作为安全专业人员，如果您认为机器人程序缓解问题已经解决，不妨再审视一下。
机器人会造成巨大的经济损失：撞库机器人会导致账户被接管；未经授权的经销商机器人会扰乱产品发布和限时优惠活动；爬虫机器人会降低性能并增加基础设施成本；礼品卡破解机器人会盗刷余额，令客户不满。这些攻击不仅影响严重，而且由于能为犯罪分子带来丰厚利益，在线企业遭受攻击的可能性接近100%。鉴于影响严重且发生概率高，企业显然需要有效的安全策略。然而，近期新闻表明，攻击者仍在不断设法绕过常见的机器人防御措施。因此，现在正是重新评估现有机器人防范措施的合适时机。
2023年1月24日，Ticketmaster母公司Live Nation总裁Joe Berchtold在美国参议院司法委员会作证时表示，转售机器人导致该公司未能妥善处理Taylor Swift即将举行的巡演门票销售。Berchtold对参议员们说：“这导致了非常糟糕的消费者体验，我们对此深感遗憾。”
同样是在2023年1月，CNET报道称，数千名Norton密码管理器用户收到通知，称未经授权的第三方可能已获取其个人信息以及保存在密码库中的密码。Norton的母公司Gen Digital表示，此次安全事件是由机器人驱动的凭据填充攻击所致。其入侵检测系统（IDS）发现登录失败次数异常偏高，从而检测到此次攻击。
Ticketmaster已在缓解机器人程序方面投入资源，可以推测Gen Digital也部署了相应的防护措施。然而，机器人程序仍然造成了安全损害，影响了可用性和机密性，还引发了大量负面报道。这就带来了一个显而易见的问题：反机器人程序解决方案已推出多年，为何如此多的机器人程序防御措施仍无法缓解恶意机器人程序带来的威胁？
对于仍依赖CAPTCHA的组织，答案显而易见。CAPTCHA不仅会给真实客户带来困扰，降低电商转化率，而且无法发挥作用。只需在网上搜索CAPTCHA破解服务，就会发现至少有十几家服务商在价格和速度方面展开竞争。某个开源库的创建者更是致力于让绕过CAPTCHA变得轻而易举：
“当前形式的CAPTCHA已经失效。它们给人类造成的阻碍和困扰远大于给机器人造成的，因此毫无用处。我以无政府主义者的方式参与这场讨论，就是要揭示这种荒谬：借助一个机器人插件，只需一行代码，就能绕过任何网站上的reCAPTCHA。”
对于依赖基于WAF的IP拒绝列表来缓解机器人流量的组织而言，这项任务同样无望。目前有一些服务可向机器人创建者提供数千万个住宅IP地址，用于绕过机器人检测。这些服务以轮换住宅代理的名义推广。机器人向代理发送HTTP请求，类似于许多企业浏览器通过正向代理发送请求，而服务会持续轮换向网站或API发送请求时使用的公网IP地址。过去，机器人通常使用数据中心代理，这些代理往往来自云服务，广为人知且易于识别。然而，这些新型代理服务使用与客户位于同一地理区域的住宅IP地址。由于ISP使用NAT，每个IP地址都可能同时代表机器人或有效客户，因此无法在不拒绝真实客户的情况下屏蔽所有这些IP地址。
更进一步，ZenRows、ScrapFly、以及ScrapingBee等新兴商业服务让网络抓取变得像调用API一样简单。这些服务会代您全面负责绕过机器人防御。虽然这些基于API的服务仅专注于抓取，而抓取在美国和欧盟属于合法行为，但犯罪分子可以通过暗网获取类似服务，实施凭据填充等更恶意的机器人攻击。
除商业服务外，还有多个开源项目致力于绕过机器人防护。Puppeteer是一款常用的node.js自动化和测试工具，其隐身插件可帮助Puppeteer规避检测。一群活跃的开发者在GitHub上维护该项目；一旦发现某种机器人防护能够检测到该插件，他们就会发布更新。其文档指出：“这场猫鼠游戏尚处于早期阶段，且变化迅速，因此该插件会尽可能保持灵活，以支持快速测试和迭代。”另一个类似的库undetected-chromedriver则面向Python开发者。本着开源精神，这些项目旨在保持Web的开放性，让开发者能够针对应用运行自动化操作。但遗憾的是，犯罪分子也很容易利用这项功能。
随着越来越多的组织参与创建开源项目和商业服务，从事绕过机器人防御的开发者也在学习和分享信息。这些说明逐步指导读者对检测工具的JavaScript进行去混淆，并解析这些工具如何封装数据，以便将其传输至检测服务。通过对客户端代码进行逆向工程，这些开发者可以找出检测工具的工作原理。例如，ZenRows的一名开发者分享了他对窗口尺寸以及机器人检测服务如何发现不一致之处的研究心得：
“从传感器数据示例图中可以看出，它会发送窗口尺寸。大多数数据点相互关联，包括实际屏幕尺寸、可用尺寸、内部尺寸和外部尺寸。例如，内部尺寸绝不能大于外部尺寸。随机值在这里行不通，需要使用一组实际尺寸。”
鉴于这一威胁的严重性，现在显然应重新评估您的机器人缓解对策。F5在机器人检测有效性方面拥有丰富经验，可以提供帮助。如果您希望了解机器人缓解措施的实际效果、遗漏了哪些机器人，以及这些机器人给业务造成了多少损失，F5可免费提供威胁评估和机器人业务影响咨询。
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。