスタマイズする](/ja/docs/customize/email/customize-blocked-account-emails)
* [ユーザー名/パスワード認証のレート制限](/ja/docs/troubleshoot/customer-support/operational-policies/rate-limit-policy/database-connections-rate-limits)