総当たり攻撃対策

総当たり攻撃対策では、単一のIPアドレスから1つのユーザーアカウントに対してログインの失敗が複数回発生した場合に、Auth0 がどのように対応するかを決定します。総当たり攻撃対策では、次のように設定できます。

• そのユーザーとしてのログインを発信元のIPアドレスからブロックする
• そのユーザーに対するすべてのログイン試行を停止する
• メールまたはSMSでユーザーに通知する

デフォルトでは、Auth0 テナントを作成すると総当たり攻撃対策は有効になります。総当たり攻撃対策は、テナント管理者を含むすべてのユーザーに適用されます。 接続では総当たり攻撃対策を有効のままにしておき、他の管理者アカウントのブロックを解除できるように、予備のテナント管理者を用意しておくことを強く推奨します。

​

総当たり攻撃対策を設定する

Auth0 Dashboard > Security > Attack Protection > Brute-force Protection では、総当たり攻撃対策の有効化、カスタマイズ、無効化を行えます。設定項目は次のとおりです。

• ページ上部のトグルで、総当たり攻撃対策の有効化と無効化を切り替えられます。現在の状態は、Enabled / Disabled のステータスインジケーターに表示されます。
• Detection セクションには、ブルートフォースしきい値 と IP AllowList の設定があります。
• Response セクションには、block settings と notifications の設定があります。

ブルートフォース攻撃対策を有効にしていても、レスポンス設定をすべて無効にすると、ステータスインジケーターは Monitoring に変わり、Auth0 はテナントログ内の攻撃対策イベントを記録しますが、それ以上の対応は行いません。

​

ブルートフォースしきい値

ブルートフォースしきい値とは、総当たり攻撃対策が作動するまでに、単一の IP アドレスから単一のユーザー識別子に対して許可されるログイン失敗回数のことです。オプションは 2 つあります。

• Default では、ブルートフォースしきい値を 10 に設定します。
• Custom では、ブルートフォースしきい値を 1 ～ 100 の範囲で設定できます。

指定したブルートフォースしきい値に達したログイン失敗の処理が完了すると、選択した攻撃緩和の保護機能が直ちに適用されます。 非同期メソッドを備えた Auth0 SDK を使用している場合、ユーザー識別子から、設定したブルートフォースしきい値を超える数の認証リクエストが連続してアプリケーションに送信されることがあります。ただし、いずれかの request がブルートフォースしきい値に達すると、そのユーザー識別子からの以降の request に対しては HTTP 429 too_many_attempts エラー を返します。

​

IP AllowList

IP AllowList は、IPv4 または IPv6 アドレス、あるいは CIDR 表記の範囲をカンマ区切りで指定するリストです。IP AllowList に含まれる IP アドレスからのログイン試行は、総当たり攻撃対策の対象外となります。 IP AllowList を使用すると、ユーザーがプロキシの背後にいる場合などに、信頼できる IP アドレスまたは範囲を指定できます。

​

ブロック設定

総当たり攻撃対策のブロック設定では、ブルートフォース検知がトリガーされたときに、Auth0 が特定のユーザーアカウントに対する追加のログイン試行をブロックするかどうか、またどのようにブロックするかを決定します。設定オプションは 2 つあります。

• ブルートフォース ログインをブロック は、総当たり攻撃対策をトリガーした IP アドレスから、指定されたユーザー識別子に対して行われる追加のログイン試行をブロックします。これは既定で有効になっています。
• アカウント ロックアウト は、指定されたユーザー識別子に対するすべてのログイン試行をブロックします。これは既定で無効になっています。

​

通知

影響を受けるユーザーに通知を送信 が有効になっている場合、ユーザーのアカウントがブロックされると、Auth0 はそのユーザーに SMS またはメールで通知を送信します。 ユーザーがログインフローで電話番号の識別子を使用している場合、Auth0 はそのユーザーに SMS を送信します。SMS 通知は、識別子ごとに 1 時間あたり最大 1 件に制限されます。 ユーザーのアカウントにメールアドレスが関連付けられている場合、Auth0 はそのユーザーにメールを送信します。メール通知は、一意の IP アドレスごとに 1 時間あたり最大 1 件に制限されます。デフォルトでは、ブロックされたアカウントのメール通知 には、ユーザーが自分のアカウントのブロックを解除できるリンクが含まれています。

​

総当たり攻撃対策のブロックを解除する

総当たり攻撃対策のブロックは、次のいずれかのイベントが発生するまで有効なままです。

• 最後にログイン試行が失敗してから 30 日が経過する。
• 管理者が、次のいずれかのエンドポイントを使用して Management API で総当たり攻撃対策のブロックを解除する。
  • ユーザーの識別子を指定する 識別子によるブロック解除エンドポイント (DELETE /user-blocks) 。
  • ユーザーのブロックを解除するエンドポイント (DELETE /user-blocks/{id}) 。

• 管理者が ブルートフォースしきい値を引き上げる。
• 影響を受けるユーザーが、設定されている場合は メール通知内のブロック解除リンクを選択する。
• 影響を受けるユーザーがパスワードを変更する。ユーザーのアカウントが、OTP アカウントやデータベースアカウントのように複数の接続タイプを通じてリンクされている場合、ブロックを解除するには、リンクされているすべてのアカウントでパスワードを変更する必要があります。

​

さらに詳しく

• 攻撃対策のログイベントを表示する
• ユーザーをブロックまたはブロック解除する
• ブロック済みアカウントのメールをカスタマイズする
• ユーザー名/パスワード認証のレート制限