防止对您的Web应用程序进行Bot攻击的3种方法

在新闻中听到有关 IoT 安全性（或缺乏安全性）的情况变得越来越普遍，并且计算机和 IoT 设备经常成为黑客的目标，因为他们使用“机器人”来执行分布式拒绝服务 (DDoS) 攻击、应用程序漏洞和凭证填充.

目前，非人工流量或机器人流量占网站总流量的 60% 以上。这些僵尸程序有多种形式，因此区分通常构成僵尸网络以执行各种恶意活动的受感染主机与对推动客户访问您的网站极为重要的合法僵尸程序（例如 Googlebot ）。

针对 Web 服务的不同类型的 Bot 攻击

包含定价信息和专有信息的网站特别容易受到机器人流量的影响。当航空公司使用机器人农场从竞争航空公司网站上抓取价格信息时，可以看到内容抓取过程的一个示例。他们使用这些信息对类似产品进行动态定价——一旦他们发现竞争对手的收费标准，他们就可以降低其服务的价格以获得市场优势。更恶意的使用包括部署僵尸网络，寻找网站技术中的漏洞并将其存储为易受攻击的站点，以便利用。

机器人是一场日益严重的危机

过去，机器人攻击远没有现在那么复杂和强大。例如，在 1990 年代中期，典型的攻击包括每秒 150 个请求。在当时，这足以让许多系统崩溃。现在，由于现代僵尸网络的庞大规模，平均攻击​​每秒产生超过 7,000 个请求。

去年，我们都目睹了许多大规模的攻击，例如针对 Oracle DYN（以前的 Dyn DNS）的 DDoS 攻击，该攻击同时受到来自数千万 IP 地址的大量 DNS 查询的打击。这是由 Mirai 僵尸网络执行的攻击，它感染了超过 100,000 台物联网设备，并针对 Netflix、亚马逊、Spotify、Tumblr、Twitter、Reddit 和 OVH 等科技巨头。

由于 bot 攻击变得越来越普遍（也越来越危险），因此每位 IT 专业人员都必须采取主动措施来对抗恶意 bot 活动。以下是一些有助于对抗机器人的提示：

1. 将坏机器人与好机器人分开

机器人通常被归为一个大组，但有好的机器人也有坏的机器人。坏的可能会攻击您的网站并造成伤害，但好的（如 Googlebot）有助于使互联网成为一个更安全、更高效的地方。出于这个原因，您不能简单地阻止所有机器人以希望避免攻击。相反，您需要分类并允许好的机器人，同时限制和管理坏机器人。通常使用验证码来解决基本的机器人攻击。由于这需要“人”交互来处理，因此被视为一个很好的起点。但是，验证码也被视为用户网站体验中不便的障碍。

2. 利用最新的安全技术

传统的速率限制和验证码本身已经不够用，许多公司引入了 Javascript 挑战来确定请求来源的合法性。使用传入请求的行为分析与设备指纹识别相结合，使公司能够区分受感染的主机，同时透明地采取行动，不会影响浏览体验。分布式云安全平台可以应对大量流量、连接，进一步保护自己免受机器人攻击。

3.利用人工智能

攻击者学习更复杂的方式来收集数据并更准确地复制真实用户行为只是时间问题。出于这个原因，许多公司都在尝试使用机器学习模型来检测模式和异常。使用的模型能够以人类无法实现的速度检查数据，同时开发更复杂的模型来应对不断变化的机器人技术。

总之，我们的建议是，公司需要采取积极措施，在不损害其网络资产可用性的情况下积极阻止恶意机器人。当我们努力控制机器人的兴起时，利用行为控制而不是静态规则要有效得多。