Best Practices zum Schutz vor automatisierten Bedrohungen

In diesem Dokument werden die empfohlenen Implementierungen von Google Cloud Fraud Defense und Strategien zur Betrugsbekämpfung beschrieben, um sich vor den kritischen automatisierten Bedrohungen (OWASP Automated Threats (OAT) to Web Applications) zu schützen. Enterprise-Architekten und Technologie-Stakeholder können diese Informationen prüfen, um eine fundierte Entscheidung über die Implementierung von Fraud Defense und die Strategie zur Betrugsbekämpfung für ihren Anwendungsfall zu treffen.

Dieses Dokument enthält für jede Art von Bedrohung die folgenden Informationen:

  • Optimale Implementierung von Fraud Defense. Diese Implementierung ist mit den relevanten Funktionen von Fraud Defense für den bestmöglichen Betrugsschutz konzipiert.

  • Minimale Implementierung von Fraud Defense. Diese Implementierung ist für ein Mindestmaß an Betrugsschutz konzipiert.

  • Empfohlene Strategien zur Betrugsbekämpfung.

Wählen Sie die Implementierungs- und Betrugsbekämpfungsstrategie aus, die am besten zu Ihrem Anwendungsfall passt. Die folgenden Faktoren können die Implementierungs- und Betrugsbekämpfungsstrategie beeinflussen, die Sie auswählen:

  • Anforderungen und Funktionen der Organisation zum Schutz vor Betrug.
  • Die vorhandene Umgebung der Organisation.

Weitere Informationen zu den Strategien zur Betrugsbekämpfung für Ihren Anwendungsfall erhalten Sie von unserem Vertriebsteam.

Carding

Carding ist eine automatisierte Bedrohung, bei der Angreifer mehrere Zahlungsautorisierungsversuche unternehmen, um die Gültigkeit von in großen Mengen gestohlenen Zahlungskartendaten zu überprüfen.

Mindestimplementierung

  1. Installieren Sie Website-Schlüssel für das Kästchen auf allen Seiten, auf denen Endnutzer ihre Kreditkartendaten eingeben müssen. Informationen zum Installieren von Kästchen-Websiteschlüsseln finden Sie unter Kästchen-Websiteschlüssel (Kästchen-Abfrage) auf Websites installieren.

  2. Bewertungen für alle Tokens erstellen Informationen zum Erstellen von Bewertungen

Optimale Implementierung

  1. Installieren Sie wertbasierte Websiteschlüssel auf allen Seiten, auf denen Endnutzer ihre Kreditkartendaten eingeben müssen. Geben Sie im Parameter action eine Aktion an, z. B. card_entry. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.

  2. Installieren Sie reCAPTCHA für den Zahlungsablauf auf Ihrer Website. Informationen zum Schutz Ihres Zahlungsworkflows finden Sie unter Zahlungsworkflows schützen.

  3. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der scorebasierten Website-Schlüssel angegeben haben. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

  4. Speichern Sie alle Prüfungs-IDs und kennzeichnen Sie die Prüfungen, die zu betrügerischen Käufen oder Rückbuchungen führen, mit fraudulent. Informationen zum Annotieren von Bewertungen finden Sie unter Bewertung annotieren.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie Ihre Website mit einer der folgenden Strategien zur Betrugsbekämpfung vor Carding schützen:

  • Installieren Sie reCAPTCHA für den Zahlungsablauf auf Ihrer Website. Informationen zum Schutz Ihres Zahlungs-Workflows finden Sie unter Zahlungs-Workflows schützen.

  • Konfigurieren Sie die APIs für die Kartenverwaltung so, dass die reCAPTCHA-Tokens gültig sind und die Punktzahlen über dem Schwellenwert liegen.

    Wenn die Werte den angegebenen Schwellenwert nicht erreichen oder überschreiten, führen Sie keine Kartenautorisierung durch und erlauben Sie dem Endnutzer nicht, die Karte zu verwenden. Lassen Sie die Transaktion nach Möglichkeit zum Zeitpunkt des Kaufs zu, brechen Sie sie aber später ab, um den Angreifer nicht zu warnen.

  • Achten Sie beim Erstellen von Prüfungen darauf, dass diese die folgenden Kriterien für eine erfolgreiche Transaktion erfüllen:

    • Alle geprüften Tokens sind gültig und haben einen Wert, der über einem bestimmten Schwellenwert liegt.
    • Der Wert von expectedAction entspricht dem Wert von action, den Sie bei der Installation der scorebasierten Website-Schlüssel auf Ihren Webseiten angegeben haben. Informationen zum Bestätigen von Aktionen finden Sie unter Aktionen bestätigen.

    Wenn eine Transaktion diese Kriterien nicht erfüllt, führen Sie keine Kartenautorisierung durch und erlauben Sie dem Endnutzer nicht, die Karte zu verwenden. Lassen Sie die Transaktion nach Möglichkeit zum Zeitpunkt des Kaufs zu, brechen Sie sie aber später ab, um den Angreifer nicht zu warnen.

Card Cracking

Card Cracking ist eine automatisierte Bedrohung, bei der Angreifer fehlende Werte für Startdatum, Ablaufdatum und Sicherheitscodes für gestohlene Zahlungskartendaten ermitteln, indem sie verschiedene Werte ausprobieren.

Mindestimplementierung

  1. Installieren Sie Website-Schlüssel für das Kästchen auf allen Seiten, auf denen Endnutzer ihre Zahlungsdetails eingeben müssen, einschließlich der Funktionen Bezahlvorgang und Zahlungsmethode hinzufügen. Informationen zum Installieren von Kästchen-Websiteschlüsseln finden Sie unter Kästchen-Websiteschlüssel (Kästchen-Abfrage) auf Websites installieren.

  2. Bewertungen für alle Tokens erstellen Informationen zum Erstellen von Bewertungen

Optimale Implementierung

  1. Installieren Sie wertbasierte Websiteschlüssel auf allen Seiten, auf denen Endnutzer ihre Zahlungsdetails eingeben müssen. Geben Sie im Parameter action eine Aktion wie checkout oder add_pmtmethod an. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln

  2. Installieren Sie reCAPTCHA für den Zahlungsablauf auf Ihrer Website. Informationen zum Schutz Ihres Zahlungs-Workflows finden Sie unter Zahlungs-Workflows schützen.

  3. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der scorebasierten Website-Schlüssel angegeben haben. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

  4. Speichern Sie alle Prüfungs-IDs und kennzeichnen Sie die Prüfungen, die zu betrügerischen Käufen oder Rückbuchungen führen, mit fraudulent. Informationen zum Annotieren von Bewertungen finden Sie unter Bewertung annotieren.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie eine der folgenden Strategien zur Betrugsbekämpfung verwenden, um Ihre Website vor Card Cracking zu schützen:

  • Installieren Sie reCAPTCHA für den Zahlungsablauf auf Ihrer Website. Informationen zum Schutz Ihres Zahlungs-Workflows finden Sie unter Zahlungs-Workflows schützen.

  • Reaktionsmodell implementieren und Bewertungen erstellen:

    1. Erstellen und implementieren Sie ein Antwortmodell, das an das scorebasierte Risiko angepasst ist.

      Das folgende Beispiel zeigt ein Beispiel für ein Antwortmodell:

      • Verwenden Sie für niedrige bis mittlere Grenzwerte für die Punktzahl (0,0–0, 5) kontextbasiertes Risikomanagement, z.B.durch Begrenzung der Anzahl der Versuche und Blockierung von Käufen über einem bestimmten Wert.
      • Beim höchsten Grenzbereich für die Punktzahl (> 0,5) kann der Endnutzer ohne zusätzliche Sicherheitsmaßnahmen fortfahren.

    2. Achten Sie beim Erstellen von Bewertungen darauf, dass der Wert von expectedAction dem Wert von action entspricht, den Sie bei der Installation der scorebasierten Website-Schlüssel auf Ihren Webseiten angegeben haben. Wenn sie nicht übereinstimmen, führen Sie keine Kartenautorisierung durch und erlauben Sie dem Endnutzer nicht, die Karte zu verwenden. Lassen Sie die Transaktion nach Möglichkeit zum Zeitpunkt des Kaufs zu, brechen Sie sie aber später ab, um den Angreifer nicht zu warnen.

Credential Cracking

Beim Credential Cracking handelt es sich um eine automatisierte Bedrohung, bei der Angreifer gültige Anmeldedaten ermitteln, indem sie verschiedene Werte für Nutzernamen und Passwörter ausprobieren.

Mindestimplementierung

  1. Installieren Sie Checkbox-Website-Schlüssel auf allen Seiten, auf denen Endnutzer ihre Anmeldedaten eingeben müssen, einschließlich der Funktionen Anmelden und Passwort vergessen. Informationen zum Installieren von Kästchen-Websiteschlüsseln finden Sie unter Kästchen-Websiteschlüssel (Kästchen-Abfrage) auf Websites installieren.

  2. Bewertungen für alle Tokens erstellen Informationen zum Erstellen von Bewertungen

Optimale Implementierung

  1. Installieren Sie wertbasierte Websiteschlüssel auf allen Seiten, auf denen Endnutzer ihre Anmeldedaten eingeben müssen. Geben Sie im Parameter action eine Aktion wie login oder authenticate an. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln
  2. Empfohlen: Implementieren Sie reCAPTCHA Password Defense für alle Authentifizierungsversuche. Informationen zur Verwendung von Password Defense
  3. Optional: Wenn Sie Interaktionen mit hohem Volumen und niedrigem reCAPTCHA-Wert blockieren möchten, binden Sie reCAPTCHA in eine Web Application Firewall (WAF) ein. Sie können beispielsweise die Integration von reCAPTCHA for WAF und Google Cloud Armor verwenden.
  4. Implementieren Sie reCAPTCHA Account Defender, um das Verhalten von Endnutzern bei Log-ins zu analysieren und zusätzliche Signale zu erhalten, die auf eine Kontoübernahme hinweisen können. Informationen zur Verwendung von reCAPTCHA Account Defender finden Sie unter Kontobezogene betrügerische Aktivitäten erkennen und verhindern.
  5. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der scorebasierten Website-Schlüssel angegeben haben. Informationen zum Erstellen von Bewertungen
  6. Speichere alle Prüf-IDs und füge der als betrügerisch eingestuften Prüfung eine Anmerkung hinzu, z. B. zu Kontoübernahmen oder anderen betrügerischen Aktivitäten. Informationen zum Annotieren von Bewertungen finden Sie unter Bewertung annotieren.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie Ihre Website mit der folgenden Strategie zur Betrugsbekämpfung vor Credential Cracking schützen:

  1. Erstellen und implementieren Sie ein Antwortmodell, das an das bewertungsbasierte Risiko angepasst ist.

    Das folgende Beispiel zeigt ein Beispielantwortmodell:

    • Bei einem niedrigen bis mittleren Score-Grenzwert (0,0–0,5) können Sie den Endnutzer per E‑Mail oder SMS zur Multi-Faktor-Authentifizierung auffordern.
    • Bei der höchsten Bewertungsschwelle (> 0,5) kann der Endnutzer ohne Aufforderung fortfahren.
  2. Beenden oder unterbrechen Sie Sitzungen für Endnutzer, die sich erfolgreich authentifizieren, aber eine credentialsLeaked: true-Antwort von reCAPTCHA Password Defense erhalten, und senden Sie eine E-Mail an die Endnutzer, in der sie aufgefordert werden, ihr Passwort zu ändern.
  3. Achten Sie beim Erstellen von Bewertungen darauf, dass der Wert von expectedAction dem Wert von action entspricht, den Sie bei der Installation der scorebasierten Website-Schlüssel auf Ihren Webseiten angegeben haben. Wenn sie nicht übereinstimmen, darf die Authentifizierung nicht zugelassen werden.

Credential Stuffing

Credential Stuffing ist eine automatisierte Bedrohung, bei der Angreifer versuchen, sich massenhaft anzumelden, um die Gültigkeit gestohlener Nutzername/Passwort-Paare zu überprüfen.

Mindestimplementierung

  1. Installieren Sie Checkbox-Website-Schlüssel auf allen Seiten, auf denen Endnutzer ihre Anmeldedaten eingeben müssen, einschließlich der Funktionen Anmelden und Passwort vergessen. Informationen zum Installieren von Kästchen-Websiteschlüsseln finden Sie unter Kästchen-Websiteschlüssel (Kästchen-Abfrage) auf Websites installieren.

  2. Bewertungen für alle Tokens erstellen Informationen zum Erstellen von Bewertungen

Optimale Implementierung

  1. Installieren Sie auf Punktzahlen basierende Websiteschlüssel auf allen Seiten, auf denen Endnutzer ihre Anmeldedaten eingeben müssen. Geben Sie im Parameter action eine Aktion wie login oder authenticate an. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln
  2. Empfehlung: Implementieren Sie reCAPTCHA Password Defense für alle Authentifizierungsversuche. Informationen zur Verwendung von Password Defense
  3. Implementieren Sie reCAPTCHA Account Defender, um das Verhalten von Endnutzern bei Anmeldungen zu analysieren und zusätzliche Signale zu erhalten, die auf eine Kontoübernahme hinweisen können. Informationen zur Verwendung von reCAPTCHA Account Defender finden Sie unter Kontobezogene betrügerische Aktivitäten erkennen und verhindern.

  4. Optional: Wenn Sie Interaktionen mit hohem Volumen und niedrigem reCAPTCHA-Wert blockieren möchten, binden Sie reCAPTCHA in eine Web Application Firewall (WAF) ein. Sie können beispielsweise die Integration von reCAPTCHA for WAF und Google Cloud Armor verwenden.

  5. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der scorebasierten Website-Schlüssel angegeben haben. Informationen zum Erstellen von Bewertungen

  6. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die Bewertungen, die zu betrügerischen Käufen oder Rückbuchungen führen, mit fraudulent. Informationen zum Annotieren von Bewertungen finden Sie unter Bewertung annotieren.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie Ihre Website mit der folgenden Strategie zur Betrugsabwehr vor Credential Stuffing schützen:

  1. Erstellen und implementieren Sie ein Antwortmodell, das an das scorebasierte Risiko angepasst ist.

    Das folgende Beispiel zeigt ein Beispiel für ein Antwortmodell:

    • Informieren Sie den Endnutzer bei der niedrigsten reCAPTCHA-Punktzahl (0,0) darüber, dass sein Passwort falsch ist.
    • Bei einem mittleren Grenzwert für die Punktzahl (0,1–0,5) wird der Endnutzer zur Multi-Faktor-Authentifizierung per E‑Mail oder SMS aufgefordert.
    • Beim höchsten Grenzbereich für die Punktzahl (> 0,5) kann der Endnutzer ohne zusätzliche Sicherheitsmaßnahmen fortfahren.
  2. Beenden oder unterbrechen Sie Sitzungen für Endnutzer, die sich erfolgreich authentifizieren, aber eine credentialsLeaked: true-Antwort von reCAPTCHA Password Defense erhalten, und senden Sie eine E-Mail an die Endnutzer, in der sie aufgefordert werden, ihr Passwort zu ändern.
  3. Achten Sie beim Erstellen von Bewertungen darauf, dass der Wert von expectedAction dem Wert von action entspricht, den Sie bei der Installation der scorebasierten Website-Schlüssel auf Ihren Webseiten angegeben haben. Wenn sie nicht übereinstimmen, wird die Authentifizierung nicht zugelassen.
  4. Wenn accountDefenderAssessment=PROFILE_MATCH ist, lassen Sie den Endnutzer ohne Identitätsbestätigung fortfahren.

Auszahlung

Beim Einlösen handelt es sich um eine automatisierte Bedrohung, bei der Angreifer durch die Verwendung gestohlener, zuvor bestätigter Zahlungskarten Währung oder hochwertige Artikel erhalten.

Mindestimplementierung

  1. Installieren Sie auf Punktzahlen basierende Websiteschlüssel auf allen Seiten, auf denen ein Checkout möglich ist. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln
  2. Bewertungen für alle Tokens erstellen Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

Optimale Implementierung

  1. Installieren Sie wertbasierte Websiteschlüssel auf allen Seiten, auf denen Endnutzer ihre Geschenkkarteninformationen eingeben. Geben Sie eine Aktion an, z. B. add_gift_card. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln

  2. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der scorebasierten Website-Schlüssel angegeben haben. Informationen zum Erstellen von Bewertungen

  3. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die betrügerischen Transaktionen.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie Ihre Website mit der folgenden Strategie zur Betrugsbekämpfung vor dem Abheben von Guthaben schützen:

  • Installieren Sie reCAPTCHA für den Zahlungsablauf auf Ihrer Website. Informationen zum Schutz Ihres Zahlungs-Workflows finden Sie unter Zahlungs-Workflows schützen.

  • Reaktionsmodell implementieren und Bewertungen erstellen:

    1. Erstellen und implementieren Sie ein Antwortmodell, das an das scorebasierte Risiko angepasst ist.

      Das folgende Beispiel zeigt ein Beispiel für ein Antwortmodell:

      • Verwenden Sie für niedrige bis mittlere Grenzwerte für die Punktzahl (0,0–0, 5) kontextbasiertes Risikomanagement, z.B.durch Begrenzung der Anzahl der Versuche und Blockierung von Käufen über einem bestimmten Wert.
      • Beim höchsten Grenzbereich für die Punktzahl (> 0,5) kann der Endnutzer ohne zusätzliche Sicherheitsmaßnahmen fortfahren.
    2. Achten Sie beim Erstellen von Bewertungen darauf, dass der Wert von expectedAction dem Wert von action entspricht, den Sie bei der Installation der scorebasierten Website-Schlüssel auf Ihren Webseiten angegeben haben. Wenn sie nicht übereinstimmen, darf die Authentifizierung nicht zugelassen werden. Lassen Sie die Transaktion nach Möglichkeit zum Zeitpunkt des Kaufs zu, brechen Sie sie aber später ab, um den Angreifer nicht zu warnen.

Konto erstellen

Die Kontoerstellung ist eine automatisierte Bedrohung, bei der Angreifer mehrere Konten erstellen, um sie später zu missbrauchen.

Mindestimplementierung

  1. Installieren Sie Website-Schlüssel für das Kästchen auf allen Seiten, auf denen Endnutzer ihre Anmeldedaten eingeben müssen, einschließlich der Funktionen Anmelden und Passwort vergessen. Informationen zum Installieren von Kästchen-Websiteschlüsseln finden Sie unter Kästchen-Websiteschlüssel (Kästchen-Abfrage) auf Websites installieren.

  2. Bewertungen für alle Tokens erstellen Informationen zum Erstellen von Bewertungen

Optimale Implementierung

  1. Installieren Sie auf Punktzahlen basierende Websiteschlüssel auf allen Seiten, auf denen Konten erstellt werden. Geben Sie im Parameter action eine Aktion wie register an. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln
  2. Empfohlen: Implementieren Sie reCAPTCHA Password Defense für alle Authentifizierungsversuche. Informationen zur Verwendung von Password Defense finden Sie unter Gehackte Passwörter und Anmeldedaten erkennen.
  3. Implementieren Sie Account Defense, um zusätzliche Signale zu erhalten, die auf gefälschte Kontoerstellungen hinweisen. Informationen zur Verwendung von reCAPTCHA Account Defender finden Sie unter Kontobezogene betrügerische Aktivitäten erkennen und verhindern.

  4. Optional: Wenn Sie Interaktionen mit hohem Volumen und niedrigem reCAPTCHA-Wert blockieren möchten, binden Sie reCAPTCHA in eine Web Application Firewall (WAF) ein. Sie können beispielsweise die Integration von reCAPTCHA for WAF und Google Cloud Armor verwenden.

  5. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es mit dem Wert von action übereinstimmt, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel angegeben haben. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

  6. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die betrügerischen Transaktionen.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie die folgende Strategie zur Betrugsbekämpfung verwenden, um Ihre Website vor der Kontoerstellung zu schützen:

  1. Erstellen und implementieren Sie ein Antwortmodell, das an das bewertungsbasierte Risiko angepasst ist.

    Das folgende Beispiel zeigt ein Beispiel für ein Antwortmodell:

    • Bei der niedrigsten reCAPTCHA-Punktzahl (0,0) sollten Sie die Aktionen des Kontos einschränken, bis weitere Betrugsprüfungen durchgeführt wurden.
    • Bei einem mittleren Grenzwert für die Punktzahl (0,1–0,5) wird der Endnutzer zur Multi-Faktor-Authentifizierung per E‑Mail oder SMS aufgefordert.
    • Bei der höchsten Bewertungsschwelle (> 0,5) kann der Endnutzer ohne Aufforderung fortfahren.
  2. Sitzungen für Endnutzer beenden oder unterbrechen, die sich erfolgreich authentifizieren, aber eine credentialsLeaked: true-Antwort von Fraud Defense Password Defense erhalten, und den Nutzer auffordern, ein neues Passwort auszuwählen.
  3. Achten Sie beim Erstellen von Bewertungen darauf, dass der Wert von expectedAction dem Wert von action entspricht, den Sie bei der Installation der scorebasierten Website-Schlüssel auf Ihren Webseiten angegeben haben. Wenn sie nicht übereinstimmen, dürfen Sie die Kontoregistrierung oder Kontoerstellung nicht zulassen.
  4. Wenn bei Ihrer Prüfung accountDefenderAssessment=SUSPICIOUS_ACCOUNT_CREATION ist, schränken Sie den Zugriff des Kontos ein, bis eine weitere Überprüfung durchgeführt werden kann.

Betrügerische Konto- und Adressänderungen

Angreifer versuchen möglicherweise, Kontodetails wie E‑Mail-Adressen, Telefonnummern oder Postanschriften im Rahmen betrügerischer Aktivitäten oder Kontoübernahmen zu ändern.

Mindestimplementierung

  1. Installieren Sie Websiteschlüssel für das Kästchen auf allen Seiten, auf denen Endnutzer ihre Anmeldedaten eingeben müssen, einschließlich der Funktionen Anmelden und Passwort vergessen. Informationen zum Installieren von Kästchen-Websiteschlüsseln finden Sie unter Kästchen-Websiteschlüssel (Kästchen-Abfrage) auf Websites installieren.

  2. Erstellen Sie Bewertungen für alle Tokens. Informationen zum Erstellen von Bewertungen

Optimale Implementierung

  1. Installieren Sie auf Punktzahlen basierende Websiteschlüssel auf allen Seiten, auf denen Konten erstellt werden. Geben Sie im Parameter action eine Aktion wie change_telephone oder change_physicalmail an. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln

  2. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der scorebasierten Website-Schlüssel angegeben haben. Informationen zum Erstellen von Bewertungen

  3. Implementieren Sie reCAPTCHA Account Defender, um das Verhalten von Endnutzern bei Log-ins zu analysieren und zusätzliche Signale zu erhalten, die auf eine Kontoübernahme hinweisen können. Informationen zur Verwendung von reCAPTCHA Account Defender finden Sie unter Kontobezogene betrügerische Aktivitäten erkennen und verhindern.

  4. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die betrügerischen Transaktionen.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie die folgende Strategie zur Betrugsbekämpfung verwenden, um Ihre Website vor betrügerischen Konto- und Adressänderungen zu schützen:

  1. Erstellen und implementieren Sie ein Antwortmodell, das an das scorebasierte Risiko angepasst ist.

    Das folgende Beispiel zeigt ein Beispielantwortmodell:

    • Bei einem niedrigen bis mittleren Score-Grenzwert (0,0–0,5) können Sie den Endnutzer per E‑Mail oder SMS zur Multi-Faktor-Authentifizierung auffordern.
    • Bei der höchsten Bewertungsschwelle (> 0,5) kann der Endnutzer ohne Aufforderung fortfahren.

  2. Achten Sie beim Erstellen von Bewertungen darauf, dass der Wert von expectedAction dem Wert von action entspricht, den Sie bei der Installation der scorebasierten Website-Schlüssel auf Ihren Webseiten angegeben haben. Wenn sie nicht übereinstimmen, dürfen keine Kontoänderungen vorgenommen werden.

  3. Wenn accountDefenderAssessment in Ihrer Bewertung nicht das Label PROFILE_MATCH hat, fordern Sie den Endnutzer per E-Mail oder SMS zur Multi-Faktor-Authentifizierung auf.

Token-Cracking

Token-Cracking ist eine automatisierte Bedrohung, bei der Angreifer eine große Anzahl von Gutscheinnummern, Gutscheincodes und Rabatt-Tokens durchgehen.

Mindestimplementierung

  1. Installieren Sie Checkbox-Websiteschlüssel auf allen Seiten, auf denen Endnutzer ihre Geschenkkarteninformationen eingeben müssen. Informationen zum Installieren von Kästchen-Websiteschlüsseln finden Sie unter Kästchen-Websiteschlüssel (Kästchen-Abfrage) auf Websites installieren.

  2. Bewertungen für alle Tokens erstellen Informationen zum Erstellen von Bewertungen

Optimale Implementierung

  1. Installieren Sie wertbasierte Websiteschlüssel auf allen Seiten, auf denen Endnutzer ihre Geschenkkarteninformationen eingeben müssen. Geben Sie eine Aktion wie gift_card_entry an. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln

  2. Optional: Wenn Sie Interaktionen mit hohem Volumen und niedrigem reCAPTCHA-Wert blockieren möchten, binden Sie reCAPTCHA in eine Web Application Firewall (WAF) ein. Sie können beispielsweise die Integration von reCAPTCHA for WAF und Google Cloud Armor verwenden.

  3. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es mit dem Wert von action übereinstimmt, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel angegeben haben. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

  4. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die Bewertungen, die sich als betrügerische Geschenkkarten oder Gutscheine herausstellen.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie Ihre Website mit einer der folgenden Strategien zur Betrugsabwehr vor Token-Cracking schützen:

  • Konfigurieren Sie die APIs für die Kartenverwaltung so, dass die reCAPTCHA-Tokens gültig sind und die Punktzahlen über dem Schwellenwert liegen.

    Wenn die Werte den angegebenen Grenzwert nicht erreichen oder überschreiten, führen Sie keine Autorisierung für Geschenkkarten oder Kreditkarten durch und erlauben Sie dem Endnutzer nicht, den Gutschein oder die Geschenkkarte zu verwenden. Lassen Sie die Transaktion nach Möglichkeit zum Zeitpunkt des Kaufs zu, brechen Sie sie aber später ab, um den Angreifer nicht zu warnen.

  • Achten Sie beim Erstellen von Prüfungen darauf, dass diese die folgenden Kriterien für eine erfolgreiche Transaktion erfüllen:

    • Alle geprüften Tokens sind gültig und haben einen Wert, der über einem bestimmten Schwellenwert liegt.
    • Der Wert von expectedAction entspricht dem Wert von action, den Sie bei der Installation der scorebasierten Website-Schlüssel auf Ihren Webseiten angegeben haben. Informationen zum Bestätigen von Aktionen

    Wenn eine Transaktion diese Kriterien nicht erfüllt, führe keine Autorisierung der Geschenk- oder Kreditkarte durch und erlaube dem Endnutzer nicht, den Gutschein oder die Geschenkkarte zu verwenden. Lassen Sie die Transaktion nach Möglichkeit zum Zeitpunkt des Kaufs zu, brechen Sie sie aber später ab, um den Angreifer nicht zu warnen.

Scalping

Scalping ist eine automatisierte Bedrohung, bei der Angreifer mit unfairen Methoden begrenzt verfügbare und bevorzugte Waren oder Dienstleistungen erwerben.

Mindestimplementierung

  1. Installieren Sie wertbasierte Websiteschlüssel auf allen Seiten, auf denen Endnutzer ihre Geschenkkarteninformationen eingeben müssen. Geben Sie im Parameter action eine Aktion wie add_to_cart an. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln
  2. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der scorebasierten Website-Schlüssel angegeben haben. Informationen zum Erstellen von Bewertungen

Optimale Implementierung

  1. Installieren Sie wertbasierte Websiteschlüssel auf allen Seiten, auf denen Endnutzer ihre Geschenkkarteninformationen eingeben müssen. Geben Sie im Parameter action eine Aktion wie add_to_cart an. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln

  2. Optional: Wenn Sie Interaktionen mit hohem Volumen und niedrigem reCAPTCHA-Wert blockieren möchten, binden Sie reCAPTCHA in eine Web Application Firewall (WAF) ein. Sie können beispielsweise die Integration von reCAPTCHA for WAF und Google Cloud Armor verwenden.

  3. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der scorebasierten Website-Schlüssel angegeben haben. Informationen zum Erstellen von Bewertungen

  4. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die betrügerischen Transaktionen.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie Ihre Website mit der folgenden Strategie zur Betrugsbekämpfung vor Scalping schützen:

  1. Erstellen und implementieren Sie ein Antwortmodell, das an das scorebasierte Risiko angepasst ist.

    Das folgende Beispiel zeigt ein Beispiel für ein Antwortmodell:

    • Verwenden Sie für niedrige bis mittlere Grenzwerte für die Punktzahl (0,0–0, 5) kontextbasiertes Risikomanagement, z.B.durch Begrenzung der Anzahl der Versuche und Blockierung von Käufen über einem bestimmten Wert.
    • Beim höchsten Grenzbereich für die Punktzahl (> 0,5) kann der Endnutzer ohne zusätzliche Sicherheitsmaßnahmen fortfahren.

  2. Achten Sie beim Erstellen von Bewertungen darauf, dass der Wert von expectedAction mit dem Wert von action übereinstimmt, den Sie bei der Installation der punktzahlbasierten Websiteschlüssel auf Ihren Webseiten angegeben haben. Wenn sie nicht übereinstimmen, führen Sie die Autorisierung der Geschenkkarte nicht aus.

Verzerrung

Bei der Verfälschung handelt es sich um eine automatisierte Bedrohung, bei der Angreifer durch wiederholte Linkklicks, Seitenanfragen oder Formulareinsendungen bestimmte Messwerte manipulieren.

Mindestimplementierung

  1. Installieren Sie auf Punktzahlen basierende Websiteschlüssel auf allen Seiten, auf denen Messwerte verfälscht werden können. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln
  2. Bewertungen für alle Tokens erstellen Informationen zum Erstellen von Bewertungen

Optimale Implementierung

  1. Installieren Sie auf Punktzahlen basierende Websiteschlüssel auf allen Seiten, auf denen Messwerte verzerrt werden könnten. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln

  2. Optional: Wenn Sie das Blockieren von Interaktionen mit hohem Volumen und niedrigem reCAPTCHA-Score aktivieren möchten, binden Sie reCAPTCHA in eine Web Application Firewall (WAF) ein. Sie können beispielsweise die Integration von reCAPTCHA for WAF und Google Cloud Armor verwenden.

  3. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der scorebasierten Website-Schlüssel angegeben haben. Informationen zum Erstellen von Bewertungen finden Sie unter Bewertung erstellen.

  4. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die betrügerischen Transaktionen.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie mit der folgenden Strategie zur Betrugsbekämpfung Ihre Website vor Verzerrungen schützen:

Erstellen und implementieren Sie ein Antwortmodell, das an das bewertungsbasierte Risiko angepasst ist.

Das folgende Beispiel zeigt ein Beispiel für ein Antwortmodell:

  • Verwenden Sie für niedrige bis mittlere Schwellenwerte (0,0–0, 5) ein kontextbasiertes Risikomanagement, z.B.die Anzahl der Klicks eines Nutzers auf eine Anzeige oder die Anzahl der Seitenaktualisierungen durch einen Nutzer. Anhand dieser Daten können Sie entscheiden, ob der Messwert berücksichtigt werden soll.
  • Beim höchsten Grenzbereich für die Punktzahl (> 0,5) kann der Endnutzer ohne zusätzliche Sicherheitsmaßnahmen fortfahren.

Scraping

Scraping ist eine automatisierte Bedrohung, bei der Angreifer auf automatisierte Weise Website-Daten oder Artefakte sammeln.

Mindestimplementierung

  1. Installieren Sie punktbasierte Websiteschlüssel auf allen Seiten mit wichtigen Informationen und auf wichtigen Seiten, auf denen Nutzerinteraktionen stattfinden. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln
  2. Erstellen Sie Bewertungen für alle Tokens. Informationen zum Erstellen von Bewertungen

Optimale Implementierung

  1. Installieren Sie scorebasierte Website-Schlüssel auf allen Seiten mit wichtigen Informationen und auf wichtigen Seiten für die Interaktion mit Endnutzern. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln

  2. Optional: Wenn Sie Interaktionen mit hohem Volumen und niedrigem reCAPTCHA-Wert blockieren möchten, binden Sie reCAPTCHA in eine Web Application Firewall (WAF) ein. Sie können beispielsweise die Integration von reCAPTCHA for WAF und Google Cloud Armor verwenden.

  3. Bewertungen für alle Tokens erstellen Informationen zum Erstellen von Bewertungen

  4. Speichern Sie alle Bewertungs-IDs und kennzeichnen Sie die betrügerischen Transaktionen.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie Ihre Website mit den folgenden Strategien zur Betrugsbekämpfung vor Scraping schützen:

Captcha-Überlistung

CAPTCHA-Umgehung ist eine automatisierte Bedrohung, bei der Angreifer Automatisierung verwenden, um die Antwort auf visuelle und/oder akustische CAPTCHA-Tests und zugehörige Rätsel zu analysieren und zu bestimmen.

Mindestimplementierung

  1. Installieren Sie scorebasierte Website-Schlüssel auf allen Seiten, auf denen Endnutzer Eingaben machen, Konten erstellen, Zahlungsinformationen angeben oder mit denen Endnutzer interagieren und die potenziell betrügerisch sind. Geben Sie im Parameter action eine aussagekräftige Aktion an. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.

  2. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der scorebasierten Website-Schlüssel angegeben haben. Informationen zum Erstellen von Bewertungen

Optimale Implementierung

  1. Installieren Sie auf allen Seiten, die Endnutzereingaben, Kontoerstellung, Zahlungsinformationen oder Endnutzerinteraktionen mit Betrugspotenzial beinhalten, scorebasierte Websiteschlüssel. Geben Sie im Parameter action eine aussagekräftige Aktion an. Informationen zum Installieren von auf Punktzahlen basierenden Websiteschlüsseln finden Sie unter Auf Punktzahlen basierende Websiteschlüssel (keine Abfrage) auf Websites installieren.

  2. Optional: Wenn Sie Interaktionen mit hohem Volumen und niedrigem reCAPTCHA-Wert blockieren möchten, binden Sie reCAPTCHA in eine Web Application Firewall (WAF) ein. Sie können beispielsweise die Integration von reCAPTCHA for WAF und Google Cloud Armor verwenden.

  3. Erstellen Sie Bewertungen für alle Tokens und legen Sie expectedAction so fest, dass es dem Wert von action entspricht, den Sie bei der Installation der scorebasierten Website-Schlüssel angegeben haben. Informationen zum Erstellen von Bewertungen

  4. Speichern Sie alle Prüfungs-IDs und kennzeichnen Sie die Prüfungen, die zu betrügerischen Käufen oder Rückbuchungen führen, als fraudulent. Informationen zum Annotieren von Bewertungen finden Sie unter Bewertung annotieren.

Strategie zur Betrugsbekämpfung

Nachdem Sie Fraud Defense implementiert haben, können Sie eine der folgenden Strategien zur Betrugsbekämpfung verwenden, um Ihre Website vor CAPTCHA-Umgehung zu schützen:

  • Reaktionsmodell implementieren und Bewertungen erstellen:

    1. Erstellen und implementieren Sie ein Antwortmodell, das an das scorebasierte Risiko angepasst ist.

      Das folgende Beispiel zeigt ein Beispielantwortmodell:

      • Bei einem niedrigen bis mittleren Score-Grenzwert (0,0–0,5) können Sie den Endnutzer per E‑Mail oder SMS zur Multi-Faktor-Authentifizierung auffordern.
      • Bei der höchsten Bewertungsschwelle (> 0,5) kann der Endnutzer ohne Aufforderung fortfahren.
    2. Achten Sie beim Erstellen von Bewertungen darauf, dass der Wert von expectedAction dem Wert von action entspricht, den Sie bei der Installation der scorebasierten Website-Schlüssel auf Ihren Webseiten angegeben haben. Wenn sie nicht übereinstimmen, darf die Authentifizierung nicht zugelassen werden.

  • Wenn Endnutzer Webbrowser verwenden, in denen JavaScript deaktiviert ist, gehen Sie so vor:

    1. Blockieren Sie diese Endnutzer.
    2. Informieren Sie die Endnutzer, dass für die Nutzung Ihrer Website JavaScript erforderlich ist.

  • Achten Sie darauf, dass das Promise grecaptcha.enterprise.ready erfüllt wird, damit das Script von Google nicht von den Browsern der Endnutzer blockiert wird. Dies weist darauf hin, dass die reCAPTCHA JavaScript API vollständig geladen wurde und kein Fehler aufgetreten ist.

  • Bei reinen Web-APIs empfehlen wir, das reCAPTCHA-Token oder das Ergebnis der Fraud Defense-Bewertung an die Backend-API zu übergeben und die API-Aktion nur zuzulassen, wenn das reCAPTCHA-Token gültig ist und einen bestimmten Wert erreicht. So wird sichergestellt, dass der Endnutzer die API nicht ohne die Website verwendet.

Nächste Schritte