Authenticate
Manage Users
Customize
Platform- 盗まれた資格情報を使った新規ユーザー登録をブロックする。ユーザー名/パスワードの組み合わせ全体を完全にブロックします。
- 盗まれた資格情報を使ったログインをすべてブロックする。アカウント全体を完全にブロックし、悪意のある攻撃者がアプリケーションにアクセスするのを防ぎます。ユーザーはパスワードを変更するまでログインできません。
- ログインの試行があった場合に、ユーザーにメールを送信する。メールではリスクについて知らせ、直ちにパスワードを変更するよう案内します。ユーザーに送信するメッセージはカスタマイズできます。詳しくは、Customize Blocked Account Emailsを参照してください。
Credential Guard で漏えいをより迅速に検出
漏えいパスワードの検出は、一般公開された漏えいデータに基づいて行われます。Credential Guard は、漏えいパスワードの検出に追加できる Auth0 の追加サービスで、漏えいの有無を確認し、侵害された資格情報をより迅速に通知できるようにします。
Credential Guard を Auth0 契約に追加するには、お問い合わせください。
漏えいパスワード検知を設定する
有効にすると、検知方法、対応シナリオ、通知など、漏えいパスワード検知の設定をカスタマイズできます。-
Auth0 Dashboard > Security > Attack Protection に移動し、Breached Password Detection を選択します。
-
漏えいパスワード検知を有効にするには、ページ右上のスイッチをオンにします。
Risk Assessment のテナントログを有効にするトグルが表示されない場合は、プランをアップグレードする必要がある可能性があります。
検出方法を設定する
ご利用のプランで使用可能な機能に応じて、侵害された資格情報を特定する検出方法を設定できます。- Auth0 Dashboard > Security > 攻撃対策 に移動し、Breached Password Detection を選択します。
- Detection セクションで、Breached Password Detection Method を探します。
- Auth0 との契約に Credential Guard が含まれている場合は、As soon as possible based on data received from the dark web, with Credential Guard を選択します。
- それ以外の場合は、When breach data is published を選択したままにします。
- 変更を適用するには、Save を選択します。
対応シナリオを設定する
ユーザーが漏えいした資格情報を入力する可能性がある場合に、Auth0 が各シナリオでどのように応答するかを設定できます。- Auth0 Dashboard > Security > 攻撃対策 に移動し、Breached Password Detection を選択します。
-
Response セクションを探します。
- Block compromised credentials for new accounts トグルを有効にして、サインアップ時にユーザーが漏えいした資格情報を使用できないようにします。
- Block compromised user accounts トグルを有効にして、login時にユーザーが漏えいした資格情報を使用できないようにします。
- Block compromised credentials use for password reset トグルを有効にして、パスワードリセット時にユーザーが漏えいした資格情報を使用できないようにします。
通知を設定する
漏えいした資格情報の使用について、Auth0 がユーザーや管理者にどのように通知するかを設定できます。- Auth0 Dashboard > Security > 攻撃対策 に移動し、Breached Password Detection を選択します。
- Notifications セクションを見つけます。
- Auth0 がユーザーの資格情報が漏えいした可能性を検出したときにそのユーザーへメールを送信するには、Send notifications to users with compromised credentials トグルを有効にします。
- ユーザーが漏えいした資格情報を使ってサインアップしたときに管理者へメールを送信するには、Compromised user accounts トグルを有効にします。
- ユーザーが漏えいした資格情報を使ってログインしたときに管理者へメールを送信するには、Compromised user accounts トグルを有効にします。
- 通知頻度を選択します: Immediately、Daily、Weekly、または Monthly。
- 保存 を選択します。
スロットリングの動作
通知の過多や過剰なログイベントを防ぐため、Auth0 では漏えいしたパスワードの検知に関する通知とログにスロットリングを適用しています。漏えいした認証情報 (breached password) が検知されると、Auth0 は次の対応を行います。- 侵害されたユーザーアカウントをブロックする: スロットリングは適用されません。漏えいした認証情報が検知されると、ユーザーアカウントは常にブロックされます。
- ユーザーに通知を送信する: ユーザーごとに 1 時間あたり 1 回に制限されます。
- テナント管理者に通知を送信する: IP アドレスごとに 1 時間あたり 1 回に制限されます。
pwd_leakイベントをログに記録する: IP アドレスごとに 1 時間あたり 1 回に制限されます。
想定どおりのメール通知が届かない場合、またはテナントログに
pwd_leak イベントが見当たらない場合は、その検知がスロットリング期間内に発生していないか確認してください。スロットリング期間中は通知とログイベントが抑制されますが、これは想定された動作です。ただし、ユーザーアカウントのブロックは、スロットリングに関係なく常に実行されます。ユーザーへのメール通知をカスタマイズする
漏えいした資格情報がログインに使用された場合に Auth0 がユーザーに送信する通知は、設定できます。- Auth0 Dashboard > Branding > メールテンプレート に移動します。
- Template ドロップダウンメニューで、Password Breach Alert を選択します。
- 必要に応じてテンプレートを更新します。メッセージをカスタマイズするには、利用可能な共通変数を自由に使用できます。
検知設定を確認する
Auth0 が提供する漏えい済みパスワードを使ってサインアップフローとログインフローをテストすることで、設定を確認できます。AUTH0-TEST- で始まるパスワードを使用すると、テスト用に Breached Password Detection が作動します。Signupフロー
Auth0 が漏洩したパスワードを検出した場合のユーザーのSignup体験を確認します。- Signupフローを実行し、テスト用の漏洩パスワード (
Paaf213XXYYZZまたはPaat739!!WWXXYYZZ) またはAUTH0-TEST-で始まる任意のパスワードを使って、新しいアカウントの登録を試します。 - Block compromised credentials for new accounts が有効な場合は、エラーメッセージが表示され、漏洩したパスワードは使用できません。
- Auth0 Dashboard > Monitoring > Logs に移動します。
- ログで
type: "signup_pwd_leak"を検索し、Auth0 によってSignupがブロックされたことを確認します。
ログインフロー
Auth0 が漏えいしたパスワードを検出した場合のユーザーのログイン時の動作を確認します。- Auth0 Dashboard > User Management > User でテストユーザーを作成し、テスト用の漏えいパスワード (
Paaf213XXYYZZまたはPaat739!!WWXXYYZZ) またはAUTH0-TEST-で始まる任意のパスワードを設定します。 - ログインフローに沿って進み、設定した識別子とパスワードを送信します。
- Block compromised user accounts が有効になっている場合、ユーザーにはエラーメッセージが表示され、ログインがブロックされるとともに、パスワードのリセットが案内されます。
- Auth0 Dashboard > Monitoring > Logs に移動します。
type: "pwd_leak"でログを検索し、Auth0 によってログインがブロックされたことを確認します。- Auth0 Dashboard > User Management > User に移動し、テストユーザーを削除します。
リセットフロー
Auth0 が漏えいしたパスワードを検出したときの、ユーザーのパスワードリセット時の動作を確認します。- Auth0 Dashboard > User Management > User でテストユーザーを作成します。
- パスワードリセットのフローを進め、漏えいパスワードのテスト用サンプル (
Paaf213XXYYZZまたはPaat739!!WWXXYYZZ) のいずれか、またはAUTH0-TEST-で始まる任意のパスワードを入力します。 - Block compromised user accounts が有効になっている場合、エンドユーザーにはエラーメッセージが表示され、パスワードをリセットできず、別のパスワードを使用するよう案内されます。
- Auth0 Dashboard > Monitoring > Logs に移動します。
- ログで
type: “reset_pwd_leak"を検索し、Auth0 がパスワードリセットをブロックしたことを確認します。 - Auth0 Dashboard > User Management > User に移動し、テストユーザーを削除します。