ボット対策ベンダーに聞くべき（追加の）10の質問

Byron McNaught

Published June 22, 2022

ボットの問題を解決したと思っているようですが、今、不安を感じていませんか。あるいは、契約更新の時期を迎え、ボット管理ベンダーとの提携から最良のROIが得られているか確認するために、デューデリジェンスを行っているところでしょうか。

パフォーマンス、分析、ログは良好なのに、何かがおかしい。デジタルエクスペリエンスを向上させ、顧客を満足させるためのあらゆる努力が実を結んでいない。収益が上がらない。チャージバックが多発している。顧客はヘルプデスクに電話をかけ、貴社サイトでの取引が困難であることを訴え、競合他社に流出している。セキュリティチームとリスクチームは、大量の誤検出に不満を抱き、戦略的なビジネスイニシアチブに集中できないでいる。

おそらく、ボット管理ベンダーに「ボット対策ベンダーに聞くべき10の質問」の中からいくつかの質問をしたと思いますが、さらに検証が必要でしょう。

ボット管理ベンダーの注意を喚起するために、以下の「ボット対策ベンダーに聞くべき追加の10の質問」をご紹介します。

1. ベンダーは、どのように成功を測定しますか？

重要なポイントは理想的な有効性でしょう。

ボット対策ベンダーは理想的な有効性を強調してマイクドロップをしたがりますが、攻撃の捕捉率は方程式の一部分に過ぎません。厳格なセキュリティ対策は高い捕捉率につながるかもしれませんが、誤検出がセキュリティチームに押し寄せ、顧客との間に摩擦が生じ、その結果、販売停止やビジネスの可能性が損なわれることになります。

誤検出、ユーザーとの摩擦、カスタマエクスペリエンスのパーソナライズや向上の機会、犯罪者がどのように攻撃を変更しても回復力を維持するなどの要素について考えると、私たちは現実的な有効性に関してさらに話をすることになります。

2. 異なる環境やクラウド間でアプリケーションやAPIを保護するサービスですか？

これは重要な検討事項です。運用を合理化し、最大限の競争上の優位性が得られる適切な事業継続性とエコシステムを活用して、適合する方法でビジネスを遂行できていますか？それとも、環境を再構築し、デジタルフットプリントをベンダー独自のプラットフォームに移行する必要がありますか？そのプラットフォームが劣化したり、停止したりしたらどうするのでしょうか？

新しいデジタル経済では、消費者はシンプルで安全な体験を求め、少しでも不具合があれば、取引の放棄やブランド離れにつながりかねません。ベンダーロックインに翻弄されたいと本当に考えていますか？それとも、自らセキュリティの運命を切り開きますか？

今では、クラウドやアーキテクチャ全体にわたって迅速かつ堅牢な保護を可能にする挿入ポイントにより、どこにでもボット対策を導入して、あらゆる場所のアプリケーションとAPIを保護することが可能になりました。これにより、複雑さを軽減して信頼性を高め、リスクを効果的に管理しながらイノベーションをサポートできます。

3. これまでのセキュリティ投資を最大限に活用できていますか？

ほとんどのセキュリティチームやリスクチームは、ビジネスを遂行し、日々進化する脅威に対抗するために、さまざまな複雑なツールを導入しています。たとえば、Web Application Firewall、アプリケーションプロキシ、eコマース向けのAs-a-Service型アプリケーションプラットフォームなどです。統合は魅力的かもしれませんが、最善かつ徹底的な防御を行うセキュリティ態勢が廃れたわけではありません。

実際に、これまでの投資を活用しながらボットや悪意のある自動化に対する防御を強化することは、新しいセキュリティツールやプラットフォームの運用面を学ぶ時間が限られている実務家にとって理想的な選択肢となります。また、一般的にボットや悪意のある自動化から始まり、検出されないまま放置されると不正行為につながるという、産業化した攻撃ライフサイクルのさまざまな部分に注力しているチームの連携にも役立ちます。

理想的なベンダーは、これまでのセキュリティ投資を最大限に活用し、セキュリティチームと不正行為対策チームの運用負担を最小限に抑えることで、戦略的なリスク管理の取り組みに集中できるようにすることができます。

4. ベンダーは、改ざんや回避を防ぐためにどのような管理を行っていますか？

意欲的で巧妙な攻撃者は、自動化対策の防御を回避して検知を逃れるために、偵察とリバースエンジニアリングを活用します。ダークウェブのフォーラムには、一般的なボット管理プラットフォームを回避する方法の例が数多く掲載されています。ダークネットのフィンガープリントショップでは、盗まれたカスタマトークンが販売されています。自動化フレームワークは進化を続けており、CAPTCHA解決サービスと統合するなどして、人間の行動を模倣したり、示したりすることもできるようになっています。

最善の防御策は、耐久性があり、高度に暗号化/難読化された、本質的に偽装を防ぐテレメトリを使用して、さまざまな高度なネットワーク、デバイス、環境、および行動のシグナルに対して基本検出を行うことです。F5のJavaScriptは、顧客ごとのカスタムメイドの実装を活用し、マシンレベルのオペコード内でバイトコードを頻繁にランダム化することで、リバースエンジニアリングが計算上非現実的になるようにしています。この技術的優位性により、攻撃者の操作に耐える正確な検知とセキュリティ対策が実現されています。

さらに、AIを活用したレトロスペクティブ分析と、Security Operations Center（SOC）チームメンバーによる継続的な監視により、異常なトラフィックパターンや改ざんを検出することができます。

攻撃を不可能にする、あるいは実現不可能にすることで、サイバー犯罪のROIを低下させます。

5. サードパーティのAPIやアグリゲータを経由した攻撃を防ぐための管理機能が提供されていますか？

顧客はシンプルさと価値を求めています。多くの場合、これはアカウントやサービスの統合ビューを持つことを意味します。しかし、サードパーティとの統合を許可することで、意図しないリスクが発生することを十分に理解せずに、統合を許可することはできないでしょう。そうしなければ競合他社に先を越されてしまうため、そのことにすぐに気づくでしょう。

ボット管理では、サードパーティとの統合によって可能になるビジネスチャンスを、そのような統合による侵害のリスクを持ち込むことなくサポートする必要があります。その方法とは、グローバルにアグリゲータを許可するかどうかという誤った二分法を採用するのではなく、許可された/正当なアグリゲータと関連する権限をきめ細かく管理するポリシーを活用することです。

6. ベンダーは何段階の検出機能を提供していますか？

サイバー犯罪は、他の犯罪と同様に、手段、 動機、機会に帰結します。一部の組織、特に金融サービス業では、口座の評価価値が魅力的な評価ROIにつながり、その結果、動機が高まることがあります。意欲的な攻撃者が巧妙である場合、従来の対ボット演習を行うために、作戦室に入る準備をした方がよいでしょう。

このため、正確で耐久性のあるテレメトリ、多様な集団防衛ネットワーク内の高度に訓練された人工知能、およびリアルタイムとレトロスペクティブの両方の分析に基づく複数段階の検出を採用することが不可欠となります。AIと「カーボンユニット」（人間）を使用する2段階のアプローチにより、最適な保護と俊敏性が提供され、自律的かつ/または意図的に対抗策を展開して、意欲的な攻撃者を混乱させ、最終的には抑止することができます。

7. お客様が希望するセキュリティ体制や運用モデルにサービスを適応させることができますか？

堅牢でありながら自立したボット対策を迅速に展開し、あまり心配しなくても済むようにしたいと思っていますか？はい。信頼できるアドバイザーを活用してセキュリティチームや不正対策チームの専門性を高めつつ、自社のセキュリティ体制を管理したいと思っていますか？はい。どのように進めたらよいかわからないが、選択肢を検討し、特定の導入や運用モデルに縛られるのを避けたいと思っていますか？はい。

俊敏性とセキュリティが融合するとき、そのダンスは非常に美しいものになります。どのような場合でも、ボット対策ベンダーは、お客様のビジネスを侵害や悪用から守るためにお客様をサポートし、必要なときに作戦室に飛び込める態勢を整えておく必要があります。

8. サービスではどのような種類の対策を行うのですか？

私の初歩的なミスを認める時が来たようです。私は以前、ボット対策を説明するために「ブロック」という言葉を気軽に使ってしまい、タイムアウトを取られ、第一人者の1人から指導を受けました。対策の種類はさまざまです。状況によって変わります。チェスのようなものです。

適切な対応とは、攻撃者のカナリアアカウントを黙って監視することかもしれませんし、信頼できる顧客に対して認証を最適化することかもしれません。

おそらく、攻撃者は偽のアカウントを作成することはできても、そのアカウントにログインすることは許されないでしょう。

不正と疑われるリクエストを完全にブロックすることが理にかなっている場合もあります。時には、リクエストをハニーポットにリダイレクトしたり、カスタムWebページで対応したりすることも必要です。

コンテンツスクレイパーや侵害されたアグリゲータなどから悪意のある行為があると疑われる場合、ボット管理により、攻撃者を欺くために転送中にリクエストを変換し、特定のアプリケーション機能へのアクセスを制限して、トラフィックを調整し、フォローアップアクションやウォッチリストのためにリクエストにフラグを立てることができます。

全体として、セキュリティチームは、トラフィックの種類、ソース、ターゲットごとにきめ細かい対策管理を適用できる必要があり、対策は目の前の攻撃に対応するために動的かつ適応性のあるものでなければなりません。

忘れないでください。現実的な有効性は理想的な有効性以上に重要なものなのです。もうライターズ・ブロックにはなりません。

9. ベンダーは、セキュリティ管理機能を使用して、ビジネス成果を向上させることができますか？

組織は、重要なアプリケーションやAPIを保護するために効果的なボット対策を採用することで、多くのビジネス成果を向上させることができます。それは、3つの重要な質問に集約されます。あなたは人間ですか？あなたの身元は確かですか？あなたの意図は何ですか？デジタルジャーニーにおけるすべてのやり取りについて、この3つの質問に一貫して答えることで、セキュリティテクノロジを利用してビジネス成果を向上させることができます。

たとえば、次のようになります。