向机器人攻击缓解服务供应商提出的10个问题

F5生态系统 | 2021年5月06日

您怀疑自己遇到了机器人程序问题。流量激增可能推高了基础设施成本，账户接管（ATO）率居高不下，也可能有人在破解礼品卡并抓取您的知识产权。深入调查后，很可能还会发现欺诈问题，以及近期品牌评分和客户忠诚度下降。您曾尝试通过速率限制、IP和地理位置封禁、信誉评估、指纹识别、CAPTCHA和多重身份验证（MFA）自行应对，但管理多种解决方案、设法抢在攻击者之前采取行动，以及处理因无法完成购买而感到不满的客户，让这变成了一场无休止的较量。

现在，您决定寻求专业人士的帮助，以便腾出一些时间。您已将选择范围缩小到几家供应商，并准备向他们提出一些问题。但应该问哪些问题？

以下是一些值得询问的问题，可帮助您判断机器人缓解供应商的解决方案是否适合您的环境。

1. 供应商如何应对攻击者调整攻击工具？

如果攻击者认为客户账户价值较高，他们很可能不会轻易放弃，而是会不断调整工具和手法，再次发起攻击。这就是基本的攻击者经济学，因此，供应商如何应对攻击者调整工具和手法，是最重要的问题。部署安全对策后，执着的攻击者会采用各种方法、工具甚至AI来调整攻击手段，以绕过缓解控制措施。凭据填充攻击的受害者表示，独自对抗机器人和自动化攻击就像打地鼠一样，防不胜防。既然您付费让服务提供商代为应对，就应询问他们如何处理这种情况。

攻击者总会调整工具和手段。供应商如何应对？

2. 供应商是否会大幅增加客户操作障碍？

CAPTCHA和MFA会显著增加客户操作阻力。用户操作失败率为15%至50%，导致购物车放弃率居高不下，并降低用户满意度。即使只有一次不愉快的用户体验，客户也可能再也不会回来。

坦率地说，应慎重考虑那些依赖已知会增加操作阻力的对策的供应商。这些防御措施不仅会让用户感到不便，攻击者往往也能绕过。欺诈者可以利用工具和人工来破解CAPTCHA，甚至可以利用泄露的个人身份信息（PII）冒充账户持有人，将电话号码转移到其控制的账户下，从而完成MFA请求。

3．该服务如何处理误报？

对于供应商而言，误报是指将真实用户判定为机器人；漏报则是指将机器人判定为真实用户。

机器人缓解中难免会出现误报和漏报；对于声称不会出现这两种情况的供应商，应保持警惕。但供应商应当高度重视并及时响应误报问题；也就是说，您应当能够联系供应商、提出异议，并让其处理误报判定。

4. 当攻击者绕过检测时，服务如何调整应对？

高级攻击者会尝试绕过检测，甚至可能成功逃避检测，导致漏报。机器人攻击缓解供应商必须始终假定，技术娴熟的攻击者随时可能绕过所有对策。一旦发生这种情况，您可能要等到出现副作用（账户接管、欺诈、业务分析数据失真等）后才会察觉。届时，需要联系供应商，共同制定补救措施。

他们如何处理这一流程？供应商的响应速度和处理周期如何？

5. 供应商如何应对人工（人为实施的）欺诈？

如果供应商特别擅长阻止自动化程序（机器人），意志极其坚定且技术娴熟的攻击者就会在真实浏览器中手动输入凭据，以绕过反自动化防御，这可能导致账户接管（ATO）和欺诈。事实上，即使安全登录后仅有价值10美元的资产，也可能足以驱使专业攻击者发起攻击。许多服务无法检测到这种行为（因为真人不是机器人）。

供应商必须能够判断真人用户是可信客户还是欺诈者。

其服务能否检测恶意意图？准确检测可以区分机器人、使用复杂工具和AI模拟或表现人类行为的攻击者以及真实客户，进而采取最适当的措施，同时避免协助攻击者开展侦察活动或影响客户体验。

该服务如何应对人工欺诈？

6. 如果某个客户的防护被绕过，供应商如何防止这一绕过行为影响其他所有客户？

在许多情况下，应为每位客户部署定制的检测和缓解策略。这样，即使攻击者调整攻击手段，成功绕过某个站点的防御措施，也无法直接照搬该方法入侵您的站点。每位客户都应受到隔离保护，避免攻击者针对其他客户调整攻击手段后受到影响。

银行和金融服务等特定垂直行业往往会吸引动机更强、手段更复杂的网络犯罪分子。有效的机器人程序缓解解决方案会识别相似攻击特征和风险面中的攻击者技术，从而自动部署适当的对策。此外，还可利用历史欺诈记录进一步训练AI模型，以提升成效。

7. 如果攻击者绕过缓解措施，服务是否仍能监测到该攻击？

攻击者绕过防御后，服务无法再监测攻击的情况十分常见。如果供应商依据用于检测的数据实施缓解措施，那么攻击者一旦绕过这些措施，服务就会失去检测能力。例如，如果供应商根据IP地址进行阻止，当攻击者通过全球分布式攻击绕过阻止时，供应商可能会失去对攻击的可见性，无法了解攻击的实际严重程度。

系统正常运行的一个例子是：收到10,000次登录请求时，由于其行为分析数据均处于正常的人类行为范围内，起初看起来都没有问题。但随后发现，这10,000次登录的行为完全相同，这意味着它们是自动执行的。

高效的机器人程序缓解解决方案会持续收集和分析各种设备、网络、环境及行为遥测信号，以尽可能提高可见性并准确识别异常。这有助于提升闭环AI模型的效能，同时为供应商的安全运营中心（SOC）提供关键洞察。

8. 该解决方案的部署和维护难度如何？

用户或管理员是否必须安装自定义端点软件，还是可以自动获得保护？如果端点上未安装软件，供应商如何检测已取得root权限的移动设备？如何利用最新的安全工具和暗网数据检测攻击？API又如何保护？

如果您的团队开创了JavaScript中9项相关功能中的5项，并且解决方案可跨云和架构运行，就能更顺畅地部署定制化防护，充分提升可见性和安全效能，同时避免给应用开发生命周期或客户体验带来阻碍。

9. 供应商可检测哪些类型的异常？

攻击者不断利用机器人、自动化工具和已泄露的凭据实施攻击，最终目的是获取经济利益。基本的缓解措施远远不够。例如，攻击者会重复使用IP地址，但平均通常只使用2.2次。很多情况下，每个IP地址每天或每周只使用一次！这使得IP封禁基本无法发挥作用。

自动化工具可以构造定制攻击，绕过速率限制；CAPTCHA破解工具和Web技术栈仿真可以伪造标头和环境信息，从而规避检查；可编程的消费级浏览器和反指纹识别工具可以突破指纹识别，甚至行为分析。这确实是一场攻防竞赛。

攻击者通常会从以下4个方面投入资源：

伪造网络流量
模拟各种有效设备和浏览器
使用窃取的凭据、个人身份信息（PII）和合成身份
模拟并表现出真实的人类行为

除IP地址外，还有100多种客户端信号。优质服务会利用多种信号和AI提供可付诸行动的洞察，并检测可能表明欺诈的异常行为，包括复制粘贴操作、屏幕切换、异常的屏幕空间使用方式、设备关联性、环境欺骗以及试图匿名化身份的行为，而不是依赖IP封禁、签名和指纹识别。

供应商可以收集哪些类型的信息和遥测数据？

10. 供应商能以多快的速度做出更改？

当攻击者调整手段以绕过现有对策时，供应商能多快做出相应调整？需要几小时，还是几天？如果攻击者手段复杂且持续发起攻击，需要采取多项对策或咨询安全运营中心（SOC），供应商是否会额外收费？

还有一些问题是评估任何供应商时都必须考虑的基本事项，例如部署模式（是否提供云端选项？）和计费模式（按清洗后的流量还是按小时收费？）。当然，还应比较各供应商的服务级别协议（SLA）。不过，这些问题您大概本来就会问，对吧？

没错，本文确实略有倾向性，因为F5是备受认可的应用安全厂商。但不妨想想我们沟通过并最终选择F5的数百家客户；这些正是他们提出的问题。我们希望这些问题能为您提供帮助，即使最终选择了其他机器人攻击缓解厂商。因为攻击者不会因云环境、架构、CDN或安全与欺诈防范团队的组织架构而区别对待。应用背后有利可图，犯罪分子便会以此为攻击目标。