ブログ

<noscript><iframe src="https://www.googletagmanager.com/ns.html?id=GTM-MPDT54N"
height="0" width="0" style="display:none;visibility:hidden"></iframe></noscript>

ホームページ

[Tarantool.io](https://www.tarantool.io/en/) と共に、インメモリ DB を使用した Web アプリケーションのパフォーマンス向上に関するウェビナーを開催します。 Meetupのイベント[オンラインで利用可能](https://www.meetup.com/tarantool-japan/events/284220262)への登録。

large_Screen_Shot_2022_02_25_at_19_05_51_b9ec7c52e7.png

medium_Screen_Shot_2022_02_25_at_19_05_51_b9ec7c52e7.png

small_Screen_Shot_2022_02_25_at_19_05_51_b9ec7c52e7.png

thumbnail_Screen_Shot_2022_02_25_at_19_05_51_b9ec7c52e7.png

Screen_Shot_2022_02_25_at_19_05_51_b9ec7c52e7.png

[Yandex.Toloka](https://toloka.ai/) は、検索結果の最適化に不可欠なメカニズムとしてクラウドソーシングを使用することについてオンラインでプレゼンテーションを行います。 Web サイトに検索結果ページがあり、独自の検索エンジンを維持している場合、このセミナーでは、関連性と品質指標を高める方法について説明します。 Machine Learning Tokyo コミュニティと共催でイベントを開催します。イベントへの登録は【オンライン】(https://www.meetup.com/Machine-Learning-Tokyo/events/283497559/)から可能です。

large_Toloka_Event_Feb_4_2022_703974903d.png

medium_Toloka_Event_Feb_4_2022_703974903d.png

small_Toloka_Event_Feb_4_2022_703974903d.png

thumbnail_Toloka_Event_Feb_4_2022_703974903d.png

Toloka_Event_Feb_4_2022_703974903d.png

会社概要

サービス

Kabuken

＃ 概要

インターネットビジネスを停止させる可能性のある問題はたくさんあります。複数のケースで、企業の Web サイトやサービスを標的とする組織的な犯罪者が、ビジネスを混乱させ、不正な操作を実行するという単純な目的を持っていました。あなたのビジネスがインターネット指向であるほど、そのような種類の攻撃にさらされています。典型的な誤解は、「自分のウェブサイトが小さすぎてターゲットにできない」というものです。特に組織化された犯罪者は、自動化された攻撃を使用して「収益」を倍増させることがよくあります。自動化された攻撃は、比較的ランダムにサービスを標的にし、大小の企業に等しく影響を与える可能性があります。攻撃の種類とビジネスを保護する方法を見てみましょう。

# OWASP分類

Web 脅威のオープンな業界分類をサポートする情報セキュリティ エンジニアのコミュニティ。この投稿では、主に「自動化された」攻撃に焦点を当てます。それらをグループ化し、保護対策を提案します。また、この投稿では、脅威の「クラス」ごとに一連の詳細な説明を開始します。脅威のリストは非常に長いですが、考えられる影響に基づいてグループ化します。

攻撃者によるユーザー アクティビティのシミュレーションに関連する大きなクラスの攻撃。その場合、攻撃者は分散システム (ボットネット) を調整して、通常のユーザーが Web サイトで行うのと同じアクションを実行します。ただし、複数の影響があるため、実際の人間ではなく、ボットからのトラフィックがあることを考慮してください。サービスによって実装された既存のビジネス プロセス内でアクションを実行できますが、このプロセスは自動的に使用されるため、結果は得られません。簡単に言えば、ボットはアカウントを登録できますが、ユーザー ベースは拡大しません。ボットは購入できますが、最終的には収益を生み出すことはありません。ボットは広告バナーをクリックできますが、広告された製品を購入することはありません。結局、ボットはあなたの予算と顧客の予算に影響を与えています。

* [OAT-019 アカウントの作成](assets/oats/EN/OAT-019_Account_Creation.html)
* [OAT-003 アドフラウド](assets/oats/EN/OAT-003_Ad_Fraud.html)
* [OAT-006 迅速化](assets/oats/EN/OAT-006_Expediting.html)
* [OAT-005 スキャルピング](assets/oats/EN/OAT-005_Scalping.html)
* [OAT-011 スクレイピング](assets/oats/EN/OAT-011_Scraping.html)
* [OAT-016 スキューイング](assets/oats/EN/OAT-016_Skewing.html)
* [OAT-013 スナイピング](assets/oats/EN/OAT-013_Sniping.html)

サービス保護手段を侵害することを目的とした攻撃。認証および承認システムをバイパスしようとするこれらの攻撃は、さまざまなユーザーの資格情報を侵害して、ユーザー アカウントを制御しようとします。このユーザーの個人データの収集の次のステップは、ユーザーの代わりに操作を行ってユーザーの資産を盗むことです。
* [OAT-009 CAPTCHA Defeat](assets/oats/EN/OAT-009_CAPTCHA_Defeat.html)
* [OAT-007 クレデンシャル クラッキング](assets/oats/EN/OAT-007_Credential_Cracking.html)
* [OAT-008 Credential Stuffing](assets/oats/EN/OAT-008_Credential_Stuffing.html)
* [OAT-002 トークン クラッキング](assets/oats/EN/OAT-002_Token_Cracking.html)

そのリストのいくつかの脅威は、それ自体が実際の「脅威」ではなく、攻撃者が攻撃前にアプリケーションの弱点を見つけるために使用する偵察技術です。サービスに対する将来の攻撃を容易にする情報を収集するか、他のサービスを攻撃するためにユーザー データを収集します (これは多くの場合、個人データの漏洩につながる可能性があります)。
* [OAT-004 指紋](assets/oats/EN/OAT-004_Fingerprinting.html)
* [OAT-018 足跡](assets/oats/EN/OAT-018_Footprinting.html)
* [OAT-014 脆弱性スキャン](assets/oats/EN/OAT-014_Vulnerability_Scanning.html)
* [OAT-020 アカウント集計](assets/oats/EN/OAT-020_Account_Aggregation.html)

そもそもビジネスを混乱させることを目的とした実際の攻撃があります。
* [OAT-021 在庫の拒否](assets/oats/EN/OAT-021_Denial_of_Inventory.html)
* [OAT-015 サービス拒否](assets/oats/EN/OAT-015_Denial_of_Service.html)
* [OAT-017 スパミング](assets/oats/EN/OAT-017_Spamming.html)

この攻撃は通常、ボットネットで実行され、ほとんどの場合、サービスへの大量の同様のリクエストが特徴です。これは、インフラストラクチャのすべての容量を消費するよう要求し、通常のユーザーが Web サイトにアクセスすることを許可しません。スパム攻撃は、ここでは非常に特殊なケースです。クライアントが Web サービスを利用できるようにしておくことができますが、使用できません。その観点からすると、スパム攻撃はサービス拒否に非常に近いものです。

サービスを直接狙った攻撃ではなく、顧客を狙った攻撃がいくつかありました。これはビジネスにとっても同様に苦痛であり、検察サービスや規制当局の問題に関連する追加のリスクを生み出します。
* [OAT-010 カード クラッキング](assets/oats/EN/OAT-010_Card_Cracking.html)
* [OAT-001 カーディング](assets/oats/EN/OAT-001_Carding.html)
* [OAT-012 キャッシュアウト](assets/oats/EN/OAT-012_Cashing_Out.html)

その分類を紹介した後、次のブログ投稿では、保護と軽減策について説明します。

large_botnet_e2b63043b1.jpeg

medium_botnet_e2b63043b1.jpeg

small_botnet_e2b63043b1.jpeg

thumbnail_botnet_e2b63043b1.jpeg

botnet_e2b63043b1.jpeg

OWASP「自動化された脅威」の概要

# 学術紹介
OWASP の観点から、DoS 攻撃は [OAT-015 サービス拒否] (https://owasp.org/www-project-automated-threats-to-web-applications/assets/oats/EN/OAT-015_Denial_of_Service. html)。情報システムの所有者の観点からは、これは、システムが悪意のあるユーザーの要求を 100% 処理しているため、実際のユーザーが接続できないシステムの状態です。

複雑なアプリケーションと同様に、情報システムには複数のチェーン コンポーネントがあります。しかし、抽象的には、これはさまざまなタイプのバランシング ソリューションに接続され、フロントエンド サーバーがユーザーに応答を返す、入口のインターネット チャネルです。 DoS 攻撃 (分類にもかかわらず) は、完全に自動化することはできません。たとえば、バックエンド サーバーに脆弱性や特に重いリクエストがある場合、攻撃者はブラウザからの特定のリクエストを手動で行うことで、すべてのバックエンド リソースを消費できます。

もう 1 つの側面として、DDoS 攻撃があります。これは、世界中に分散したインターネット上の何千ものホストから単純なリクエストまたはリクエスト シーケンスが配信される場合です。これらの攻撃は通常、完全に自動化されており、サービスに利用できるインターネット チャネルを完全に消費することを目的としています。

# 緩和策
自動化されていない標的型 DoS 攻撃と大規模な DDoS 攻撃の違いは何ですか?

大規模な DDoS 攻撃は、IoT デバイス、ホーム ルーター、およびその他の半組み込み型システムによって実行されます。このようなデバイスで実行されている悪意のあるソフトウェアは、HTTP 要求の複雑なシーケンスを生成したり、ユーザー セッションを処理したりすることができません。残念ながら、これらのデバイスは膨大な量のイングレス トラフィックを生成する可能性があります (1 秒あたり最大数百万のリクエスト、および 1 秒あたり数千ギガビット)。

それはどれほど悪いですか？ 「エンタープライズ」レベルの多くの企業は、スループットが最大 100Gbps のインターネット チャネルをレンタルできます。また、大規模な最新のボットネットは、チャネル容量全体を簡単に使い果たす可能性があります。このような量の悪意のあるトラフィックを処理するのに十分なリソースを持っている企業はごくわずかです (Google、Amazon など)。他の企業にとって、そのようなボットネットの「標的にされる」ことは、「Web サイトへのアクセスが失われる」ことと同じです。基本的に、ネットワーク アーキテクチャと機器への多額の投資がなければ、ボットネットの所有者に挑戦することは不可能です。このような大量のトラフィックをネットワーク経由で処理して「スクラブ」する企業があります。これらは、Akamai、Cloudflare などの有名な巨人や、Qrator Labs などのテクノロジー企業です。

次の投稿では、トラフィックの「スクラビング」の複雑さと、市場で提供されているさまざまな方法について説明します。

出版物

イベント