How Auth0 Tenant Access Control List Empowers Customers Under Fire

How Auth0 Tenant Access Control List Empowers Customers Under Fire の翻訳です。

2025年9月、Auth0 は設定可能なルールによって Auth0 サービスへのトラフィックを管理する機能である Tenant Access Control List (ACL) の一般提供（GA）を発表しました。この機能により、チームは定義済みのシグナル（判定材料）を使って、悪意あるトラフィックがアプリケーションに到達する前に無力化できます。本記事では、ある Auth0 顧客が継続的な攻撃を軽減し、Tenant ACL を使って 2,100万件を超えるリクエストをブロックした方法を紹介します。

サインアップ詐欺攻撃

9月上旬、脅威アクターは大規模かつ機会主義的な偽サインアップ（fake signup）キャンペーンを、ある大規模な Auth0 テナントに対して実行しました。数日のうちに、そのテナントは 数百万件の不正なサインアップ要求を記録し、通常のサインアップ量の 約40倍 に達しました。

Auth0 サポートの支援のもと、テナント管理者は悪意あるクライアントを一意に識別できる JA3 および JA4 の TLS クライアント・フィンガープリント（攻撃者クライアントの識別子）を特定し、ブロックを依頼しました。Auth0 サポートがブロックを実装するとトラフィックは減少し、当面の脅威は収束したかに見えました。――少なくとも、そう思われました。

検知・対応・ブロック、そして Tenant ACL

しかし平穏は 24 時間も続きませんでした。攻撃者は戦術を切り替え、最初のブロックを回避するように動きました。新たな波が押し寄せた結果、レート制限が発動し、巻き添え被害が発生します。正当なユーザーがサインアップできなくなってしまったのです。

Auth0 のオープンソース検知カタログのようなルール群から得られるインテリジェンスを土台に、顧客のセキュリティチームはサインアップイベント内の security_context ログオブジェクトを解析し、攻撃者の新しい JA3 シグネチャを切り分けました。ですが彼らには、脅威インテリジェンスに“即座に”反応できる手段が必要でした。Auth0 サポートは、テナント管理者に Tenant ACL の活用方法を示しました。こうして顧客は、サポートチケットを待ったりコンサルタントを頼ったりするのではなく、Tenant ACL によって主導権を握り、自ら攻撃を軽減できるようになりました。

実際、新しいフィンガープリントを authentication スコープで ACL に追加すると、攻撃はブロックされました。Auth0 のナレッジベースには、以下のように悪意ある JA4 からの全トラフィックをブロックするルール例と、独自ルールの書き方に関する詳細が掲載されています。

{
  "description": "Block authentication traffic from malicious JA4",
  "active": true,
  "priority": 1,
  "rule": {
    "action": {
      "block": true
    },
    "match": {
      "ja4_fingerprints": ["t13d201100_2b729b4bf6f3_9e7b989ebec8"]
    },
    "scope": "authentication"
  }
}

データ駆動の俊敏性が、エッジでのアイデンティティ攻撃を出し抜く

その後数週間、顧客は攻撃者のフィンガープリントを監視し続け、Tenant ACL のルールを更新してブロック効果を維持することで、常に一歩先を行きました。これは「設定して終わり」の静的な構成ではなく、攻撃者の戦術変化と歩調を合わせて進化する、データ駆動かつアジャイルな対応でした。

キャンペーン終盤までに、Tenant ACL は 2,100万件超 の悪意あるリクエストを遮断しました。その一つひとつが、アプリケーションに到達する前にネットワークエッジで無力化された偽サインアップです。これにより、レート制限の巻き添えを引き起こしたり、正当なユーザー体験を損ねたりする前に止めることができました。さらに重要なのは、初期セットアップ後は Auth0 サポートの介入が一切不要だった点です。顧客は攻撃を“耐え凌いだ”のではなく、“出し抜いた”のです。

エッジの力を活かす

Tenant ACL は、プロアクティブでデータ駆動な防御を行うために必要なエッジレベルの制御を、顧客自身の手元に届けます。この事例は、ログからの深い洞察と適切なツールキットを備えたセキュリティチームが、高度な攻撃者を大規模かつ高速に無力化できることを示す一例です。

攻撃をブロックし、攻撃者を挫くことは Auth0 の目指すところの一部です。私たちは安全なアイデンティティ & アクセス管理のエコシステムを育てたいと考えています。Auth0 のツールとサービスは、顧客がリアルタイムに自分自身と自社ユーザーを守るための主権（コントロール）を提供します。Tenant ACL を活用する中でのフィードバックや成功事例をぜひお聞かせください。Auth0 Community forums で共有したり、担当のカスタマーアドボケイトに連絡したり、あるいはサポートに問い合わせていただくことで、私たちがより良いアイデンティティセキュリティを実現する助けになります。

本資料および記載されている推奨事項は、法務・プライバシー・セキュリティ・コンプライアンス・ビジネスに関する助言ではありません。本資料は一般的な情報提供のみを目的としており、最新のセキュリティ／プライバシー／法的動向や、関連するすべての論点を反映していない可能性があります。あなたは、法務・セキュリティ・プライバシー・コンプライアンス・ビジネスに関する助言を、ご自身の弁護士または専門アドバイザーから得る責任があり、本資料に記載された推奨事項に依拠すべきではありません。Okta は、本資料に含まれる推奨事項を実装したことにより生じ得る損失または損害について責任を負いません。Okta は、本資料の内容に関していかなる表明、保証、またはその他の確約も行いません。Okta が顧客に対して契約上提供する保証に関する情報は okta.com/agreements で確認できます。