关于机器人攻击的 7 个神话和误解

2022年12月10日16:00:51评论29 views字数 2360阅读7分52秒阅读模式

尽管机器人攻击比以往任何时候都更加普遍，但围绕它们存在一些未经证实的神话。

通过了解这些误区，您将能够更好地保护您的网站免受潜在损害并让您的客户满意。以下是七个最常见的机器人神话及其真相。

73%的企业认为遗留 WAF 将保护他们免受机器人攻击。

WAF 是保护 Web 应用程序的第一道防线之一。它涵盖了最关键的风险，包括但不限于OWASP Top 10。 WAF 可用于通过创建 WAF 规则来阻止恶意机器人程序。它的基本缓解措施包括应用速率限制来管理可疑的 IP 块机器人攻击。

然而，没过多久。黑客想出了一种绕过 WAF 防御的方法。

此外，许多机器人通过针对“业务逻辑”来攻击网站。

例如，机器人可以找到商品并将其放入购物车，同时在另一个网站上转售。一旦另一笔交易完成，销售就完成了。它没有利用代码中的任何缺陷。

为了防止机器人攻击，您需要一个随着威胁的不断发展而发展的机器人管理解决方案。

77%的企业认为这是可能的——然而，这是一个错误的假设。当然，自动化是所有自动化攻击的共同点。

让我们看看混淆是从哪里开始的：DDoS 攻击涉及僵尸网络（由服务器组成的连接设备的集合）。这会使网站不堪重负，并最终使其脱机。

网站上的机器人攻击的最终目标不同。他们利用工作场所进行恶意活动。这样它就不会完全关闭受害系统。大多数 DDoS 保护解决方案都依赖于速率限制策略。

大多数机器人通过进行低速和慢速攻击来逃避保护。

令人震惊的是， 62%的企业认为与机器人攻击相关的风险来自俄罗斯。这不是真的。尽管许多攻击都来自这些地区，但对网站的机器人攻击来自世界各地。

超过51%的威胁来自美国。企业需要警惕的bot攻击，都是以盈利为目的的本地攻击。从长远来看，仅仅根据国家来防止交通是不够的。Bot 攻击还可以冒充来自其他国家/地区的合法用户，从而使限制变得毫无意义。

Captcha 只是增加了一个手动步骤来区分机器人和人类。今天的机器人更加复杂，可以轻松绕过传统的验证码。验证码存在可访问性问题，并增加了客户旅程的摩擦。

您需要一个强大的爬虫程序管理解决方案来准确保护您的站点。同时，它必须允许您的用户在处理您的业务时免去解决验证码的麻烦。

62%的企业认为机器人只能在暗网等地方购买。然而，今天，我们发现公共网络上的每个人都可以使用机器人程序和用户名和密码数据库。

找到要出售的机器人很简单，特别是如果您想获得难以找到或限量版的商品，如珠宝或运动鞋，这些商品是公开出售给消费者的。人们发起机器人攻击的另一种方式是聘请专业黑客发起机器人攻击。这意味着更多人将能够破坏网站、接管帐户、利用黄牛机器人并扰乱业务。

Bot 开发者不一定是垃圾邮件制造者。一些攻击者受到经济利益和报复的驱使。它可能是一个普通人试图访问一个非常令人垂涎的在线产品。

购买商品进行转售时，使用机器人不是犯罪。然而，在美国和英国，拟议的立法正在发挥作用以禁止它，但尚未获得批准。

假日购物季是电子商务行业的关键时期。因此，机器人攻击在这个季节总是会增加，以破坏零售商的底线。

但是，同样重要的是要了解机器人攻击可以在一年中的任何时候对您的企业造成影响。它可能是由新产品发布驱动的。

让我们看一下您可以实施的一些主动步骤来防止机器人攻击：

评估和监控传入流量及其来源：您的网站跳出率是否很高？您是否注意到来自单一来源的大量流量？通过复杂的工具和人类专业知识对机器人流量进行识别和分类对于发现不良机器人流量的迹象是必要的。
阻止或捕获过时的用户代理/浏览器：许多工具和脚本的默认配置提供主要是过时的用户代理字符串列表。尽管现代浏览器强制自动更新、分析和阻止 CAPTCHA 浏览器版本的风险很低，但这一点很重要。
监控失败的登录尝试：一种方法是设置失败的登录尝试基线。然后可以监控此基线是否存在任何异常或尖峰。您可以设置警报，以便在它们发生时立即通知您。
保护所有机器人访问点：禁止从这些站点访问可能会阻止攻击者攻击您的网站、API 和移动应用程序。