2021年のWebフォームスパム対策へのクラッシュコース
コンタクトフォームが埋め込まれているwebサイトをホストしている場合、スパムボットが役に立たない、または実に有害な情報をフォームに記入していることに精通している可能性があります。 これはかなり頭痛である場合もある(将来の顧客情報を集めているか、またはでき事のための登録を集めているmarketersのために特に)。 言うまでもなく、悪いボット情報は、あなたのチームのメンバーが不要なデータをクリーンアップ時間を過ごすと、あなたのウェブサイトのフォームのコンバージョン率を膨らませる原因となるあなたのCRMデータに潜入することができます。 最悪の場合、スパムボットはウェブサイトにセキュリティ上の脅威を与え、サイト訪問者や組織のメンバーに害を及ぼす可能性があります。
幸いなことに、チームの時間を節約し、正当なリードに集中できるように、この不要なトラフィックを削減する方法はたくさんあります。 しかし、各webフォーム（およびそれが取得するスパム）は一意です。 より良い自分自身を守るために、それは可能な攻撃者にいくつかの洞察力を得ることが最善です。 のは、スパムボットのように考えるために時間を割いてみましょう！
スパムボットとは何ですか？
Cloudflareは、ボットを特定の（しばしば反復的な）タスクを実行するようにプログラムされたソフトウェアアプリケーションと定義しており、人間よりもはるかに速く完了することができます。 要するに、ボットはプログラムであり、通常は、その目標を達成するためにできるだけ迅速かつ何度も特定のタスクを実行するように書かれています。 すべてのボットが悪いわけではないことにも注意してください！ GoogleとBingが検索エンジンのコンテンツを索引付けするために使用するwebクローラーは、おそらくこれまでに作られた最も多作なボットの一部です。 スパムボットは、情報を送信する明示的な目的のために書かれたボットです（頻繁には、webフォームを介して）。
良性かどうかにかかわらず、ボットはすべての形と大きさで来て、その目標は大きく異なる可能性があります。 悪意のあるボットだけに対処するには、ボットがどのような脅威を提示するかを理解する必要があります。
スパムボットの目標は何ですか？
スパムボットはさまざまな目的のために作成されますが、通常は三つのタイプがあります: メッセージ指向、DoS、および偵察。
メッセージ指向
一部のスパムボットは、特定のメッセージを宣伝するために明示的に書かれています。 彼らは政治的なメッセージやゲリラマーケティングの形を得ることに焦点を当てている可能性があります。 これらのボットは、可能な限り最大の視聴者（眼球/エンゲージメントを最大化）を取得しようとしており、各提出物（例えば、特定の電話番号、製品名、ポリシー、または これらのボットは、メッセージの拡散を停止する可能性が高いため、サーバーをハンマーすることはほとんどありません（サイトをダウンさせます）。 これらのボットは、インフラストラクチャに大きな負担をかけるのを避けるために、提出の間にある程度の時間を待つことがあります。
これらはおそらく最も脅威的ではない種類のボットであり（かなり迷惑ですが）、最も一般的です。
上記の例は、メッセージ指向の攻撃で誰かのwebフォームをターゲットにしているボットのものです。 彼らは”ハックツール”のいくつかの並べ替えを促進しているように見えるし、繰り返し自分のサイトへのリンクをスパム。
サービス拒否(DoS)
DoSボットは特定のメッセージを取得することに興味がなく、ウェブサイトをダウンさせることを目指しています。 具体的には、彼らはサーバーのリソースへの負担を最大化することを望んでいます。 彼らは、大量のデータを送信する（例えば、許可された文字の最大数でフォームフィールドを埋める）、できるだけ多くの要求を送信する（ハンマー）、またはその両方 そうすることは、あなたのサーバーが追いつくことができないことを期待して、彼らが最大量の帯域幅を占有していることを意味します。 これらのボットは、彼らが提出するものを見ることに（ほとんどの場合）興味がないので、単純な意味不明な（または法外な量の空白を含む）を提出するこ
最近私自身の受信トレイに見られるように、DoSボットがwebフォームを介して送信するコンテンツの種類の例を以下に示します。
ボットが提出したすべてのちんぷんかんぷんを参照してください。 有効な顧客情報を収集しようとしている営業チームやマーケティングチームにとっては、正確には役にたちません。 また、一番下のページ情報のハニーポットと秒は、このブログ記事の後半で触れるものです。
DoSボットは、あなたのサイトに中程度のリスクを提示します。 DoSボットが成功した場合、リソースをダウンロードしたり、プロジェクトについて話したり、製品を購入したりするためのお問い合わせフォームに記入してから、サイト上のユーザーを提示することができます。 一番下の行は、これらのボットは、あなたのサービスに興味を持っている貴重なリードを失い、最終的には、収益を失うことができるということです。
偵察
この最後の動機は、はるかに、最も心配です。 メッセージ指向のボットは、通常、あなたをターゲットに気にしない、とDoSボットは、最も表面的な方法であなたをターゲットにしている場合は、偵察（または略して偵察）ボットは、具体的にあなたについての情報を取得しようとしています。 これらのボットは、2つのグループに分類される傾向があります：フィッシング、およびexfiltration。 フィッシングリコンボットは、内部スタッフが自分の提出物のいずれかと対話することを目指しています。 そうすることで、ソーシャルエンジニアリング攻撃（攻撃者がスタッフが信頼する可能性のある権限者になりすますことを可能にする）のための将来の道が提供される可能性があります。 Exfiltration偵察ボットは、代わりに、システムから特定の情報を取得することに焦点を当てています。 これらのボットは、あなたのインフラストラクチャについての詳細を調べることを望んでいます（例えば、将来悪用される可能性のある脆弱性を探
以下の例に見られるように、フィッシングメール詐欺に精通している可能性が高く、最近私たちのチームの数人のメンバーに発生しました。 Eメールを送信した人が、CEOになりすましてチームの電話番号にアクセスしようとしています。 同様の戦術は、webフォームの偵察スパムボットで使用されています。
この種のボットは、通常、はるかに標的化された攻撃の前奏曲として動作するため、他のものよりも これらのボットは、情報の啓示を最大化しようとしています。: 特定の状況下でシステムがどのように反応するかを決定するために多くの提出を行うことも、できるだけ正当に近いように表示するために頻繁に提出することもできます（スタッフとのやりとりの可能性を高めるため）。
ウェブサイト上のスパムボットを停止するにはどうすればよいですか？
ありがたいことに、スパムボットのすべての品種に対抗するための戦略の広い配列があります。 私達は私達の自身のウェブサイトのそして私達の顧客のための次の作戦の組合せを実行する大きい成功を過した。 すべてのクライアントのニーズと脅威モデルが異なるため、正しい組み合わせと実装が異なることに注意してください。 以下は、各戦略とそのトレードオフの非常に簡単な概要です。
| 戦略 | アクセシビリティ （高い方が良いです） |
有効性 （高い方が良いです） |
ユーザーの摩擦 （低い方が良いです) |
|---|---|---|---|
| ハニーポットフィールド | 非常に高い | 高い | 非常に低い |
| 制限速度 | 高 | 高 | 低-中-中-中-中-中-中-中-中-中-中-中-中-中-中-中-中-中-中-中-中-中-中-中 |
| オートフィルを許可しない | 低 | 非常に低 | 非常に高い |
| s | 低 | 中 | 高 |
| (re/No),h | 非常に低い | 非常に高い | 非常に高い |
ハニーポットフィールド
ハニーポットは、フォームに追加される特別なフィールドで、通常のユーザーには見えません。 通常、これらを非表示のテキストボックスで実装します（アクセシビリティ上の理由から、通常は”このフィールドに記入しないでください”のようなラベ 上記のボットのすべてのタイプは、このトラップのために落ちる可能性があります：メッセージ指向のボットは、できるだけ多くのフィールドに記入して、; DoSボットは、より多くのデータを送信する機会を逃したくありません;そして、彼らは正当に見たいにもかかわらず、フィールドが必要なときに知ることの難しさは、偵察ボットは、多くの場合、あまりにもこれらの目に見えないフィールドを埋めることを意味します。 これは、その単純さにもかかわらず、驚くほど効果的であることを意味します。 私達の顧客のために、それは頻繁に堤出されるすべてのスパムの95%または多くを扱う。
これは、ほとんどの場合、実装する最速の戦略です（そして本質的にダウンサイドを提起しません）。
速度制限
単純なハニーポットフィールドがクライアントが取得しているすべてのスパムを処理しない場合、次のステップは速度制限です。 彼らは正しく実装するのに少し時間がかかり、正当なトラフィックをフィルタリングするリスクがあります（注意せずに実装されている場合）。 要するに、速度制限は、フォームが送信される前に、ページに費やされる最小の必要な時間を課します。 これは、特別なcookieまたはページがロードされたときのタイムスタンプを一覧表示する非表示フィールドとして実装する傾向があります。 提出のタイムスタンプとページロードのタイムスタンプの差が制限速度の設定された最小値よりも小さい場合、その提出に正当ではない可能性が高いとフラグを立てることができます。
この戦略の基本的な設定は、ハニーポットと同じように迅速に実装することができますが、合理的な最小時間を考えるために余分な時間を費やす必要があります（短いフォームは長いフォームよりも記入するのにかかる時間が短くなります）。 また、一部のフォームは、実装で考慮する必要があるwebブラウザによって自動入力される可能性があります。 ユーザーがフォームを合理的に送信できる速度を考えるのに時間を費やしたら、最小値（たとえば、3秒）を選択できます。 DoSスパムの例を示す上のスクリーンショットのように、我々は頻繁に（任意の制限を強制せずに）速度制限のための基本的なインフラストラクチャをセッ これは私達が典型的な正当な、スパムの服従が取るどの位についての情報を集めることを可能にし、私達に適度な最低の決定のヘッド開始を与える。
ハニーポットフィールドのように、速度制限は通常、迅速に実装でき、負の副作用が最小限で、驚くほど効果的であるため、素晴らしいです。 ボットは人間よりもはるかに速くフォームフィールドに記入することができるため、非常に低い速度制限（正当なトラフィックにフラグを付けることは
自動入力を無効にする
多くのブラウザでは、フォームフィールドに自動的に入力する機能が提供されています。 一部のサイトでは、この機能を無効にしてスパムに対抗しようとしています。 よい意思とされている間、これは伝染性のスパムで非常に非効果的である。 これは、単純なHTMLまたはJavascriptで実装することができます。 HTMLで実装されている場合、ボットは単にそれを無視することができます（注：彼らは意志！). また、Javascriptで実装されている場合、ユーザーを疎外させるイライラする動作が頻繁に発生する可能性があります（たとえば、フォーカスしたときにテキストボッ
もちろん、自動入力はアクセシビリティの大きな利点であり、一般的にユーザーの生活の質を向上させます。 それについて考えてみてください—あなたは別のアドレス、電子メールアドレスなどを覚えてフォームの自動入力を使用していますか？ その機能があまりにも奪われた場合、あなたはおそらく不満を感じるだろう。
要するに、実装は簡単ですが、通常は多くのネガが付属しており、陽性はほとんどありません。 それは選択ですが、私達は普通明確な操縦するために私達の顧客を推薦します。
s
sはボットスパムを削減する最も古い形式の1つであり、今日でも非常に効果的です。 Aは、ユーザーが正当なものとみなされるために提出を解決しなければならない謎です。 非常に単純なバージョンのaは、2つの小さな乱数を生成し、フォームフィールドの1つに数値の合計を与えるようにユーザーに要求します。 おそらく驚くべきことに、aの最も単純な形式でさえ効果的です（ほとんどのボットは、実際にはこれらの種類のものを解決するのに十分スマートでは しかし、攻撃があなたのサイトをより標的にしている場合、かなり複雑なsでさえ効果がない可能性があります。
単純なsによって停止されるほとんどのボットはハニーポットフィールドと速度制限によって除外される傾向があり、複雑なsを構築することははるかに重要な努力であるため、通常はこの戦略も避けますが、一つの大きな例外があります…
re、No、およびh
reはGoogleによって提供されています。 あなたは次の画像のための任意の郷愁（または根深い憎しみ）を持っている場合は、再に非常に精通しています:
いいえ（また、再v3として知られている）は、Googleのより最近の提供、あなたはおそらくどこでもポップアップ見てきた何かです。 これは単純なチェックボックス（バックグラウンドで起こっている多くのチェックを表す）として始まります。 これらのバックグラウンドチェックのいずれかが失敗した場合、より重要な課題（多くの場合、一連の画像を分類する）が必要です。
このスペースへの一つの新人はhです。HはGoogleのNoと非常によく似ていますが、Googleの製品よりもプライバシーを尊重することを目指しています。
これらの3つのオプションすべてを使用すると、非常に複雑なsを自分で設計することなく使用できます。 注意すべき3つのネガがあります:
- サードパーティを使用することは、サーバーがダウンしている場合、フォームが動作しない可能性があることを意味します
- javascriptを必要とし、いくつかの重要なア)
これらは、ある意味では、核の選択肢です。 実装されると、彼らは非常に効果的にスパムをフィルタリングするために侵襲的なチェッ; しかし、あなたは劇的にユーザーのための摩擦を増加させます。 これらは（特に執拗な、進行中のスパムの場合には）開いた保つ選択であるが、私達は最後の手段としてだけそれらを使用しがちである。
私たちが議論したことを要約するには：
通常、あなたのウェブサイトを対象とするスパムボットには三つのタイプがあります:
- メッセージ指向
- サービス拒否(DoS)
- 偵察
クライアントのサイトでwebフォームのスパムを停止するために使用できるさまざまな方法があります:
- ハニーポットフィールド
- 速度制限
- 自動入力を無効にする
- s
- re,No,h
最終的には、サイト上のウェブフォームスパムを停止するための完璧な、フリーサイズの解決策はありませんが、活用するためのオプションの不足はありません。 各ウェブサイトおよび形態のために、制御の下でスパムを得る作戦の組合せを見つけることができる! スパムボットが進化し続ける中で、サイトに侵入して業務を妨害するスパムを削減するのに役立つ積極的な戦略を実施し、先を行くことが重要です。
オンラインプレゼンスを向上させ、優れた顧客体験のためにサイトを最適化するために探していますか？ あなたのウェブサイトを改善し、トラフィックを増やすために、これらの8つの迅速な勝利をチェックしてください！