Search

ボットに対するサイトの保護を改善するにはどうすればよいですか?

以下は、ボットや自動化されたトラフィックからサイトを保護するために現在利用可能なオプションです。エンドユーザーページを自動化トラフィックに対してより安全にすることには、複数の目的があります。一部のソリューションでは課金対象セッション数を減らせる可能性がありますが、それと同じくらい重要なのは、Customer Portal ページの実装が非効率的であったり、クエリ負荷が高い構成になっている場合、過剰なボットトラフィックによってパフォーマンスや可用性が損なわれる可能性があるという点です。

サイトが一般公開されている場合（つまりログイン不要でアクセスできる場合）は、少なくとも一定量の自動化トラフィックがサイト上でセッションを生成することを考慮したうえで、セッション使用権（Session Entitlements）を適切に見積もる必要があります。どのようなソリューションでも、すべての自動化トラフィックを除外することはできません。また、ナレッジベースの統計情報やセッション数がボットによるクロールで水増しされないことを保証できる唯一の方法は、コンテンツをログイン保護の背後に配置することです。

重要 - B2C Service サイトはマルチテナント環境でホストされています。非効率なクエリや不適切に実装されたエンドユーザーページのカスタマイズが可用性の問題を引き起こしている場合、他のお客様への影響を防ぐため、一時的にネットワーク制限が適用されることがあります。

ボット対策のオプション

(1) ボットによるサイトへの影響を防ぐ最も効果的な方法は、サイトをログイン保護の背後に配置することです。ログインが必要なページで課金対象セッションが記録されないようにするには、Customer Portal ページが バージョン 3.11 である必要があります。

(2) Akamai - Akamai は別製品であり、B2C Service サイトの前段に配置できるセキュリティスイートです。これにより、自動化されたトラフィックや悪意のあるトラフィックが Oracle ネットワークへ到達する前に検出・遮断される可能性を大幅に高めることができます。このサービスは無償で利用でき、この回答には Akamai のテストおよび有効化手順を説明したドキュメントが添付されています。ご利用を検討される場合は、Service Request を提出してください。まずはテストサイトで有効化を開始します。

(3) Bring Your Own Captcha (BYOC) は、アプリケーション 25c バージョン以降で利用可能な製品機能です。この機能では、セッションごとに最初のページ読み込み時にユーザーへ CAPTCHA チャレンジを表示します。独自の CAPTCHA サービスを構成することも、この機能に含まれる基本的な CAPTCHA を利用することも可能です。

なお、これは Customer Portal の Abuse Detection 機能とは異なります。Abuse Detection は Web フォームを攻撃者から保護するための機能ですが、BYOC はページ読み込み時に CAPTCHA を表示することで、自動化アクセスやボットを軽減する目的で利用できます。この回答には、本機能の実装方法を説明したドキュメントも添付されています。

アプリケーション 26a バージョン以降では、CAPTCHA チャレンジの時点で終了したセッションは Tier 1 課金対象セッション としてカウントされません。この Tier 1 セッションのメリットを利用するには、Customer Portal 3.11 以降 が必要です。また、CAPTCHA を実装したいすべてのページに challenge_required="true" タグを追加する必要があります。

(4) JavaScript Bot Detection - 26a 以降では、一般的なボットの挙動に基づいてボットを検出・除外する JavaScript 機能を有効化できます。この機能によって除外されたセッションは Tier 1 セッション を発生させません。実装方法については上記リンクを参照してください。実装には CP_BOT_DETECTION_ENABLED 構成設定の更新が必要です。この機能はバックポートされているため、利用条件は Oracle B2C バージョン 26a 以降 および Customer Portal 3.9 以降 です。

なぜボット対策を実施する必要があるのでしょうか？

• ボット対策を行う最大の理由は、ボットがデータベースへの接続やクエリを発生させるためです。大量のトラフィック急増は、サイトおよび共有ホスティング環境内の他サイトの可用性やパフォーマンスに影響を与える可能性があります。Tier 1 セッション数を懸念していない場合でも、ボット対策は重要なセキュリティ対策です。
• ボット対策により、不要なトラフィックを除外できるため、Tier 1 セッション数が大幅に改善されることがよくあります。ただし、ログインを必須とする方法を除き、すべての不要なトラフィックを完全に除外できるフィルターや機能は存在しません。
• ボット対策は、回答ページを訪問する自動化トラフィックを除外することで、ナレッジベース統計の信頼性向上にも役立ちます。
• ボットは、エンドユーザーのアクティビティを追跡するテーブルへのアクセスを急増させることで、データベース使用状況の統計にも影響を与える可能性があります。

ボットに対するサイトの耐性をさらに向上させるには、他にどのような対策がありますか？

エンドユーザーページがユーザーのアクセス時に何を読み込んでいるかを常に把握しておくことが極めて重要です。ページ読み込みごとに実行される Oracle B2C Service API へのアクセスが多いほど、自動化トラフィックがサイトのパフォーマンスや可用性へ与える影響も大きくなります。非効率なレポートや ROQL クエリが保護されないまま、すべてのページ読み込み時に実行されていないかを継続的にレビューしてください。