AWSとCloudflareの両方が、それぞれのファイアウォール製品内に新しいボット軽減機能をリリースした。どちらのリリースも、望まないボットトラフィックがアプリケーションに到達するのを防ぐための追加機能を提供する。
AmazonのプリンシパルアドボケートであるSébastien Stormacq氏は、「AWS Shield Threat Research Teamが行った調査によると、一般的なWebアプリケーションに向かうトラフィックの最大51％は、ボットとも呼ばれるマシンで実行されているスクリプトから発生している」と述べている。ボットは、監視スクリプトや検索エンジンクローラーなどの必要なものから、コンテンツスクレーパーなどの望まないものまで様々である。
新しいAWS WAFボットコントロール機能は、TLSハンドシェイク、HTTP属性、IPアドレスなどのリクエストメタデータを分析して、ボットの目的を特定する。次に、スクレーパー、SEO、クローラー、サイトモニターなどのタイプごとにボットを分類する。識別されると、デフォルトのアクションとして、望まないボットからのボットトラフィックをブロックする。設定をカスタマイズして、ボットタイプごとにカスタム応答を返す、あるいは、新しいヘッダーを挿入してダウンストリームサービスのトラフィックにフラグを立てることができる。
AWS WAFマネージドルールグループに、スコープダウンステートメントとラベリングという2つの機能が追加された。スコープダウンステートメントを使用して、マネージドルールを実行する条件を定義できる。
ラベルは、ルールステートメントに合致した結果としてリクエストに追加できるメタデータである。ラベルは、Web ACLに対して評価されている間、リクエスト上で利用し続けることができる。ラベルはまた、CloudWatchメトリクスを出力し、WAFログに表示される。この例は、ルールと同じコンテキストでローカルにリクエストに追加されたラベルと一致する。
Rule: {
Name: "match_rule",
Statement: {
LabelMatchStatement: {
Scope: "LABEL",
Key: "header:encoding:utf8"
}
},
RuleLabels: [
...generate_more_labels...
],
Action: { Block: {} }
}
Cloudflareのスーパーボットファイトモードは、2019年にボットファイトモードと共にリリースされた機能を拡張するものである。ボットソリューションは[ボット]サブタブの下に、ファイアウォールアプリの独自のハブにある。Proプランを使用しているユーザは、自動化された望まないボット、人間の可能性が高いもの、検証済みのボットのトラフィックを示すレポートにアクセスできるようになった。このデータは、GraphQL APIを介して取得することもできる。ボットトラフィックを完全にブロックするか、チャレンジリクエストを発行することができる。
ビジネスユーザは、ボット分析にアクセスできる。これはブロックされているトラフィックを視覚化するのに役立つ。この計画では、リクエストは機械学習エンジンによっても分析され、IPをローテーションするボットなどのより高度なボットを特定するのに役立つ。
Cloudflareのエンタープライズボット管理機能は、ファイアウォールに直接組み込まれている。これにより、AWSのWAFサービスのスコープダウンルールと同様に、ボットプロテクションを特定のパスに制限することができる。Cloudflareは、API不正使用検出への早期アクセスもリリースした。この機能では、APIを緻密に分析するために教師なし学習が使用され、正当なトラフィックを識別して、望まないボットからのトラフィックをさらに軽減する。
AWS WAFボットコントロールは、AWS WAFが属するすべてのリージョン内で有料のマネージドルールとして利用できる。Cloudflareのボットプロテクションは、無料利用枠を含むすべてのプランで利用できる。提供される機能セットはプランごとに異なる。