Azion Bot Manager

O Bot Manager da Azion usa algoritmos inteligentes avançados que permitem o aprendizado de máquina e Reputation Intelligence para analisar o comportamento dos dados recebidos. Isso permite a detecção de tráfego suspeito e bots maliciosos, facilitando a implementação de medidas preventivas contra atividades maliciosas, como preenchimento de credenciais (credential stuffing), varredura de vulnerabilidades (vulnerability scanning,) e raspagem de sites (site scraping).

Este add-on do Firewall atribui uma pontuação a cada requisição com base em regras, comportamentos e Reputation Intelligence. Se a pontuação exceder um limite predeterminado (threshold), o Bot Manager executa a ação predeterminada.

Ao usar Bot Manager, você pode:

• Melhorar a experiência do usuário

  • Reduzindo o impacto dos bots em toda a infraestrutura.
  • Fornecendo proteção contra bots por reputação de IP.
  • Definindo gerenciamento de regras personalizadas para agir em bots individuais com base na atividade de extração de conteúdo anterior das requisições.

• Aumentar a visibilidade

  • Medindo a quantidade e as características do tráfego de bots tentando acessar seu site, APIs e aplicações.
  • Usando as ferramentas de observabilidade fornecidas pela Azion para monitorar a atividade maliciosa.
  • Combinando outras integrações para melhorar a eficiência de Bot Manager, através do uso de fingerprint, captchas, injeção de JavaScript ou SDKs, para criar regras robustas.

• Reduzir o risco financeiro

  • Protegendo seu site e aplicações contra abuso de credenciais, verificação de saldo de cartão e outras formas de fraude online.

Implementação

A Azion oferece o add-on Bot Manager, uma solução abrangente para o gerenciamento de bots. Entre em contato com a equipe de vendas para mais detalhes sobre a assinatura do Bot Manager.

Além disso, uma integração da versão lite também está disponível no Marketplace.

Como funciona o Bot Manager da Azion

Em alto nível, o Bot Manager funciona da seguinte forma:

1. Uma requisição chega a um domínio usando Bot Manager.
2. O Firewall recebe a requisição.
3. O Bot Manager inicia todos os processos de análise, incluindo:
   • Coleta dos dados da requisição, incluindo dispositivo, navegador e dados de rede, fingerprint, entre outros.
   • Identificação e classificação da requisição de acordo com algoritmos inteligentes avançados e Reputation Intelligence.
   • Definição do comportamento de acordo com os critérios definidos no Rules Engine.
4. O Bot Manager atribui uma pontuação à requisição.
5. Se a pontuação for igual ou superior ao limite predeterminado, a ação preventiva predefinida é executada.

Bot Manager é capaz de executar 7 ações diferentes sempre que a pontuação da requisição for maior ou igual ao limite definido:

• allow: permite a continuação da requisição.
• deny: entrega uma resposta padrão com o Status Code 403.
• drop: encerra a requisição sem resposta ao usuário.
• redirect: permite que a requisição seja redirecionada para uma nova URL/localização quando o limite de segurança é atingido.
• custom_html: permite a entrega de conteúdo HTML personalizado ao usuário em caso de violação do limite.
• random_delay: faz a função aguardar por um período aleatório entre 1 e 10 segundos antes de permitir que a requisição prossiga.
• hold_connection: retém a requisição, mantendo a conexão aberta por 1 minuto antes de encerrá-la (drop).

Todas essas ações podem ser configuradas para aplicações web e móveis, bem como APIs, oferecendo proteção em diferentes ambientes.

Casos de uso

Bot Manager foi desenvolvido pela Azion para atender a casos de uso envolvendo práticas comuns de tráfego e bots maliciosos.

• Reputation Intelligence
• Ataques de bots
• Account takeover
• Credential stuffing (preenchimento de credenciais)
• Vulnerability scanning (Varredura de vulnerabilidades)
• Ataques de força bruta
• Web scraping

Recursos

Bot Manager é composto por diferentes funcionalidades e recursos dos quais você pode se beneficiar.

Reputation Intelligence

Ao utilizar a Reputation Intelligence, o Bot Manager estabelece um perímetro de segurança adicional, catalogando o tráfego de entrada e saída com base em Network Lists, mantidas e constantemente atualizadas pela Azion. Através dessas listas, o Bot Manager é capaz de identificar o perfil de cada requisição que tenta acessar seu site.

As listas utilizadas pelo Bot Manager incluem critérios como:

• Tor Exit Nodes
• Reputation
• Proxies
• Malware
• Fraudes

Classificação de bots

Com base nas pontuações e na Reputation Intelligence, o Bot Manager é capaz de classificar diferentes tipos de bots e tráfego.

• Tráfego legítimo: Esta categoria é atribuída a requisições que não correspondem aos critérios de “bot bom” ou “bot malicioso”. Geralmente se refere ao tráfego normal de usuários (não-bots) que demonstram padrões de acesso legítimos sem sinais de automação ou comportamento suspeito.

• Bots bons: Identificados com base em User-Agents conhecidos e confiáveis. Esses bots são classificados como “bons” quando seu User-Agent corresponde a uma categoria de bot permitida, como as seguintes:

  • Bot de rede social
  • Bot de monitoramento
  • Bot agregador
  • Bot empresarial
  • Bot de mecanismo de busca

• Bots maliciosos: Classificados quando são identificados User-Agents suspeitos ou maliciosos, padrões de cabeçalho ausentes ou incomuns e comportamentos anômalos, como tentativas de automação. Bots maliciosos não atendem aos critérios de “bot bom” e mostram sinais de atividades maliciosas.

A tabela a seguir descreve os possíveis valores de classificação e categorias (tipos de ataque) do Bot Manager e como eles são identificados, conforme podem ser vistos no Real-Time Metrics:

A classificação “Under Evaluation”

Devido ao atraso de até 15 minutos para consolidar a classificação de pontuação de uma fingerprint, não podemos marcá-la como “legitimate” ou “bad/good bot”, pois isso poderia “contaminar” a pontuação do host com dados imprecisos. Portanto, nos primeiros minutos em que uma nova fingerprint aparece em um host, ela será classificada como “under evaluation”.

Isso não interfere nas detecções futuras e ocorre se: a) o tráfego geral através de um host específico cessar por mais de 15 minutos; ou b) a fingerprint não for vista por 15 minutos ou mais.

Identificação de dispositivos

O Bot Manager utiliza técnicas avançadas para identificar e distinguir entre dispositivos legítimos e bots potencialmente maliciosos que tentam acessar seus ativos digitais. Ele também é capaz de gerar um ID de usuário para cada dispositivo.

Para aprimorar ainda mais suas capacidades de proteção, ela permite a incorporação de camadas de segurança adicionais por meio de outras integrações e recursos, como SDKs, injeção de JavaScript e Fingerprint para coletar dados mais granulares.

Redirecionamento

Uma das ações que o Bot Manager é capaz de executar é o redirect, ou redirecionamento. Isto permite que a requisição seja redirecionada para uma nova URL/localização, especificada nos argumentos JSON, quando o limite de segurança é atingido.

HTML personalizado

O Bot Manager permite a entrega de conteúdo HTML personalizado ao usuário em caso de violação do limite, através da ação custom_html. Você pode criar uma mensagem personalizada para exibir aos usuários em caso de violação do limite.

Delayed response

Esta ação permite causar atraso nas respostas nos casos em que os bots tentam fazer requisições. Isso aumenta o custo do ataque ao prender o atacante por mais tempo em uma requisição que não dará retorno válido, aumentando a tendência de que o atacante aborte ou desista do ataque.

Modos

O Bot Manager permite que você defina o ambiente no qual a função deve ser executada, sendo API ou Web os modos possíveis. O modo padrão é web. Se for fornecido um valor diferente da string api (sensível a maiúsculas e minúsculas), o modo web será usado como configuração padrão.

Ao habilitar o modo api, nenhum “Set-Cookie” será realizado, e quaisquer regras relacionadas ao uso de cookies no Bot Manager serão ignoradas.

Logs

Produtos Observe da Azion

As requisições gerarão logs que poderão ser visualizados no Real-Time Events e no Data Stream. Ao analisar os logs gerados pelo Bot Manager, você pode obter insights para entender se são necessárias alterações nas configurações.

Você também pode consultar os gráficos do Bot Manager no Real-Time Metrics. A aba do Bot Manager exibe métricas relacionadas à atividade do Bot Manager, geradas quase em tempo real, com um intervalo de agregação de até 60 segundos. Dependendo do gráfico, os dados podem ser armazenados por até 2 anos.

As duas seções, Overview e Breakdown, incluem gráficos como:

• Bad Bot Hits: número total de requisições identificadas como bots maliciosos dentro do período definido.
• Good Bot Hits: número de requisições identificadas como bots bons dentro do período definido.
• Bot Hits: número total de requisições identificadas como bots dentro do período definido.
• Transactions: uma soma referente ao número total de requisições avaliadas pelo Azion Bot Manager.
• Bot Traffic: mostra a evolução do tráfego de bots ao longo do tempo, identificando o tráfego em legitimate, bad bot, good bot e under evaluation.
• Top Bot Azion: ações realizadas pelo Azion Bot Manager para acessos identificados como bots.
• Bot CAPTCHA line and pie graphs: resultados do desafio retornado para requisições classificadas como bots.
• Top Bot Classifications: soma de requisições classificadas de acordo com as táticas usadas e o propósito dos bots.
• Bot Activity Map: exibe a origem geográfica dos ataques de bots. Países são codificados por cores com base no número de ataques de bots detectados.
• Impacted URLs: número total de URLs distintas solicitadas por bots.
• Top Impacted URLs: número total de requisições detectadas como bots, dividido pelas URLs mais afetadas.
• Top Bad Bot IPs: número total de requisições detectadas como bots maliciosos provenientes de diferentes endereços IP.

A variedade de gráficos, combinada com o uso de filtros e variation tags, permite realizar análises detalhadas de bots individuais, além de identificar tendências e padrões na atividade de bots ao longo do tempo.

GraphiQL Playground

Use o GraphiQL Playground para acessar informações detalhadas sobre o desempenho e as operações do Bot Manager.

Por exemplo, você pode consultar dados do Bot Manager ou consultar as principais URLs impactadas por bots para analisar a atividade de bots e recuperar dados para otimizar suas configurações.

Explicação de Report Log

Exemplo de um report log gerado pelo Bot Manager:

O report log do Bot Manager lista os seguintes campos:

Opções de configuração

Configure sua instância do Bot Manager através dos seguintes parâmetros JSON Args para personalizar seu comportamento, capacidades de detecção e ações de resposta.

A tabela abaixo descreve todas as opções de configuração disponíveis que podem ser incluídas em seus JSON Args:

JSON Args recomendados

Esta é a estrutura JSON Args mais básica recomendada para ser usada com esta função:

Versão do engine

O sistema de versionamento do engine tem como objetivo permitir que o usuário altere dinamicamente o método de processamento, incluindo o uso de fingerprinting para isolar atacantes, possibilitando que seus acessos sejam controlados pela solução, seja permitindo, desafiando ou negando o acesso.

Regras estáticas

As regras estáticas são validações individuais realizadas nos atributos de uma única requisição, como cabeçalhos ou metadados, sem considerar o histórico de comportamento do mesmo usuário ou dispositivo. Cada regra correspondida aumenta a pontuação da requisição. Se a pontuação acumulada atingir ou exceder o threshold configurado, o Bot Manager executa a ação definida.

O Bot Manager executa um conjunto de regras estáticas em cada requisição, cobrindo características como bad bot signatures, scripted bots, malicious browser behavior, malicious intent e reputation intelligence.

Você pode desabilitar regras individuais usando o argumento JSON disabled_static_rules. Regras desabilitadas ainda são executadas e aparecem no campo de log disabled_matched_rules, mas sua contribuição ao score é removida.

Score dinâmico

Além das regras estáticas, o Bot Manager usa um motor de pontuação dinâmico que analisa o histórico de comportamento de uma fingerprint de dispositivo em relação ao padrão de tráfego geral de um host.

A rigidez desse motor é controlada pelo argumento dynamic_rules_tolerance (soft, medium ou hard). Você pode desabilitá-lo completamente com disable_dynamic_rules: true.

Threshold e calibragem

O valor de threshold é a pontuação máxima que uma requisição pode atingir antes de o Bot Manager executar a action configurada.

O valor de partida recomendado é 18. Esse valor equilibra a sensibilidade de detecção com a taxa de falsos positivos para a maioria das aplicações web.

Orientações de calibragem:

• Threshold menor: mais agressivo. Recomendado para APIs de alta segurança ou páginas de login, onde falsos negativos são custosos.
• Threshold padrão (18): balanceado. Adequado para a maioria das aplicações web.
• Threshold maior: mais permissivo. Pode ser adequado para aplicações com uma base de usuários diversificada e internacional.
• Threshold 0: toda requisição aciona a ação imediatamente (exceto usuários que resolveram o desafio ALTCHA). Útil apenas para testes.

Ao monitorar sua implementação, use o Real-Time Events e o Real-Time Metrics para inspecionar os campos de log score e matched_rules. Se você observar uma alta taxa de falsos positivos, considere aumentar o threshold ou desabilitar regras específicas via disabled_static_rules.

Recursos adicionais

SDKs

Azion Bot Manager pode trabalhar em conjunto com Software Development Kits (SDKs), tanto para sistemas Android quanto iOS, permitindo que você personalize e ajuste os protocolos de segurança para atender às necessidades específicas de suas aplicações móveis. Com SDKs e Bot Manager, você pode implementar controles refinados, abordar vulnerabilidades específicas da aplicação e adaptar-se a ameaças em evolução de forma mais eficaz.

Você pode usar SDKs para rastrear dispositivos móveis e identificar comportamentos (como toque na tela) e dados do dispositivo (modelo, fabricante, sistema operacional, etc.) para usar como insights para que o Bot Manager detecte e mitigue ameaças maliciosas.

Injeção de JavaScript

Quando o arquivo JavaScript é inserido em sua application, ele coleta dados para identificar o acesso na requisição ao calcular sua fingerprint. Está disponível para uso com navegadores da web. Com a injeção de JavaScript, mais dados não sensíveis serão coletados do usuário, mas exclusivamente para identificação da fingerprint do dispositivo.

Esses dados podem ser usados para criar regras e comportamentos mais robustos nos argumentos de Bot Manager, a fim de detectar e mitigar ameaças de forma mais eficaz.

Para mais informações sobre como instalar o Javascript Tag (JS TAG) na Azion, consulte nossa documentação.

Rate Limiting

O Rate Limiting (limitação de taxa) estabelece limites para o número de requisições que um usuário ou sistema pode fazer dentro de um período de tempo especificado, mitigando efetivamente o impacto de ataques de força bruta ou atividades excessivas de bots. Ao trabalhar em conjunto com limitação de taxa, as medidas do Bot Manager ganham uma camada adicional de defesa contra ameaças automatizadas.

Fingerprint

Um conjunto de informações (IP, cabeçalho User-Agent) cria um hash para dispositivos que acessam suas applications. As informações são coletadas rastreando a sessão do dispositivo e fornecem um detalhamento mais preciso do dispositivo usado na requisição, aumentando a precisão dos logs do Bot Manager.

Se você utiliza Fingerprint com o Bot Manager, também pode habilitar o uso do Real-Time Metrics da Azion para consultar dados consolidados via GraphQL API relacionados ao acesso à aplicação protegida pelo Bot Manager, facilitando a identificação de padrões e utilizando essa inteligência para otimizar as regras. Com essa funcionalidade, é possível definir um threshold e tomar uma ação específica quando o threshold é violado e o dispositivo ou usuário é identificado como malicioso, com base nos dados do fingerprint.

Captcha

Ao usar a ação redirect, a URL/localização definida pode conter uma integração de Captcha para adicionar uma camada de segurança adicional. Isso ajuda a aumentar a segurança e a detecção de tráfego malicioso, apresentando um desafio para todas as requisições que violaram anteriormente qualquer limite para garantir que sejam legítimas.

Configuração do desafio ALTCHA

Bot Manager

1. Em Firewall, selecione Rules Engine.
2. Clique no botão + Rules Engine para criar uma Rule para executar a função ALTCHA.
3. Na seção Name, insira um nome único e descritivo.
4. Na seção Criteria, defina quando apresentar o desafio.

• No JSON Args do Bot Manager, defina a ação de redirecionamento para o endpoint de verificação do ALTCHA para que o tráfego classificado como suspeito seja enviado para a página de desafio do ALTCHA.
• Alinhe os mesmos critérios de triggers das duas funções e use ALTCHA e Bot Manager no Rules Engine. Isso assegura que as duas soluções atuem sobre o mesmo conjunto de requisições e que o ALTCHA esteja sempre pronto para receber o redirecionamento do Bot Manager.

5. Defina a execução do ALTCHA sempre que uma Request Uri usar o endpoint /form, /az-request-verify e /az-request-captcha.
6. Na seção Behavior, selecione Run Function > ALTCHA.
7. Mantenha o botão Status como Active. ​​8. Clique no botão Save.

Esta configuração garante que todos os acessos ao endpoint /api/submit passam pela verificação ALTCHA antes da análise do Bot Manager, oferecendo múltiplas camadas de proteção.

Regras personalizadas

A Azion fornece configurações fáceis de usar, que devem ser suficientes para a maioria dos casos. Se você precisar de uma configuração mais detalhada, poderá editar o arquivo JSON da integração para personalizar e adicionar novas regras com base nas necessidades do seu negócio. Também é possível adicionar mais critérios e comportamentos a serem executados pelo Rules Engine, construindo respostas mais abrangentes para possíveis ataques.

Monitoramento e calibração

Após implantar o Bot Manager, use as ferramentas de observabilidade para ler logs, interpretar classificações de tráfego e ajustar thresholds e regras para reduzir falsos positivos enquanto bloqueia ameaças reais.