• Articles
• admin

pokud hostujete jakoukoli webovou stránku, na které je vložen kontaktní formulář, je pravděpodobné, že jste obeznámeni se spamovými roboty vyplňujícími váš formulář neužitečnými nebo přímo škodlivými informacemi. To může být docela bolest hlavy (zejména pro obchodníky, kteří shromažďují potenciální informace o klientech nebo shromažďují registrace na akci). Nemluvě o tom, že špatné informace o botech mohou infiltrovat vaše data CRM, což způsobí, že členové vašeho týmu stráví hodiny úklidem nežádoucích dat a nafouknou míru konverze formuláře vašeho webu. V nejhorším případě představují spamové roboty bezpečnostní hrozbu pro váš web, což může poškodit návštěvníky vašich stránek a členy vaší organizace.

Naštěstí Existuje spousta způsobů, jak omezit tento nežádoucí provoz, což šetří váš týmový čas a umožňuje jim soustředit se na legitimní potenciální zákazníky. Ale každý webový formulář (a spam, který dostane) je jedinečný. Chcete-li se lépe bránit, je nejlepší získat přehled o možných útočnících. Pojďme chvíli přemýšlet jako spam bot!

co jsou spamové roboty?

Cloudflare definuje robota jako softwarovou aplikaci naprogramovanou k provádění určitých (často opakujících se) úkolů,které může dokončit mnohem rychleji než lidé. Stručně řečeno, bot je program; obvykle ten, který je napsán tak, aby provedl konkrétní úkol co nejrychleji a tolikrát, kolikrát je to možné, aby dosáhl svého cíle. Všimněte si také, že ne všechny roboty jsou špatné! Webové prohledávače, které Google a Bing používají k indexování obsahu pro své vyhledávače, jsou pravděpodobně jedny z nejplodnějších robotů, jaké kdy byly vyrobeny. Spamové roboty jsou ty roboty, které jsou psány za výslovným účelem zasílání informací (často prostřednictvím webových formulářů).

benigní nebo ne, roboti přicházejí ve všech tvarech a velikostech a jejich cíle se mohou výrazně lišit. Chcete-li oslovit pouze hanebné roboty, musíte pochopit, jakou hrozbu může bot představovat.

co je cílem spamového robota?

spamové roboty jsou vytvořeny pro různé účely, ale obvykle přicházejí ve třech typech: zprávy orientované, DoS, a průzkum.

orientované na zprávy

některé spamové roboty jsou psány výslovně, aby propagovaly konkrétní zprávu. Mohli by se zaměřit na získání politického poselství nebo formy guerilla marketingu. Tito roboti se snaží získat co největší publikum (maximalizovat oční bulvy/zapojení) a je také pravděpodobné, že budou mít společné vlákno procházející každým příspěvkem (např. konkrétní telefonní číslo, Název produktu, politika nebo kandidát, který je propagován). Je nepravděpodobné, že by tito roboti kladili váš server (sundali váš web), protože to pravděpodobně povede k zastavení šíření jejich zprávy. Pravděpodobně uvidíte, že tito roboti čekají mezi příspěvky nějakou dobu, aby se vyhnuli masivnímu namáhání vaší infrastruktury.

Jedná se pravděpodobně o nejméně ohrožující druhy robotů (i když docela nepříjemné) a jsou nejčastější.

výše uvedený příklad je bot, který cílí na něčí webový formulář útokem zaměřeným na zprávy. Zdá se, že propagují nějaký „hack tool“ a opakovaně spamují odkaz na své stránky.

Denial of Service (DoS)

DoS Boti nemají zájem o získání konkrétní zprávy, mají za cíl sundat webové stránky. Konkrétně doufají, že maximalizují tlak na zdroje serveru. Budou mít tendenci k tomu tím, že předloží značné množství dat (např. vyplnění polí formuláře s maximálním počtem povolených znaků), tím, že předloží co nejvíce žádostí (zatloukání), nebo obojí. Pokud tak učiníte, znamená to, že zabírají maximální šířku pásma v naději, že váš server nemůže držet krok. Protože tito roboti nemají zájem (z větší části) o to, abyste viděli, co předkládají, mohou dokonce předložit prostý blábol (nebo zahrnout přemrštěné množství mezer).

zde je příklad toho, jaký druh obsahu by DoS bot odeslal prostřednictvím webového formuláře, jak bylo nedávno vidět v mé vlastní doručené poště.

podívejte se na všechny bláboly, které bot předložil? Není to přesně užitečné pro prodejní nebo marketingový tým, který se snaží shromažďovat platné informace o zákaznících. Také si všimněte, že Honeypot a sekundy na stránce Informace v dolní části je něco, co se dotkneme později v tomto blogu.

DoS bot představuje pro váš web Střední úroveň rizika. Pokud je DoS bot úspěšný, může uživatelům na vašem webu nabídnout vyplnění kontaktního formuláře ke stažení zdroje, mluvit o projektu nebo koupit jeden z vašich produktů. Pointa je, že tito roboti mohou způsobit ztrátu cenných potenciálních zákazníků, kteří se zajímají o vaše služby a nakonec ztratí příjmy.

tato poslední motivace je zdaleka nejvíce znepokojující. Tam, kde se roboti orientovaní na zprávy obvykle nestarají o cílení na vás a Boti DoS se na vás zaměřují nejpovrchnějším způsobem, průzkumní (nebo zkrátka průzkumní) roboti se snaží získat informace konkrétně o vás. Tito roboti mají tendenci spadat do dvou skupin: phishing a exfiltrace. Cílem phishingových průzkumných robotů je přimět interní zaměstnance k interakci s jedním ze svých příspěvků. Pokud tak učiníte, může to nabídnout budoucí cesty k útokům na sociální inženýrství (umožnit útočníkovi vydávat se za autoritu, které by zaměstnanci mohli důvěřovat). Boti Exfiltration Recon se místo toho zaměřují na získávání konkrétních informací z vašeho systému. Tito roboti doufají, že se dozví více o vaší infrastruktuře (například aby prozkoumali zranitelnosti, které by mohli v budoucnu využít).

pravděpodobně jste obeznámeni s phishingovými e-mailovými podvody, jak je vidět v příkladu níže, který se nedávno stal několika členům našeho týmu. Osoba, která poslala e-mail, se snaží získat přístup k telefonním číslům našeho týmu vydáváním se za našeho generálního ředitele. Podobná taktika se používá v průzkumných spamových robotech ve webových formulářích.

tento druh bot je mnohem děsivější než ostatní, protože obvykle funguje jako předehra k mnohem cílenějšímu útoku, kterému bude těžší čelit. Tito roboti se snaží maximalizovat odhalení informací; jsou nejvíce variabilní formou bot: mohli by podat mnoho podání, aby určili, jak váš systém za určitých okolností reaguje, nebo by se mohli občas podřídit, aby se objevili co nejblíže legitimnímu (aby se zvýšila pravděpodobnost interakce zaměstnanců).

jak zastavím spamové roboty na svých webových stránkách?

naštěstí existuje široká škála strategií pro boj se všemi druhy spam bot. Měli jsme velký úspěch při implementaci kombinací následujících strategií na našich webových stránkách a pro naše klienty. Všimněte si, že potřeby a modely hrozeb každého klienta jsou odlišné, takže správná kombinace a implementace se budou lišit. Níže je uveden velmi stručný přehled každé strategie a jejích kompromisů.

strategie	Přístupnost (vyšší je lepší)	účinnost (vyšší je lepší)	uživatelské tření (nižší je lepší)
Honeypot pole	velmi vysoká	vysoká	velmi nízká
rychlostní limity	vysoké	vysoké	nízké střední
zakázat automatické vyplňování	nízké	velmi nízké	velmi vysoké
s	nízká	Střední	vysoká
(re/No), h	velmi nízká	velmi vysoká	velmi vysoká

Honeypot Fields

honeypot je speciální pole přidané do formuláře, neviditelné pro běžné uživatele. Obvykle je implementujeme prostřednictvím skrytého textového pole (z důvodů přístupnosti je obvykle označujeme jako „nevyplňujte toto pole“). Všechny výše uvedené typy robotů pravděpodobně spadnou do této pasti: roboti orientovaní na zprávy pravděpodobně vyplní co nejvíce polí, aby svou zprávu opakovali tolikrát, kolikrát je to možné; DoS Boti nechtějí nechat ujít šanci poslat více dat; a, i když chtějí vypadat legitimně, obtížnost vědět, kdy je vyžadováno pole, znamená, že průzkumní roboti často vyplní i tato neviditelná pole. To znamená, že je překvapivě efektivní, navzdory své jednoduchosti. Pro naše klienty často zpracovává 95% nebo více veškerého odeslaného spamu.

Toto je téměř vždy nejrychlejší strategie k implementaci (a představuje v podstatě žádný down-side); toto je náš první plán útoku na boj proti spamu na daném webovém formuláři.

rychlostní limity

pokud jednoduché pole honeypot nezpracovává veškerý spam, který klient dostává, naším dalším krokem je rychlostní limit. Jejich správná implementace trvá o něco déle a mají riziko (pokud jsou implementovány bez péče) filtrování legitimního provozu. Ve zkratce, rychlostní limit ukládá minimální požadovaný čas strávený na stránce před odesláním formuláře. Máme tendenci implementovat to jako speciální cookie nebo skryté pole, které uvádí časové razítko, kdy byla stránka načtena. Pokud je rozdíl mezi časovým razítkem odeslání a časovým razítkem načtení stránky menší než nastavené minimum rychlostního limitu, můžeme tento příspěvek označit jako pravděpodobně legitimní.

základní nastavení této strategie je stejně rychlé na implementaci jako honeypot, ale musíte strávit nějaký čas navíc přemýšlením o rozumném minimálním čase (vyplnění kratších formulářů zabere méně času než delší). Některé formuláře mohou být automaticky vyplněny webovými prohlížeči, které musíte při implementaci zohlednit. Jakmile jste strávili nějaký čas přemýšlením o tom, jak rychle může uživatel rozumně odeslat formulář, můžete si vybrat své minimum (např. Stejně jako na obrázku výše, který ukazuje příklad dos spamu, často nastavíme základní infrastrukturu pro rychlostní limit(bez vynucení jakéhokoli omezení). To nám umožňuje shromáždit nějaké informace o tom, jak dlouho trvají typické legitimní a spamové příspěvky, a to nám dává náskok při určování přiměřeného minima.

stejně jako pole honeypot jsou rychlostní limity pěkné, protože je lze obvykle implementovat rychle, mají minimální negativní vedlejší účinky a jsou překvapivě účinné. Protože roboti mohou vyplňovat pole formuláře mnohem rychleji než lidé, dokonce i velmi nízké rychlostní limity (které pravděpodobně nebudou označovat legitimní provoz) často odfiltrují značné množství spamu.

zakázání automatického vyplňování

mnoho prohlížečů nabízí možnost automaticky vyplnit pole formuláře pro vás. Některé weby se snaží bojovat proti spamu deaktivací této funkce. I když je to provedeno s dobrými úmysly, je to velmi neúčinné při chytání spamu. To by mohlo být implementováno pomocí jednoduchého HTML nebo JavaScriptu. Pokud je implementován s HTML, mohou Boti jednoduše ignorovat (poznámka: budou!). A pokud je implementován pomocí JavaScriptu, může to často vést k frustrujícímu chování, které odcizuje uživatele (např. existuje alespoň jedna webová stránka, která při zaostření vymaže textové pole, takže pokud uživatel někdy klikne na pole formuláře poté, co do něj něco napsal, zjistí, že ho musí znovu zadat).

nemluvě o tom, že automatické vyplňování je obrovským přínosem pro přístupnost a obecně zlepšuje kvalitu života uživatelů. Přemýšlejte o tom – kolikrát za den používáte automatické vyplňování formulářů k zapamatování různých adres, e-mailových adres atd.? Pravděpodobně byste se cítili frustrovaní, kdyby byla tato funkce také odebrána.

Stručně řečeno, i když snadno implementovatelné, obvykle přichází s mnoha negativy a velmi málo pozitiv. Je to možnost,ale obvykle doporučujeme našim klientům vyhýbat se.

s

s jsou jednou z nejstarších forem snižování spamu botů a mohou být i dnes velmi účinné. A je jako hádanka, kterou musí uživatel vyřešit, aby bylo podání považováno za legitimní. Velmi jednoduchá verze a by generovala dvě malá náhodná čísla a požádala uživatele, aby uvedl součet čísel v jednom z polí formuláře. Možná překvapivě, i ty nejjednodušší formy a jsou účinné (většina botů není ve skutečnosti dost chytrá na to, aby vyřešila tyto věci). Pokud je však útok více zaměřen na váš web, mohou být i poměrně složité neúčinné.

protože většina robotů, které by byly zastaveny jednoduchými s, má tendenci být odfiltrována poli honeypot a rychlostními limity, a protože budování komplexu s je mnohem významnější úsilí, obvykle se této strategii také vyhýbáme, s jednou hlavní výjimkou…

re, No a h

re je nabízen společností Google. Pokud máte nějakou nostalgii (nebo hluboce zakořeněnou nenávist) pro následující obrázek, jste velmi dobře obeznámeni s re:

Ne (také známý jako re v3) je novější nabídka společnosti Google, něco, co jste pravděpodobně viděli objevovat všude. Začíná to jako jednoduché zaškrtávací políčko (což představuje mnoho kontrol, které se dějí na pozadí). Pokud některá z těchto kontrol na pozadí selže, je vyžadována významnější výzva (často klasifikace sady obrázků).

jedním z nováčků v tomto prostoru je h. H funguje velmi podobně jako Ne společnosti Google, i když si klade za cíl více respektovat soukromí než nabídky společnosti Google.

všechny tři tyto možnosti vám umožňují používat velmi složité s, aniž byste je museli sami navrhovat. Existují tři negativy, které je třeba si uvědomit:

• použití třetí strany znamená, že pokud jsou jejich servery nefunkční, vaše formuláře nemusí fungovat
• vyžadují javascript a mají některé významné problémy s přístupností
• specifické pro re a ne, Google vydělává peníze shromažďováním uživatelských dat, což je obava o soukromí (a možná právní obava vzhledem k obecnému nařízení o ochraně údajů a Kalifornskému zákonu o ochraně osobních údajů)

Jedná se v jistém smyslu o jadernou možnost. Po implementaci, používají invazivní kontroly k velmi účinnému odfiltrování spamu; ale dramaticky zvyšujete tření pro uživatele. Jedná se o možnost zůstat otevřený (zejména v případě neúprosného, probíhajícího spamu), ale máme tendenci je používat pouze jako poslední možnost.

rekapitulace toho, co jsme diskutovali:

existují tři typy spamových robotů, které obvykle cílí na vaše webové stránky:

2. Denial of Service (DoS)
3. Reconnaissance

existuje celá řada metod, které můžeme použít k zastavení webového formuláře spam na stránkách našich klientů:

1. pole Honeypot
2. omezení rychlosti
3. zakázání automatického vyplňování
4. s
5. re, No a h

nakonec neexistuje dokonalé řešení pro zastavení spamu ve formě webových formulářů na vašem webu, ale není zde žádný nedostatek možností, jak využít. Pro každý web a formulář najdete kombinaci strategií, které dostanou spam pod kontrolu! Jak se spamové roboty stále vyvíjejí, je důležité zůstat na špici a implementovat proaktivní strategie, které pomáhají omezit spam vstupující na váš web a zasahovat do vašich operací.

chcete zlepšit svou online přítomnost a optimalizovat své stránky pro skvělý zákaznický zážitek? Podívejte se na tyto 8 rychlé výhry zlepšit své webové stránky a zvýšit návštěvnost!