どう検知し、どう遮断するのか？企業が備えるべき悪性ボット対策
本記事は、前回の記事に続く内容です。
前回の記事）「5秒購入」の時代、悪性ボットはどのように公平性を崩すのか？
なぜ従来のセキュリティ対策だけでは不十分なのか？
前回の記事では、強力な法規制が整備されたとしても、悪性ボットの問題が自動的に解決するわけではなく、企業自身が自動化攻撃を検知・遮断するための技術的な対策を講じることが重要であることを確認しました。
悪性ボットへの対策は、単に攻撃トラフィックを遮断するだけでは不十分です。悪性ボットは正規ユーザーの行動を模倣し、実際のユーザーとよく似た形でサービスへアクセスするため、正規ユーザーと悪性ボットを正確に識別し、検知結果に応じて異なる対応を行う必要があります。
例えば、従来のRate Limit（レート制限）のように、一定時間内に処理するリクエスト数を制限して一律に拒否すると、悪性ボットだけでなく正規ユーザーのアクセスまで制限してしまう可能性があります。
人間とボットを判別するためにCAPTCHAを利用するケースも多くあります。しかし、技術の進化に伴い、CAPTCHA自体もボットによって回避されるようになってきています。また、特定のIPアドレスを遮断する従来型のWAF（Web Application Firewall）も、攻撃者が一般的な住宅用IPを切り替えながらアクセスするようになったことで、その効果には限界が見えています。
今、企業が確認すべきなのは、単に
「どれだけ多くのリクエストが発生しているのか？」
ではありません。
「このリクエストを送信している主体は、本当に実際のユーザーなのか？」
という視点が必要になっているのです。
悪性ボットをどのように防ぐのか？
では、実際のサービス環境において、人間とボットをどのように見分ければよいのでしょうか。
最も重要なのは、一つの情報だけで判断しないことです。
同じIPアドレスからリクエストが送信されているからといって、必ずしも同一ユーザーとは限りません。反対に、IPアドレスが異なるからといって、すべてが正規ユーザーであるとも限りません。
IPアドレスやUser-Agent、単純なリクエスト頻度だけを基準にボットを判断しようとすると、攻撃者はIPを変更したり、一般的なブラウザに偽装したりすることで簡単に検知を回避できてしまいます。
そのため、効果的なボット対策には、ユーザーの行動パターン、接続環境、ブラウザ特性など、複数のシグナルを総合的に分析する仕組みが必要です。
1. ユーザー行動の分析
人間とボットの大きな違いの一つが、行動パターンです。
人間がWebサイトを利用すると、その行動には自然なばらつきが生まれます。ページを読む時間、マウスの動かし方、クリックする間隔、ページを移動するタイミングなどは、その都度異なります。
一方、自動化されたボットは、あらかじめ設定されたスクリプトに従って同じ行動を繰り返す傾向があります。短時間に同じパターンで数十回、数百回ものリクエストを発生させることもあります。
そのためボット対策では、単に「リクエスト数が多いか」を見るだけでなく、「サービスがどのように利用されているか」まで分析することが重要です。
2. 複数のシグナルによる総合的なリスク評価
さまざまな検知シグナルを組み合わせ、アクセスごとのリスクレベルを判断することも重要です。
例えば、以下のような兆候が複数同時に確認された場合、悪性ボットである可能性はより高くなります。
異常なリクエスト頻度
反復的な行動パターン
ブラウザ環境の異常
自動化ツールを使用している可能性
異常なセッションパターン
疑わしいIP・ネットワーク特性
これらの情報を総合的に評価することで、単純に「人間かボットか」という二択で判断するのではなく、リスクレベルに応じて異なる対応を適用することができます。
3. 検知結果に応じた段階的な対応
ボット対策では、検知した後に「どのように対応するか」も重要です。
すべてのボットを一律に遮断することが、必ずしも正しいとは限りません。
検索エンジンのクローラーのようにサービス運営に必要な「良性ボット」がある一方、不正なスクレイピングやチケットの買い占めなどを目的とした「悪性ボット」も存在します。
そのため企業は、検知結果に応じて異なるポリシーを適用する必要があります。
正規ユーザーは通常通りサービスを利用できるようにし、疑わしいアクセスには追加認証を求め、悪性ボットと確認されたリクエストのみを遮断します。
つまり、ボット対策のポイントは単に「検知すること」ではなく、「検知結果に応じて適切な対応を選択すること」にあります。
4. 進化するボット・マクロに対応する継続的な防御体制
もう一つの重要な課題があります。
企業のボット対策技術が高度化すれば、攻撃者もそれを回避するための新たな方法を探し続けます。
ボットは、単純なスクリプトから実際のブラウザ環境を再現するヘッドレスブラウザへ、固定IPからプロキシや分散ネットワークへ、単純な反復動作から人間に近い行動パターンへと進化しています。
さらに近年ではAI技術も組み合わされ、自動化攻撃は今後ますます高度化すると考えられます。
したがって、一度ボット対策システムを構築して終わりではありません。
新たな攻撃パターンを継続的に分析し、検知基準を高度化しながら、変化する脅威に対応できる仕組みが必要です。
AIベースの多層型ボット対策ソリューション「BotManager」
STCLabのBotManagerは、AIを活用した悪性ボットの検知・管理ソリューションです。
正規ユーザーのトラフィックから異常なアクセスを識別することで、ビジネス指標の歪みを防ぎ、正規ユーザーが技術的な不利益を受けることなく、公平にサービスを利用できる環境づくりを支援します。
マルチレイヤーエージェント防御（Client / Server / CDN）
Client、Server、CDNに対応した多層構造により、ボットがアクセスする可能性のあるさまざまな経路を検証し、検知精度を高めます。
4段階の検証システム
Firewall → Bot Category → Filter → Policy
複数段階の検証によって悪性ボットを検知します。
特にポリシー分析では、リアルタイムの行動分析をもとに、アクセス頻度やパターンなど、さまざまな条件からボットを識別できます。
根拠に基づく段階的な対応
ボットと疑われる異常アクセスに対して、即時遮断を行うことも、CAPTCHAによる追加認証を適用することもできます。
また、遮断されたアクセスには理由コードが紐づけられるため、問い合わせや異議申し立てが発生した場合にも、データに基づいた明確な根拠を確認できます。
AIスコアリングとポリシー推奨
AIがリアルタイムログを分析してアクセスごとのリスクレベルを評価します。
さらに、過去7日間のトラフィックを分析し、サービス環境に適した遮断基準を提案します。
専門家によるManaged Service（マネージドサービス）
STCLabのセキュリティ専門家がトラフィックを詳細に分析し、変化し続ける脅威に合わせて対応ポリシーを継続的に高度化できるようサポートします.
このほかにも、Dynamic URL、難読化設定、ランサムウェア対策、アカウント乗っ取り（ATO）対策、スクレイピング対策など、セキュリティを強化するためのさまざまなポリシーを設定可能です。
BotManagerはすでに韓国の主要チケット販売プラットフォームをはじめ、多くの教育機関や公共機関に導入され、公平かつ効率的なサービス運営を支援しています。
また、日本の大手IP企業でもECサイトへの異常アクセスを遮断するためにBotManagerを導入しており、マネージドサービス契約を通じて継続的な運用・最適化支援を受けています。
悪性ボット対策は、もはや「選択」ではなく「標準」へ
悪性ボットは、企業のビジネスロジックと正規ユーザーの利用機会を直接脅かす存在となっています。
商品の在庫を買い占め、予約枠を占有し、アカウントを乗っ取り、データをスクレイピングして歪め、プロモーションを不正に利用します。
悪性ボットは遮断しなければなりません。
しかし同時に、正規ユーザーの利用体験を妨げてはなりません。
企業に必要なのは、単により高い「壁」を作ることではありません。
人間とボットを正確に識別し、リスクに応じて対応レベルを柔軟に調整できるボット防御体制です。
人間とボットが同じサービス上で競争する時代。
STCLabはBotManagerを通じて、正規ユーザーが公平かつ安定してサービスを利用できる環境づくりを支援します。
単なるトラフィック遮断を超え、ビジネスの目的に合わせた「ボット対策戦略」が必要であれば、BotManagerをご確認ください。