SAP CIAM APIをBot対策製品で保護する構成のご紹介

近年、人気商品や限定チケットの販売サイトに対する、Botを利用した不正行為はますます増加し、また巧妙化が進んでいます。「SAP CIAMが提供するBot対策機能のご紹介」で解説した通り、SAP CIAMにはCAPTCHA製品との連携や、レベル別のAPI Rate Limitなど強力なBot対策機能が標準で備わっています。一方で、Akamai Bot ManagerやF5 Bot Defenseといった高度なBot対策製品と連携させてセキュリティレイヤーを追加することで、Bot対策をより強固にすることも可能です。

本コラムでは、F5 Bot Defenseとの連携を例に、Bot対策製品でSAP CIAM APIを保護するシステム構成、およびSAP CIAM側の設定方法をご紹介します。

SAP CIAM APIをF5 Bot Defenseで保護するシステム構成

まず、前提として、SAP CIAMのWeb SDKを利用する際の構成（APIリクエストの通信経路）は以下図の通りとなります。

F5 Bot DefenseやAkamai Bot ManagerでSAP CIAM APIを保護するには、以下のシステム構成に変更します。

F5 Bot Defenseでは、クライアントサイド（Webブラウザ）でSAP CIAM APIリクエストに付与するF5 Bot Defense用のテレメトリをもとにBot判定を行います。

利用するSAP CIAMの機能

上記のシステム構成では、Custom API DomainのCNAMEの向き先をSAP CIAMからF5 Bot Defense用のHTTP Load Balancerに変更することに加え、SAP CIAMの以下2つの機能を有効化する必要があります。

1.Header Validation機能

SAP CIAM Admin Consoleにおいて事前に指定したHeaderを持たないSAP CIAM APIリクエストは、エラーとする機能です。この機能を利用することで、Botや悪意のある攻撃者がF5 Bot Defenseを迂回してSAP CIAMにAPIリクエストしてきても、F5/Shape Headerがないことからエラーとなります。

※Header Validation機能はクライアントサイドからのAPIリクエストに関する機能であり、対象となるのはUser Key/Secretが使用されていないAPIリクエストのみです。そのため、サーバサイドでUser Key/Secretを使用して実行するSAP CIAM APIリクエストは影響を受けません。

2.IP Resolution機能

SAP CIAM APIをF5 Bot Defenseで保護するためには、クライアントサイド（Webブラウザ）とSAP CIAMの間にF5 Bot Defenseが入るシステム構成になりますが、SAP CIAMがF5 Bot Defenseからのリクエストを信頼し、F5 Bot Defenseから渡されるエンドユーザの使用するIPアドレスなどを正当なものとして扱うための検証機能です。リクエストの信頼性のチェックのため、F5側で発行した秘密鍵を事前にSAP CIAM Admin Consoleに設定しておくことで、SAP CIAM APIリクエストに付与されるF5/Shape HeaderをSAP CIAM側で検証します。

この機能を利用することにより、F5 Bot Defense連携を実施しても、SAP CIAMの標準のBot対策機能やセキュリティ機能（RBA機能やAPI Rate Limit機能）の併用が可能となります。

SAP CIAM側の設定方法

以下の3つの設定が必要になります。

1.Custom API Domain（CNAME関連）

Custom API DomainはSAP CIAMの基本設定ではSAP CIAMのドメイン（[Site ID] .gigya-api.com）に向き先をCNAMEで設定する必要がありますが、F5 Bot Defense用のHTTP Load Balancerに変更します。

2.IP Resolution機能

Bot対策製品側で発行する秘密鍵をSAP CIAM Admin Consoleに設定することで、IP Resolution機能は有効化されます。F5 Bot Defenseとの連携の場合、SAP CIAM Admin Consoleに秘密鍵設定用のUIが現状では用意されていないため、秘密鍵設定用のSAP CIAM APIを直接コールして設定する必要があります。

3.Header Validation機能

Header Validation機能の設定は簡単です。Akamai Bot ManagerやF5 Bot DefenseのHeaderのプリセットは用意されているため、使用するBot対策製品を選択して「Blocking Enabled」のトグルをOnにし、Saveボタンを押下すれば完了です。

おわりに

本コラムではF5 Bot Defenseとの連携を例に、SAP CIAM APIをBot対策製品で保護するシステム構成、およびSAP CIAM側の設定方法を紹介しました。Bot対策製品との連携を行うと、Webブラウザを用いたBot攻撃に対応できるだけでなく、Bot攻撃の手法として多く見られるスクリプトを使用した大量アクセスをブロックできる点も大きなメリットと言えます。「巧妙化するBot攻撃やセキュリティ攻撃への対策を強化したい」といったご要望がございましたら、是非お気軽に弊社にご相談いただけますと幸いです。