> ## Documentation Index
> Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

> Security Center で Auth0 の Bot Detection 監視機能を使用するためのプレイブック

# Bot Detection プレイブック

<Card title="開始前に">
  [Bot Detection](/ja/docs/secure/attack-protection/bot-detection) を有効にし、[キャプチャ プロバイダー](/ja/docs/secure/attack-protection/bot-detection/configure-captcha)を設定しておく必要があります。
</Card>

Auth0 の [Bot Detection 監視機能](/ja/docs/secure/security-center#bot-detection) は、ボットネットや攻撃を早期に検知するための仕組みです。以下では、テナントへのログインを試みるボットを特定するためのガイダンスを示します。

<div id="find-log-events-of-interest">
  #### 注目すべきログイベントを特定する
</div>

対応を検討する際は、まず想定される攻撃に関連するログメッセージを絞り込みます。高度な分析を行うには、[ログストリーミング](/ja/docs/customize/log-streams)を有効にし、任意の外部ツールに接続します。

ボットアクティビティの増加を調査する際は、次の[ログイベントタイプ](/ja/docs/deploy-monitor/logs/log-event-type-codes)が参考になります。

| Log Event Type | Description                                                                                 |
| -------------- | ------------------------------------------------------------------------------------------- |
| `pla`          | ログイン前に生成されるイベントで、ボット検知が監視モードのみでボットの識別にキャプチャを使用していない場合でも記録されます。                              |
| `fu`           | 無効なユーザー名によるユーザーログイン失敗イベント。ユーザー名列挙やアカウント乗っ取りの試行を示している可能性があります。                               |
| `fp`           | 無効なパスワードによるユーザーログイン失敗イベント。クレデンシャルスタッフィング攻撃の試行を示している可能性があります。                                |
| `pwd_leak`     | 漏えいしたパスワードを使ったログイン試行イベント。クレデンシャルスタッフィング攻撃の試行を示している可能性があります。                                 |
| `limit_wc`     | 単一アカウントに対してログイン失敗が >10 回発生した場合の IP ブロックイベント。この IP アドレスはボットによるものである可能性が高いことを示します。            |
| `limit_sul`    | 同じ IP アドレスから 1 分間に >20 回のログイン試行があった場合のユーザーブロックイベント。ボットアクティビティである可能性が高いことを示します。              |
| `limit_mu`     | 同じ IP アドレスからログイン失敗が >100 回、またはサインアップ試行が >50 回あった場合の IP ブロックイベント。ボットアクティビティである可能性が高いことを示します。 |
| `fcoa`         | クロスオリジン認証の失敗イベント。攻撃者が自動化を使ってアカウント乗っ取りを試みていることを示します。                                         |
| `scoa`         | クロスオリジン認証の成功イベント。少数の IP アドレスから複数のユーザーに対して、攻撃者が自動化を使ってアカウント乗っ取りを行っていることを示します。                |

<div id="attack-response">
  #### 攻撃への対応
</div>

<Tooltip tip="Bot Detection: Auth0 がログイン処理中に キャプチャ を有効にして、ボットと疑われるトラフィックをブロックする攻撃防御の一形態。" cta="用語集を見る" href="/ja/docs/glossary?term=Bot+Detection">Bot Detection</Tooltip> レベルを High に設定すると攻撃を直ちに緩和できますが、包括的な戦略では、ビジネスのリスク許容度や技術的能力と、ユーザーのサインイン時の体験とのバランスを取る必要があります。対応する際は、主に次の 2 つの要素を考慮してください。

* **ユーザーの負担**: 緩和策 (例: キャプチャ の頻度) がユーザー体験に与える影響を評価します。
* **技術的能力**: IP ブロック、WAF ルール、<Tooltip tip="多要素認証 (MFA): SMS による code など、username とパスワードに加えて別の要素を使用するユーザー認証プロセス。" cta="用語集を見る" href="/ja/docs/glossary?term=MFA">MFA</Tooltip> の適用を実装する能力を評価します。

Auth0 は、最適な保護のために複数の緩和手法を組み合わせた多層防御アプローチを推奨しています。

<div id="mitigation-strategies">
  #### 緩和策
</div>

攻撃に対する保護を最適化するには、次の対策を検討してください。

* 1 つ以上のフローでキャプチャを有効にし、必要に応じてキャプチャの実行頻度を上げてください。ただし、キャプチャは抑止策であり、根本的な解決策ではないことに注意してください。
* 攻撃者に現在のキャプチャが回避されている場合は、キャプチャのプロバイダーを変更するか、Auth0 の Auth Challenge または別の[サポート対象プロバイダー](/ja/docs/secure/attack-protection/bot-detection/configure-captcha)への移行を検討してください。
* サインアップ詐欺キャンペーンが疑われる場合は、公開された未認証エンドポイントからアプリケーションへの新規ユーザー登録を一時的に停止してください。
* エッジプロバイダー側で Web アプリケーションファイアウォールのルールを変更するか、[テナントアクセス制御リスト](/ja/docs/secure/tenant-access-control-list)を使用して、悪意のある IP、自律システム番号、地理的位置、[TLS クライアント](/ja/docs/customize/custom-domains/self-managed-certificates/tls-ssl)、または `user-agent` 文字列などの HTTP ヘッダー要素をブロックし、[リバースプロキシ](/ja/docs/customize/custom-domains/self-managed-certificates#configure-reverse-proxy)の導入も検討してください。
* 許可される接続数の上限を引き下げてブルートフォース攻撃を緩和するため、[Brute Force](/ja/docs/secure/attack-protection/brute-force-protection)および[Suspicious IP](/ja/docs/secure/attack-protection/suspicious-ip-throttling)のしきい値を厳しくしてください。ブルートフォース攻撃の詳細については、[Brute Force playbook](/ja/docs/secure/attack-protection/playbooks/brute-force-protection-playbook)を参照してください。
* [Cross-Origin Authentication](/ja/docs/authenticate/login/cross-origin-authentication) の設定を変更して、未使用のエンドポイントを無効にしてください。漏えいしたパスワードを悪用する攻撃が疑われる場合は、[Breached Password playbook](/ja/docs/secure/attack-protection/playbooks/breached-password-playbook)を参照してください。
* 侵害されたアカウントに対して[step-up MFA](/ja/docs/secure/multi-factor-authentication/step-up-authentication)を適用し、必要に応じて侵害の可能性があるアカウントにも MFA を必須にしてください。
* SMS ポンピング攻撃や通話料詐欺攻撃を緩和するため、SMS ベースまたは音声ベースの MFA を OTP または WebAuthn に置き換え、より強力な MFA オプションへ移行してください。