שיטות מומלצות להגנה מפני איומים אוטומטיים

‫Google Cloud Fraud Defense עוזר להגן על אפליקציות האינטרנט מפני איומים קריטיים שזוהו ב-OWASP Automated Threats (OAT) to Web Applications. לכל איום, המסמך הזה מספק אפשרויות הטמעה מינימליות ואופטימליות שיעזרו לכם לבחור את אסטרטגיית ההפחתה שמתאימה לדרישות האבטחה ולסביבה של הארגון שלכם.

בחרו הטמעה בהתאם לצרכים של הארגון למניעת הונאות: הטמעה אופטימלית כוללת תכונות רלוונטיות של Fraud Defense להגנה מקיפה, והטמעה מינימלית מספקת הגנה בסיסית. כדי לקבל מידע נוסף על אסטרטגיות למניעת הונאות בתרחיש לדוגמה שלכם, פנו לצוות המכירות שלנו.

הונאת כרטיסי אשראי (קרדינג)

הונאה בכרטיסי אשראי היא איום אוטומטי שבו תוקפים מבצעים כמה ניסיונות לאישור תשלום כדי לאמת את התוקף של נתוני כרטיסי תשלום שנגנבו בכמות גדולה.

הטמעה מינימלית

  1. מתקינים מפתחות אתר של תיבות סימון בכל הדפים שבהם משתמשי הקצה צריכים להזין את פרטי כרטיס האשראי שלהם. במאמר התקנת מפתחות אתר של תיבות סימון (אתגר תיבת הסימון) באתרים מוסבר איך מתקינים מפתחות אתר של תיבות סימון.

  2. יוצרים הערכות לכל הטוקנים. איך יוצרים הערכה

הטמעה אופטימלית

  1. מתקינים מפתחות אתר מבוססי-ניקוד בכל הדפים שבהם משתמשי הקצה צריכים להזין את פרטי כרטיס האשראי שלהם. מציינים פעולה בפרמטר action, למשל card_entry. במאמר התקנת מפתחות אתר מבוססי-ניקוד (ללא אתגר) באתרים מוסבר איך להתקין מפתחות אתר מבוססי-ניקוד.

  2. מתקינים את reCAPTCHA לתהליך העבודה של התשלום באתר. במאמר הגנה על תהליכי עבודה של תשלומים מוסבר איך להגן על תהליך העבודה של התשלומים.

  3. יוצרים הערכות לכל הטוקנים ומגדירים את expectedAction כך שיתאים לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד. איך יוצרים הערכה

  4. שומרים את כל מזהי ההערכות ומוסיפים הערה להערכות שהופכות לרכישות שמקורן בתרמית או להחזרים כספיים בעקבות ביטול עסקה בתור fraudulent. איך מוסיפים הערות למטלה

אסטרטגיה למניעת הונאות

אחרי שמטמיעים את Fraud Defense, משתמשים באחת מהאסטרטגיות הבאות לצמצום הונאות כדי להגן על האתר מפני הונאות בכרטיסי אשראי:

  • מתקינים את reCAPTCHA לתהליך העבודה של התשלום באתר. במאמר הגנה על תהליכי עבודה של תשלומים מוסבר איך להגן על תהליך העבודה של התשלומים.

  • מגדירים ממשקי API לניהול כרטיסים כדי לוודא שהאסימונים של reCAPTCHA תקינים ושהניקוד גבוה מערך הסף.

    אם הניקוד לא עומד בערך הסף שצוין או חורג ממנו, אל תפעילו אישור כרטיס ואל תאפשרו למשתמש הקצה להשתמש בכרטיס. אם אפשר, כדאי לאפשר לעסקה להתבצע בזמן הרכישה, אבל לבטל אותה מאוחר יותר כדי לא להזהיר את התוקף.

  • כשיוצרים הערכות, חשוב לוודא שהן עומדות בקריטריונים הבאים כדי שהעסקה תצליח:

    • כל האסימונים שנבדקו תקינים והציון שלהם גבוה מערך הסף שצוין.
    • הערך של expectedAction תואם לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד בדפי האינטרנט שלכם. במאמר אימות פעולות מוסבר איך לאמת פעולות.

    אם עסקה לא עומדת בקריטריונים האלה, אל תפעילו אישור כרטיס ואל תאפשרו למשתמש הקצה להשתמש בכרטיס. אם אפשר, כדאי לאפשר לעסקה להתבצע בזמן הרכישה, אבל לבטל אותה מאוחר יותר כדי לא להזהיר את התוקף.

פיצוח כרטיסים

פיצוח כרטיסים הוא איום אוטומטי שבו תוקפים מנסים ערכים שונים כדי לזהות ערכים חסרים של תאריך התחלה, תאריך תפוגה וקודי אבטחה של נתוני כרטיסי תשלום גנובים.

הטמעה מינימלית

  1. מטמיעים מפתחות אתר של תיבות סימון בכל הדפים שבהם משתמשי הקצה צריכים להזין את פרטי התשלום שלהם, כולל הפונקציות תשלום והוספת אמצעי תשלום. במאמר התקנת מפתחות אתר של תיבות סימון (אתגר תיבת הסימון) באתרים מוסבר איך מתקינים מפתחות אתר של תיבות סימון.

  2. יוצרים הערכות לכל הטוקנים. איך יוצרים הערכה

הטמעה אופטימלית

  1. התקינו מפתחות אתר מבוססי-ניקוד בכל הדפים שבהם משתמשי הקצה צריכים להזין את פרטי התשלום שלהם. מציינים פעולה בפרמטר action, למשל checkout או add_pmtmethod. במאמר התקנת מפתחות אתר מבוססי-ניקוד (ללא אתגר) באתרים מוסבר איך להתקין מפתחות אתר מבוססי-ניקוד.

  2. מתקינים את reCAPTCHA לתהליך העבודה של התשלום באתר. במאמר הגנה על תהליכי עבודה של תשלומים מוסבר איך להגן על תהליך העבודה של התשלומים.

  3. יוצרים הערכות לכל הטוקנים ומגדירים את expectedAction כך שיתאים לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד. איך יוצרים הערכה

  4. שומרים את כל מזהי ההערכות ומוסיפים הערה להערכות שהופכות לרכישות שמקורן בתרמית או להחזרים כספיים בעקבות ביטול עסקה בתור fraudulent. איך מוסיפים הערות למטלה

אסטרטגיה למניעת הונאות

אחרי שמטמיעים את Fraud Defense, משתמשים באחת מהאסטרטגיות הבאות לצמצום הונאות כדי להגן על האתר מפני פריצה לכרטיסי אשראי:

  • מתקינים את reCAPTCHA לתהליך העבודה של התשלום באתר. במאמר הגנה על תהליכי עבודה של תשלומים מוסבר איך להגן על תהליך העבודה של התשלומים.

  • מטמיעים מודל תגובה ויוצרים הערכות:

    1. ליצור ולהטמיע מודל תגובה שמותאם לסיכון שמבוסס על ניקוד.

      הדוגמה הבאה מציגה מודל תגובה לדוגמה:

      • אם סף הניקוד נמוך עד בינוני (0.0-0.5), כדאי להשתמש בניהול סיכונים מבוסס-הקשר, כמו הגבלת מספר הניסיונות וחסימת רכישות מעל ערך מסוים.
      • בסף הניקוד הגבוה ביותר (> 0.5), מאפשרים למשתמש הקצה להמשיך בלי אתגר.

    2. כשיוצרים הערכות, צריך לוודא שהערך של expectedAction תואם לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד בדפי האינטרנט. אם הם לא תואמים, אל תפעילו הרשאת כרטיס ואל תאפשרו למשתמש הקצה להשתמש בכרטיס. אם אפשר, כדאי לאשר את העסקה בזמן הרכישה, אבל לבטל אותה מאוחר יותר כדי לא להזהיר את התוקף.

פיצוח פרטי כניסה

פיצוח פרטי כניסה הוא איום אוטומטי שבו תוקפים מזהים פרטי כניסה חוקיים על ידי ניסיון של ערכים שונים של שמות משתמשים וסיסמאות.

הטמעה מינימלית

  1. מתקינים מפתחות אתר של תיבות סימון בכל הדפים שבהם משתמשי הקצה צריכים להזין את פרטי הכניסה שלהם, כולל הפונקציות כניסה ושכחתי את הסיסמה. במאמר התקנת מפתחות אתר של תיבות סימון (אתגר תיבת הסימון) באתרים מוסבר איך מתקינים מפתחות אתר של תיבות סימון.

  2. יוצרים הערכות לכל הטוקנים. איך יוצרים הערכה

הטמעה אופטימלית

  1. צריך להטמיע מפתחות אתר מבוססי-ניקוד בכל הדפים שבהם משתמשי הקצה צריכים להזין את פרטי הכניסה שלהם. מציינים פעולה בפרמטר action, למשל login או authenticate. במאמר התקנת מפתחות אתר מבוססי-ניקוד (ללא אתגר) באתרים מוסבר איך להתקין מפתחות אתר מבוססי-ניקוד.
  2. מומלץ: להטמיע את ההגנה על הסיסמה של reCAPTCHA לכל ניסיונות האימות. במאמר זיהוי של הדלפות סיסמאות ופרטי כניסה שנחשפו מוסבר איך משתמשים בהגנה על הסיסמה.
  3. אופציונלי: כדי לחסום אינטראקציות בנפח גבוה עם ציון reCAPTCHA נמוך, משלבים את reCAPTCHA עם חומת אש ליישומי אינטרנט (WAF). לדוגמה, אתם יכולים להשתמש ב-reCAPTCHA לשילוב של WAF ו-Google Cloud Armor.
  4. להטמיע את "הגנה על החשבון" של reCAPTCHA כדי לזהות מגמות בהתנהגות של משתמשי הקצה בכניסות לחשבון, ולקבל אותות נוספים שיכולים להצביע על השתלטות על החשבון. במאמר זיהוי ומניעה של פעילויות שמקורן בתרמית שקשורות לחשבון מוסבר איך משתמשים ב-reCAPTCHA הגנה על החשבון.
  5. יוצרים הערכות לכל הטוקנים ומגדירים את expectedAction כך שיתאים לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד. איך יוצרים הערכה
  6. שומרים את כל מזהי הבדיקות ומוסיפים הערות לבדיקה שנראית כמו תרמית, כמו השתלטות על חשבונות (ATO) או כל פעילות שמקורה בתרמית. איך מוסיפים הערות למטלה

אסטרטגיה למניעת הונאות

אחרי שמטמיעים את Fraud Defense, משתמשים באסטרטגיה הבאה כדי להגן על האתר מפני פיצוח פרטי כניסה:

  1. ליצור ולהטמיע מודל תגובה שמותאם לסיכון שמבוסס על ניקוד.

    הדוגמה הבאה מציגה מודל תגובה לדוגמה:

    • אם סף הניקוד נמוך עד בינוני (0.0-0.5), צריך לאתגר את משתמש הקצה באימות רב-שלבי באמצעות אימייל או SMS.
    • בסף הניקוד הגבוה ביותר (> 0.5), מאפשרים למשתמש הקצה להמשיך בלי אתגר.
  2. לסיים או להפריע לסשנים של משתמשי קצה שמאמתים את הזהות שלהם בהצלחה אבל מקבלים תשובה מסוג credentialsLeaked: true מההגנה על הסיסמה של reCAPTCHA, ולשלוח אימייל למשתמשי הקצה כדי שישנו את הסיסמה שלהם.
  3. כשיוצרים הערכות, צריך לוודא שהערך של expectedAction תואם לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד בדפי האינטרנט. אם הם לא תואמים, אל תאפשרו את האימות.

דחיסת פרטי כניסה

דחיסת פרטי כניסה היא איום אוטומטי שבו תוקפים משתמשים בניסיונות התחברות המוניים כדי לאמת את התוקף של זוגות גנובים של שם משתמש וסיסמה.

הטמעה מינימלית

  1. מתקינים מפתחות אתר של תיבות סימון בכל הדפים שבהם משתמשי הקצה צריכים להזין את פרטי הכניסה שלהם, כולל הפונקציות כניסה ושכחתי את הסיסמה. במאמר התקנת מפתחות אתר של תיבות סימון (אתגר תיבת הסימון) באתרים מוסבר איך מתקינים מפתחות אתר של תיבות סימון.

  2. יוצרים הערכות לכל הטוקנים. איך יוצרים הערכה

הטמעה אופטימלית

  1. צריך להטמיע מפתחות אתר מבוססי-ניקוד בכל הדפים שבהם משתמשי הקצה צריכים להזין את פרטי הכניסה שלהם. מציינים פעולה בפרמטר action, למשל login או authenticate. במאמר התקנת מפתחות אתר מבוססי-ניקוד (ללא אתגר) באתרים מוסבר איך להתקין מפתחות אתר מבוססי-ניקוד.
  2. מומלץ: להטמיע את ההגנה על הסיסמה של reCAPTCHA לכל ניסיונות האימות. במאמר זיהוי של הדלפות סיסמאות ופרטי כניסה שנחשפו מוסבר איך משתמשים בהגנה על הסיסמה.
  3. להטמיע את "הגנה על החשבון" של reCAPTCHA כדי לזהות מגמות בהתנהגות של משתמשי הקצה בכניסות לחשבון, ולקבל אותות נוספים שיכולים להצביע על השתלטות על החשבון. במאמר זיהוי ומניעה של פעילויות שמקורן בתרמית שקשורות לחשבון מוסבר איך משתמשים בהגנה על החשבון ב-reCAPTCHA.

  4. אופציונלי: כדי לחסום אינטראקציות בנפח גבוה עם ציון reCAPTCHA נמוך, משלבים את reCAPTCHA עם חומת אש ליישומי אינטרנט (WAF). לדוגמה, אתם יכולים להשתמש ב-reCAPTCHA לשילוב של WAF ו-Google Cloud Armor.

  5. יוצרים הערכות לכל הטוקנים ומגדירים את expectedAction כך שיתאים לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד. איך יוצרים הערכה

  6. שומרים את כל מזהי ההערכות ומוסיפים הערה להערכות שהופכות לרכישות שמקורן בתרמית או להחזרים כספיים בעקבות ביטול עסקה בתור fraudulent. איך מוסיפים הערות למטלה

אסטרטגיה למניעת הונאות

אחרי שמטמיעים את Fraud Defense, משתמשים באסטרטגיה הבאה כדי להגן על האתר מפני דחיסת פרטי כניסה:

  1. ליצור ולהטמיע מודל תגובה שמותאם לסיכון שמבוסס על ניקוד.

    הדוגמה הבאה מציגה מודל תגובה לדוגמה:

    • בסף הניקוד הנמוך ביותר של reCAPTCHA‏ (0.0), מודיעים למשתמש הקצה שהסיסמה שלו שגויה.
    • אם הציון הוא בטווח הביניים (0.1-0.5), המשתמש יתבקש לבצע אימות רב-שלבי באמצעות אימייל או SMS.
    • בסף הניקוד הגבוה ביותר (> 0.5), מאפשרים למשתמש הקצה להמשיך בלי אתגר.
  2. לסיים או להפריע לסשנים של משתמשי קצה שמאמתים את הזהות שלהם בהצלחה אבל מקבלים תשובה מסוג credentialsLeaked: true מההגנה על הסיסמה של reCAPTCHA, ולשלוח אימייל למשתמשי הקצה כדי שישנו את הסיסמה שלהם.
  3. כשיוצרים הערכות, צריך לוודא שהערך של expectedAction תואם לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד בדפי האינטרנט. אם הם לא תואמים, אל תאפשרו אימות.
  4. בבדיקה, אם accountDefenderAssessment=PROFILE_MATCH, מאפשרים למשתמש הקצה להמשיך בלי אתגר.

משיכת כסף

משיכת כספים היא איום אוטומטי שבו תוקפים משיגים מטבעות או פריטים בעלי ערך גבוה באמצעות שימוש בכרטיסי תשלום גנובים שאומתו בעבר.

הטמעה מינימלית

  1. מטמיעים מפתחות אתר שמבוססים על ניקוד בכל הדפים שבהם אפשר לבצע תשלום. במאמר התקנת מפתחות אתר מבוססי-ניקוד (ללא אתגר) באתרים מוסבר איך להתקין מפתחות אתר מבוססי-ניקוד.
  2. יוצרים הערכות לכל הטוקנים. איך יוצרים הערכה

הטמעה אופטימלית

  1. מטמיעים מפתחות אתר מבוססי-ניקוד בכל הדפים שבהם משתמשי הקצה מזינים את פרטי כרטיס המתנה. מציינים פעולה כמו add_gift_card. במאמר התקנת מפתחות אתר מבוססי-ניקוד (ללא אתגר) באתרים מוסבר איך להתקין מפתחות אתר מבוססי-ניקוד.

  2. יוצרים הערכות לכל הטוקנים ומגדירים את expectedAction כך שיתאים לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד. איך יוצרים הערכה

  3. שומרים את כל מזהי ההערכות ומוסיפים הערות לעסקאות שמקורן בתרמית.

אסטרטגיה למניעת הונאות

אחרי שמטמיעים את Fraud Defense, משתמשים באסטרטגיה הבאה כדי להגן על האתר מפני הונאות פדיון:

  • מתקינים את reCAPTCHA לתהליך העבודה של התשלום באתר. במאמר הגנה על תהליכי עבודה של תשלומים מוסבר איך להגן על תהליך העבודה של התשלומים.

  • מטמיעים מודל תגובה ויוצרים הערכות:

    1. ליצור ולהטמיע מודל תגובה שמותאם לסיכון שמבוסס על ניקוד.

      הדוגמה הבאה מציגה מודל תגובה לדוגמה:

      • אם סף הניקוד נמוך עד בינוני (0.0-0.5), כדאי להשתמש בניהול סיכונים מבוסס-הקשר, כמו הגבלת מספר הניסיונות וחסימת רכישות מעל ערך מסוים.
      • בסף הניקוד הגבוה ביותר (> 0.5), מאפשרים למשתמש הקצה להמשיך בלי אתגר.
    2. כשיוצרים הערכות, צריך לוודא שהערך של expectedAction תואם לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד בדפי האינטרנט. אם הם לא תואמים, אל תאפשרו את האימות. אם אפשר, כדאי לאשר את העסקה בזמן הרכישה, אבל לבטל אותה מאוחר יותר כדי לא להזהיר את התוקף.

יצירת חשבון

יצירת חשבונות היא איום אוטומטי שבו תוקפים יוצרים כמה חשבונות כדי לנצל אותם לרעה בהמשך.

הטמעה מינימלית

  1. מתקינים מפתחות אתר של תיבות סימון בכל הדפים שבהם משתמשי הקצה צריכים להזין את פרטי הכניסה שלהם, כולל הפונקציות כניסה ושכחתי את הסיסמה. במאמר התקנת מפתחות אתר של תיבות סימון (אתגר תיבת הסימון) באתרים מוסבר איך מתקינים מפתחות אתר של תיבות סימון.

  2. יוצרים הערכות לכל הטוקנים. איך יוצרים הערכה

הטמעה אופטימלית

  1. מטמיעים מפתחות אתר שמבוססים על ניקוד בכל הדפים שבהם נוצרים חשבונות. מציינים פעולה בפרמטר action, למשל register. במאמר התקנת מפתחות אתר מבוססי-ניקוד (ללא אתגר) באתרים מוסבר איך להתקין מפתחות אתר מבוססי-ניקוד.
  2. מומלץ: להטמיע את ההגנה על הסיסמה של reCAPTCHA לכל ניסיונות האימות. במאמר זיהוי של הדלפות סיסמאות ופרטי כניסה שנחשפו מוסבר איך משתמשים בהגנה על הסיסמה.
  3. כדי לקבל אותות נוספים שמצביעים על יצירת חשבונות מזויפים, אתם יכולים להטמיע את התכונה "הגנה על החשבון" של Fraud Defense. במאמר זיהוי ומניעה של פעילויות שמקורן בתרמית שקשורות לחשבון מוסבר איך משתמשים ב-reCAPTCHA הגנה על החשבון.

  4. אופציונלי: כדי לחסום אינטראקציות בנפח גבוה עם ציון reCAPTCHA נמוך, משלבים את reCAPTCHA עם חומת אש ליישומי אינטרנט (WAF). לדוגמה, אתם יכולים להשתמש ב-reCAPTCHA לשילוב של WAF ו-Google Cloud Armor.

  5. יוצרים הערכות לכל הטוקנים ומגדירים את expectedAction כך שיתאים לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד. איך יוצרים הערכה

  6. שומרים את כל מזהי ההערכות ומוסיפים הערות לעסקאות שמקורן בתרמית.

אסטרטגיה למניעת הונאות

אחרי שמטמיעים את Fraud Defense, אפשר להשתמש באסטרטגיה הבאה כדי להגן על האתר מפני יצירת חשבונות שמקורם בתרמית:

  1. ליצור ולהטמיע מודל תגובה שמותאם לסיכון שמבוסס על ניקוד.

    הדוגמה הבאה מציגה מודל תגובה לדוגמה:

    • בסף הניקוד הנמוך ביותר של reCAPTCHA‏ (0.0), הגבילו את הפעולות של החשבון עד שהוא יעבור בדיקות נוספות למניעת הונאות.
    • אם הציון הוא בטווח הביניים (0.1-0.5), כדאי להציג למשתמש הקצה אתגר של אימות רב-שלבי באמצעות אימייל או SMS.
    • בסף הניקוד הגבוה ביותר (> 0.5), מאפשרים למשתמש הקצה להמשיך בלי אתגר.
  2. לסיים או להפריע לסשנים של משתמשי קצה שמאמתים את הזהות שלהם בהצלחה אבל מקבלים תגובה מסוג credentialsLeaked: true מ-Fraud Defense הגנה על הסיסמה, ולבקש מהמשתמש לבחור סיסמה חדשה.
  3. כשיוצרים הערכות, צריך לוודא שהערך של expectedAction תואם לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד בדפי האינטרנט. אם הם לא תואמים, אל תאפשרו רישום או יצירה של חשבון.
  4. בבדיקה, אם accountDefenderAssessment=SUSPICIOUS_ACCOUNT_CREATION, צריך להגביל את הגישה לחשבון עד שאפשר יהיה לבצע אימות נוסף.

שינויים בחשבון ובכתובת שמקורם בתרמית

תוקפים עלולים לנסות לשנות את פרטי החשבון, כולל כתובות אימייל, מספרי טלפון או כתובות למשלוח דואר, כחלק מפעילות שמקורה בתרמית או השתלטות על חשבונות.

הטמעה מינימלית

  1. מתקינים מפתחות אתר של תיבות סימון בכל הדפים שבהם משתמשי הקצה צריכים להזין את פרטי הכניסה שלהם, כולל הפונקציות כניסה ושכחתי את הסיסמה. במאמר התקנת מפתחות אתר של תיבות סימון (אתגר תיבת הסימון) באתרים מוסבר איך מתקינים מפתחות אתר של תיבות סימון.

  2. יוצרים הערכות לכל הטוקנים. איך יוצרים הערכה

הטמעה אופטימלית

  1. מטמיעים מפתחות אתר שמבוססים על ניקוד בכל הדפים שבהם נוצרים חשבונות. מציינים פעולה בפרמטר action, למשל change_telephone או change_physicalmail. במאמר התקנת מפתחות אתר מבוססי-ניקוד (ללא אתגר) באתרים מוסבר איך להתקין מפתחות אתר מבוססי-ניקוד.

  2. יוצרים הערכות לכל הטוקנים ומגדירים את expectedAction כך שיתאים לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד. איך יוצרים הערכה

  3. להטמיע את "הגנה על החשבון" של reCAPTCHA כדי לזהות מגמות בהתנהגות של משתמשי הקצה בכניסות לחשבון, ולקבל אותות נוספים שיכולים להצביע על השתלטות על החשבון. במאמר זיהוי ומניעה של פעילויות שמקורן בתרמית שקשורות לחשבון מוסבר איך משתמשים ב-reCAPTCHA הגנה על החשבון.

  4. שומרים את כל מזהי ההערכות ומוסיפים הערות לעסקאות שמקורן בתרמית.

אסטרטגיה למניעת הונאות

אחרי שמטמיעים את Fraud Defense, משתמשים באסטרטגיה הבאה כדי להגן על האתר מפני שינויים בחשבון ובכתובת שמקורם בתרמית:

  1. ליצור ולהטמיע מודל תגובה שמותאם לסיכון שמבוסס על ניקוד.

    הדוגמה הבאה מציגה מודל תגובה לדוגמה:

    • אם סף הניקוד נמוך עד בינוני (0.0-0.5), צריך לאתגר את משתמש הקצה באימות רב-שלבי באמצעות אימייל או SMS.
    • בסף הניקוד הגבוה ביותר (> 0.5), מאפשרים למשתמש הקצה להמשיך בלי אתגר.

  2. כשיוצרים הערכות, צריך לוודא שהערך של expectedAction תואם לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד בדפי האינטרנט. אם הם לא תואמים, אל תאשרו את השינויים בחשבון.

  3. בבדיקה, אם ל-accountDefenderAssessment אין את התווית PROFILE_MATCH, צריך להציג למשתמש הקצה אתגר אימות רב-שלבי באמצעות אימייל או SMS.

פריצת טוקנים

פיצוח אסימונים הוא איום אוטומטי שבו תוקפים מבצעים ספירה המונית של מספרי שוברים, קודי שוברים ואסימוני הנחה.

הטמעה מינימלית

  1. מטמיעים מפתחות אתר של תיבות סימון בכל הדפים שבהם משתמשי הקצה צריכים להזין את פרטי כרטיס המתנה. במאמר התקנת מפתחות אתר של תיבות סימון (אתגר תיבת הסימון) באתרים מוסבר איך מתקינים מפתחות אתר של תיבות סימון.

  2. יוצרים הערכות לכל הטוקנים. איך יוצרים הערכה

הטמעה אופטימלית

  1. התקינו מפתחות אתר מבוססי-ניקוד בכל הדפים שבהם משתמשי הקצה צריכים להזין את פרטי כרטיס המתנה. מציינים פעולה כמו gift_card_entry. במאמר התקנת מפתחות אתר מבוססי-ניקוד (ללא אתגר) באתרים מוסבר איך להתקין מפתחות אתר מבוססי-ניקוד.

  2. אופציונלי: כדי לחסום אינטראקציות בנפח גבוה עם ציון reCAPTCHA נמוך, משלבים את reCAPTCHA עם חומת אש ליישומי אינטרנט (WAF). לדוגמה, אתם יכולים להשתמש ב-reCAPTCHA לשילוב של WAF ו-Google Cloud Armor.

  3. יוצרים הערכות לכל הטוקנים ומגדירים את expectedAction כך שיתאים לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד. איך יוצרים הערכה

  4. שומרים את כל מזהי ההערכות ומוסיפים הערות להערכות שהופכות לכרטיסי מתנה או לשוברים שמקורם בתרמית.

אסטרטגיה למניעת הונאות

אחרי שמטמיעים את Fraud Defense, משתמשים באחת מהאסטרטגיות הבאות להפחתת הונאות כדי להגן על האתר מפני פיצוח טוקנים:

  • מגדירים ממשקי API לניהול כרטיסים כדי לוודא שהאסימונים של reCAPTCHA תקינים ושהציונים גבוהים מערך הסף שלהם.

    אם הניקוד לא עומד בסף שצוין או לא חורג ממנו, אל תפעילו אישור של כרטיס מתנה או כרטיס אשראי, ואל תאפשרו למשתמש הקצה להשתמש בשובר או בכרטיס המתנה. אם אפשר, כדאי לאפשר לעסקה להתבצע בזמן הרכישה, אבל לבטל אותה מאוחר יותר כדי לא להזהיר את התוקף.

  • כשיוצרים הערכות, חשוב לוודא שהן עומדות בקריטריונים הבאים כדי שהעסקה תצליח:

    • כל האסימונים שנבדקו תקינים והציון שלהם גבוה מערך הסף שצוין.
    • הערך של expectedAction תואם לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד בדפי האינטרנט שלכם. במאמר אימות פעולות מוסבר איך לאמת פעולות.

    אם עסקה לא עומדת בקריטריונים האלה, אל תפעילו אישור של כרטיס מתנה או כרטיס אשראי, ואל תאפשרו למשתמש הקצה להשתמש בשובר או בכרטיס המתנה. אם אפשר, כדאי לאפשר לעסקה להתבצע בזמן הרכישה, אבל לבטל אותה מאוחר יותר כדי לא להזהיר את התוקף.

ספסרות

ספסרות היא איום אוטומטי שבו תוקפים משיגים מוצרים או שירותים מועדפים עם זמינות מוגבלת בשיטות לא הוגנות.

הטמעה מינימלית

  1. התקינו מפתחות אתר מבוססי-ניקוד בכל הדפים שבהם משתמשי הקצה צריכים להזין את פרטי כרטיס המתנה. מציינים פעולה בפרמטר action, למשל add_to_cart. במאמר התקנת מפתחות אתר מבוססי-ניקוד (ללא אתגר) באתרים מוסבר איך להתקין מפתחות אתר מבוססי-ניקוד.
  2. יוצרים הערכות לכל הטוקנים ומגדירים את expectedAction כך שיתאים לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד. איך יוצרים הערכה

הטמעה אופטימלית

  1. התקינו מפתחות אתר מבוססי-ניקוד בכל הדפים שבהם משתמשי הקצה צריכים להזין את פרטי כרטיס המתנה. מציינים פעולה בפרמטר action, למשל add_to_cart. במאמר התקנת מפתחות אתר מבוססי-ניקוד (ללא אתגר) באתרים מוסבר איך להתקין מפתחות אתר מבוססי-ניקוד.

  2. אופציונלי: כדי לחסום אינטראקציות בנפח גבוה עם ציון reCAPTCHA נמוך, משלבים את reCAPTCHA עם חומת אש ליישומי אינטרנט (WAF). לדוגמה, אתם יכולים להשתמש ב-reCAPTCHA לשילוב של WAF ו-Google Cloud Armor.

  3. יוצרים הערכות לכל הטוקנים ומגדירים את expectedAction כך שיתאים לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד. איך יוצרים הערכה

  4. שומרים את כל מזהי ההערכות ומוסיפים הערות לעסקאות שמקורן בתרמית.

אסטרטגיה למניעת הונאות

אחרי שמטמיעים את Fraud Defense, אפשר להשתמש באסטרטגיה הבאה כדי להגן על האתר מפני ספסרות:

  1. ליצור ולהטמיע מודל תגובה שמותאם לסיכון שמבוסס על ניקוד.

    הדוגמה הבאה מציגה מודל תגובה לדוגמה:

    • אם סף הניקוד נמוך עד בינוני (0.0-0.5), כדאי להשתמש בניהול סיכונים מבוסס-הקשר, כמו הגבלת מספר הניסיונות וחסימת רכישות מעל ערך מסוים.
    • בסף הניקוד הגבוה ביותר (> 0.5), מאפשרים למשתמש הקצה להמשיך בלי אתגר.

  2. כשיוצרים הערכות, צריך לוודא שהערך של expectedAction תואם לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד בדפי האינטרנט. אם הם לא תואמים, אל תפעילו את ההרשאה של כרטיס המתנה.

הטיה

הטיה היא איום אוטומטי שבו תוקפים משתמשים בקליקים חוזרים על קישורים, בבקשות לדפים או בשליחת טפסים כדי לשנות מדד מסוים.

הטמעה מינימלית

  1. מטמיעים מפתחות אתר שמבוססים על ניקוד בכל הדפים שבהם יכולה להיות הטיה של המדדים. במאמר התקנת מפתחות אתר מבוססי-ניקוד (ללא אתגר) באתרים מוסבר איך להתקין מפתחות אתר מבוססי-ניקוד.
  2. יוצרים הערכות לכל הטוקנים. איך יוצרים הערכה

הטמעה אופטימלית

  1. הטמיעו מפתחות אתר מבוססי-ניקוד בכל הדפים שבהם יכולה להיות הטיה של המדדים. במאמר התקנת מפתחות אתר מבוססי-ניקוד (ללא אתגר) באתרים מוסבר איך להתקין מפתחות אתר מבוססי-ניקוד.

  2. אופציונלי: כדי לחסום אינטראקציות בנפח גבוה עם ציון reCAPTCHA נמוך, משלבים את reCAPTCHA עם חומת אש ליישומי אינטרנט (WAF). לדוגמה, אתם יכולים להשתמש ב-reCAPTCHA לשילוב של WAF ו-Google Cloud Armor.

  3. יוצרים הערכות לכל הטוקנים ומגדירים את expectedAction כך שיתאים לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד. איך יוצרים הערכה

  4. שומרים את כל מזהי ההערכות ומוסיפים הערות לעסקאות שמקורן בתרמית.

אסטרטגיה למניעת הונאות

אחרי שמטמיעים את Fraud Defense, כדאי להשתמש באסטרטגיה הבאה כדי להגן על האתר מפני הטיה:

ליצור ולהטמיע מודל תגובה שמותאם לסיכון שמבוסס על ניקוד.

הדוגמה הבאה מציגה מודל תגובה לדוגמה:

  • אם סף הניקוד נמוך עד בינוני (0.0-0.5), כדאי להשתמש בניהול סיכונים מבוסס-הקשר, כמו מעקב אחרי מספר הפעמים שמשתמש לחץ על מודעה או מספר הפעמים שמשתמש טען מחדש את הדף. אתם יכולים להשתמש בנתונים האלה כדי להחליט אם לספור את המדד.
  • בסף הניקוד הגבוה ביותר (> 0.5), מאפשרים למשתמש הקצה להמשיך בלי אתגר.

גירוד (scraping)

גירוד מידע הוא איום אוטומטי שבו תוקפים אוספים נתונים או פריטי מידע מאתרים באופן אוטומטי.

הטמעה מינימלית

  1. התקינו מפתחות אתר מבוססי-ניקוד בכל הדפים שבהם יש מידע חשוב ובדפים נפוצים שבהם מתרחשות אינטראקציות חשובות עם משתמשי הקצה. במאמר התקנת מפתחות אתר מבוססי-ניקוד (ללא אתגר) באתרים מוסבר איך להתקין מפתחות אתר מבוססי-ניקוד.
  2. יוצרים הערכות לכל הטוקנים. איך יוצרים הערכה

הטמעה אופטימלית

  1. התקינו מפתחות אתר מבוססי-ניקוד בכל הדפים שבהם יש מידע חשוב ובדפים נפוצים שבהם מתרחשות אינטראקציות חשובות עם משתמשי הקצה. במאמר התקנת מפתחות אתר מבוססי-ניקוד (ללא אתגר) באתרים מוסבר איך להתקין מפתחות אתר מבוססי-ניקוד.

  2. אופציונלי: כדי לחסום אינטראקציות בנפח גבוה עם ציון reCAPTCHA נמוך, משלבים את reCAPTCHA עם חומת אש ליישומי אינטרנט (WAF). לדוגמה, אתם יכולים להשתמש ב-reCAPTCHA לשילוב של WAF ו-Google Cloud Armor.

  3. יוצרים הערכות לכל הטוקנים. איך יוצרים הערכה

  4. שומרים את כל מזהי ההערכות ומוסיפים הערות לעסקאות שמקורן בתרמית.

אסטרטגיה למניעת הונאות

אחרי שמטמיעים את Fraud Defense, אפשר להשתמש באסטרטגיות הבאות כדי להגן על האתר מפני גירוד מידע:

  • כדי לחסום אינטראקציות בנפח גבוה עם ציון נמוך ב-reCAPTCHA, משלבים את Fraud Defense עם חומת אש ליישומי אינטרנט (WAF). לדוגמה, אתם יכולים להשתמש בשילוב של Fraud Defense עם WAF ו-Google Cloud Armor
  • אם גירוד המידע כולל ממשקי API, השתמשו ב-Apigee Management API כדי להפחית את הסיכון.

עקיפת CAPTCHA

עקיפת CAPTCHA היא איום אוטומטי שבו תוקפים משתמשים באוטומציה כדי לנסות לנתח ולקבוע את התשובה לבדיקות CAPTCHA חזותיות או קוליות ולחידות קשורות.

הטמעה מינימלית

  1. התקינו מפתחות אתר מבוססי-ניקוד בכל הדפים שכוללים קלט של משתמשי קצה, יצירת חשבון, פרטי תשלום או אינטראקציות של משתמשי קצה עם פוטנציאל להונאה. מציינים פעולה תיאורית בפרמטר action. במאמר התקנת מפתחות אתר מבוססי-ניקוד (ללא אתגר) באתרים מוסבר איך להתקין מפתחות אתר מבוססי-ניקוד.

  2. יוצרים הערכות לכל הטוקנים ומגדירים את expectedAction כך שיתאים לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד. איך יוצרים הערכה

הטמעה אופטימלית

  1. התקינו מפתחות אתר מבוססי-ניקוד בכל הדפים שכוללים קלט של משתמשי קצה, יצירת חשבון, פרטי תשלום או אינטראקציות של משתמשי קצה עם פוטנציאל להונאה. מציינים פעולה תיאורית בפרמטר action. במאמר התקנת מפתחות אתר מבוססי-ניקוד (ללא אתגר) באתרים מוסבר איך להתקין מפתחות אתר מבוססי-ניקוד.

  2. אופציונלי: כדי לחסום אינטראקציות בנפח גבוה עם ציון reCAPTCHA נמוך, משלבים את reCAPTCHA עם חומת אש ליישומי אינטרנט (WAF). לדוגמה, אתם יכולים להשתמש ב-reCAPTCHA לשילוב של WAF ו-Google Cloud Armor.

  3. יוצרים הערכות לכל הטוקנים ומגדירים את expectedAction כך שיתאים לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד. איך יוצרים הערכה

  4. שומרים את כל מזהי ההערכות ומוסיפים הערה להערכות שהופכות לרכישות שמקורן בתרמית או להחזרים כספיים בעקבות ביטול עסקה בתור fraudulent. איך מוסיפים הערות למטלה

אסטרטגיה למניעת הונאות

אחרי שמטמיעים את Fraud Defense, משתמשים באחת מהאסטרטגיות הבאות להפחתת הונאות כדי להגן על האתר מפני עקיפת CAPTCHA:

  • מטמיעים מודל תגובה ויוצרים הערכות:

    1. ליצור ולהטמיע מודל תגובה שמותאם לסיכון שמבוסס על ניקוד.

      הדוגמה הבאה מציגה מודל תגובה לדוגמה:

      • אם סף הניקוד נמוך עד בינוני (0.0-0.5), צריך לאתגר את משתמש הקצה באימות רב-שלבי באמצעות אימייל או SMS.
      • בסף הניקוד הגבוה ביותר (> 0.5), מאפשרים למשתמש הקצה להמשיך בלי אתגר.
    2. כשיוצרים הערכות, צריך לוודא שהערך של expectedAction תואם לערך של action שציינתם כשהתקנתם את מפתחות האתר שמבוססים על ניקוד בדפי האינטרנט. אם הם לא תואמים, אל תאפשרו את האימות.

  • אם משתמשי הקצה משתמשים בדפדפני אינטרנט שבהם JavaScript מושבת, צריך לבצע את הפעולות הבאות:

    1. לחסום את משתמשי הקצה האלה.
    2. מודיעים למשתמשי הקצה שהאתר שלכם דורש JavaScript כדי להמשיך.

  • חשוב לוודא שה-Promise של grecaptcha.enterprise.ready מתקיים כדי למנוע מדפדפנים של משתמשי קצה שחוסמים את הסקריפט של Google להיטען. זה מצביע על כך ש-reCAPTCHA Javascript API נטען במלואו ולא נתקל בשגיאה.

  • בממשקי API לאינטרנט בלבד, מומלץ להעביר את הטוקן של reCAPTCHA או את תוצאת ההערכה של Fraud Defense ל-API לקצה העורפי, ואז לאפשר את פעולת ה-API רק אם הטוקן של reCAPTCHA תקין ועומד בערך הסף של הניקוד. כך אפשר לוודא שמשתמש הקצה לא משתמש ב-API בלי לעבור דרך האתר.

המאמרים הבאים