Атаки account takeover неоднородны — их нельзя перехватить одним сигналом.
Классический brute-force делает много попыток пароля за короткое время с одного IP. Credential stuffing пробует один и тот же список паролей, распределённых по многим IP. Low-and-slow атаки делают небольшое количество попыток за часы. Попытки перехвата сессий проявляются после успешного входа через изменения IP, user agent или поведения. Перехватить всё это с помощью одного правила ограничения скорости нереалистично.
Использование только блокировки по IP позволяет распределённому credential stuffing просочиться и несправедливо затрагивает легитимных пользователей в общих сетях. Использование только блокировки по пользователю позволяет злоумышленникам намеренно вызывать блокировку учётной записи как отказ в обслуживании. Использование только CAPTCHA превращает каждую попытку входа в ненужное трение и ухудшает пользовательский опыт.
Многие решения смотрят только на момент входа. Однако риск account takeover продолжается после входа: если чувствительные действия, такие как смена пароля, смена email, добавление способа оплаты, генерация API-токена или перевод средств, поступают в новом контексте, это сигнал злоупотребления после входа. Это поведение должно оцениваться совместно с привязкой сессии и step-up MFA.
Правильный подход — использовать подходящую комбинацию области и сигнала для каждого класса атак. Области IP, username, username_ip и составная должны работать совместно с bot-баллом, скоростью неудачных авторизаций, IP reputation и несоответствием привязки сессии.
TR7 Account Takeover Protection реализует эту модель: объединяет трафик-сигналы WAAP с политиками доступа AAM и управляет ATO-риском через многоуровневый граф политики, а не одно правило.
Наш подход
TR7 применяет ATO-защиту через многосигнальный scoring, выбор области, специфичной для класса атаки, постепенную эскалацию и координацию AAM.
Модель мультисигнального решения объединяет четыре отдельных уровня риска
Bot-балл, скорость неудачных авторизаций, IP reputation и несоответствие привязки сессии оцениваются на одном пути принятия решений. Решения принимаются исходя из реальной поведенческой формы атаки — не только по IP и не только по имени пользователя.
Область политики выбирается для соответствия классу атаки
Область IP отслеживает одноисточниковые brute-force попытки, область username отслеживает распределённый credential stuffing, область username_ip отслеживает целевые атаки, а составная область отслеживает комбинации IP, user agent и заголовков. Каждая область работает со своими счётчиками и пороговым поведением.
Предупреждение, CAPTCHA и блокировка создают постепенное трение
На первом этапе событие записывается в аудит-лог, затем активируется self-hosted CAPTCHA, и наконец применяется блокировка. Эта модель замедляет злоумышленника, минимизируя ненужное трение для легитимных пользователей.
Координация AAM связывает step-up MFA и поток блокировки воедино
Трафик-сигналы WAAP могут работать совместно с политиками блокировки AAM и step-up MFA. Дополнительная верификация может быть инициирована для пользователей, приближающихся к порогу CAPTCHA или проявляющих изменение контекста сессии.
Возможности
Account Takeover Protection объединяет пред-логин трафик-риск, сбои входа и поведение сессии после входа в одну цепочку защиты.
Трёхуровневая эскалация замедляет злоумышленника, защищая легитимных пользователей
TR7 делает ATO-защиту постепенной через поток warning → CAPTCHA → lockout. Этап предупреждения создаёт аудит-след без предъявления трения пользователю. Этап CAPTCHA применяет challenge к автоматизации и предлагает легитимным пользователям контролируемый шаг верификации. Этап блокировки временно останавливает возможность попыток для конкретной области.
Области IP, username, username_ip и составная могут работать параллельно
ATO-атаки нельзя перехватить одной областью. TR7 может одновременно запускать политики на основе IP, на основе username, на основе IP+username и составной области на одном эндпоинте. Одноисточниковый brute-force, многоисточниковый credential stuffing и целевые атаки на учётные записи отслеживаются по отдельности. Даже если злоумышленник остаётся под одной областью, другая область всё равно может обнаружить поведение.
Скорость неудачных авторизаций измеряет скорость неудачных входов в временном окне
Триггер failedAuthAttempts считает неудачные попытки в пределах определённого временного окна. Этот счётчик может отслеживаться на пользователя, на IP или на составную область. Короткие окна выявляют быстрые brute-force попытки; длинные окна раскрывают low-and-slow ATO-поведение. В решение поступают и общее количество, и плотность попыток во времени.
Bot-балл конвертирует риск автоматизации на login-поверхности в сигнал
TR7 может учитывать анализ user agent, IP reputation, поведенческий анализ, подозрительный путь, header fingerprint, аномалии протокола, непоследовательность сигналов, Tor exit node, TLS fingerprint и datacenter IP при вычислении bot-балла. Когда балл достигает определённого уровня, может быть инициировано действие CAPTCHA или блокировки. Попытки входа оцениваются не только как ошибки пароля, но и как поведение автоматизации, привнося качество трафика в ATO-защиту.
IP reputation помечает плохие источники до прихода credential-атак
Подкатегории IP reputation, такие как open proxy, bad bot, атака, разведка, спам и VPN IP, могут использоваться как сигналы риска в ATO-решениях. Эти категории не должны производить обязательную блокировку самостоятельно; они оцениваются совместно с bot-баллом и политиками блокировки. Попытки входа с заведомо плохой инфраструктуры могут подвергаться более раннему трению. Этот подход работает в сочетании с другими сигналами для снижения риска ложных срабатываний.
Поведенческие трафик-сигналы перехватывают злоупотребления на login-поверхности
Бомбардировка пути, быстрые запросы, высокая частота 404, запросы мутации без referer и неожиданное использование HTTP-методов — всё это может быть сигналами риска на login-поверхности. Эти индикаторы помогают различать поведение credential stuffing, перечисления учётных записей и автоматизированного сканирования. Сигналы не оцениваются в изоляции — они работают вместе с bot-баллом и счётчиками неудачных авторизаций. Атака становится видимой не только из ошибок пароля, но и из поведения трафика.
Self-hosted CAPTCHA снижает зависимость от сторонней верификации
Когда порог CAPTCHA превышен, TR7 может активировать собственный поток challenge. Пользователю предъявляется контролируемый challenge без отправки данных внешнему сервису верификации. Неверные ответы CAPTCHA могут быть добавлены к счётчику неудачных попыток и ускорить эскалацию. Это обеспечивает более контролируемую модель для организаций с требованиями локализации данных и регуляторной чувствительностью.
AAM step-up MFA усиливает высокорисковые действия входа и сессии
TR7 может координировать bot и lockout сигналы WAAP с политиками доступа AAM. Step-up MFA может быть инициирован для пользователей, приближающихся к порогу CAPTCHA, генерирующих аномалию привязки сессии или выполняющих чувствительное действие. Этот подход переносит риск времени входа и в операции после входа. Даже если злоумышленник знает правильный пароль, он всё равно сталкивается с барьером дополнительной верификации.
Несоответствие привязки сессии делает post-login ATO-сигналы видимыми
Сессия может быть связана с IP, IP+user agent или составным контекстом. Если IP, user agent или контекст неожиданно изменяются после входа, может генерироваться аномалия привязки сессии. Этот сигнал особенно важен в сценариях перехвата сессий и повторного использования токенов. Повторная аутентификация или дополнительные контроли могут быть инициированы на чувствительных эндпоинтах.
Окно затухания предотвращает превращение прошлых ошибок легитимного пользователя в постоянное наказание
attemptWindowDuration определяет, как долго неудачные попытки продолжают учитываться. Если пользователь делает несколько ошибок пароля сегодня, он может вернуться к чистому поведению после истечения окна. Злоумышленник, накапливающий достаточно попыток в том же окне, сталкивается с CAPTCHA или блокировкой. Эта модель обеспечивает более здоровый баланс между безопасностью и пользовательским опытом.
Аудит-след поддерживает расследование инцидентов с маскированными записями
Для каждой попытки входа могут быть записаны временная метка, исходный IP, user agent, область, ID политики и результат. Результаты, такие как предупреждение, CAPTCHA, блокировка или успешный проход, различаются при проверке инцидентов. Детали получателя, такие как email или телефон, маскируются, чтобы аудит-лог не становился вторичным каналом утечки данных. Команды SOC отслеживают потоки атак с помощью структурированных записей.
Карантин помещает повторных злоумышленников под расширенный мониторинг после блокировки
Если после истечения периода блокировки определено действие карантина, клиент или область могут быть помещены под дополнительный контроль. Это усложняет злоумышленникам повторение одних и тех же попыток каждый раз, когда заканчивается длительность блокировки. Карантин обеспечивает непрерывное отслеживание риска за пределами классического поведения блокировки и является полезным дополнительным уровнем в длительных ATO-кампаниях.
Операционная глубина
ATO-защита управляется совместно с готовыми пресетами политик, нативными счётчиками, кривой bot-балла, изоляцией пулов, составной областью и обменом счётчиками AAM.
Готовые пресеты политик
TR7 может предоставлять готовые примеры политик блокировки для областей username, IP и username_ip. Область username фокусируется на credential stuffing с более длинным окном; область IP фокусируется на brute-force поведении с более коротким окном. Все пороговые значения, длительности и действия можно настроить под потребности сервиса.
Нативные счётчики неудачных попыток
Неудачные попытки входа отслеживаются с помощью быстрых структур счётчиков. Этот подход снижает зависимость от внешних вызовов базы данных и обеспечивает малую задержку на пути входа. Репликация счётчиков на узлы-пиры в кластерной среде важна для непрерывности защиты после переключения при отказе.
Кривая bot-балла
Bot-балл может интерпретироваться как чувствительный на низких уровнях сигналов и насыщающийся по мере накопления высокого риска. Этот подход позволяет многим малым сигналам накапливаться в значимый риск. При добавлении нового сигнала снижается необходимость полного перепроектирования всего порога политики с нуля.
Изоляция на основе пулов
Каждый пул может быть привязан к собственному профилю защиты трафика. ATO-сигнал на одном тенанте или сервисе не влияет на счётчики другого тенанта. Эта изоляция критически важна в мультитенантных SaaS и MSP сценариях.
Поведение составной области
Составная область может объединять IP, user agent, accept-language или аналогичные компоненты заголовков в единый ключ отслеживания. Эта модель обеспечивает более контекстуальное отслеживание, когда одного IP или username недостаточно. Предлагает дополнительную видимость против ротирующихся user agent или переменного поведения клиентов.
Координация счётчиков AAM
Счётчики неудачных авторизаций WAAP могут координироваться с политиками блокировки AAM. Даже если злоумышленник напрямую нацеливается на различные login-эндпоинты, то же рисковое поведение может оцениваться на общем пути счётчика и политики. Это делает ATO-защиту последовательной не только на уровне трафика, но и во всём потоке идентификации.
Когда использовать
Снижение brute-force на банковском login и mobile API
Банковские команды могут мониторить login-эндпоинты с областью IP и поведением SSL-соединений совместно. При превышении определённых порогов активируется CAPTCHA, блокировка или AAM step-up MFA.
Защита от распределённого credential stuffing в e-commerce
Боты, делающие небольшое количество попыток со многих IP, могут не появляться под областью IP. Область username перехватывает неудачные попытки, накапливающиеся на одной учётной записи, и применяет CAPTCHA или блокировку на уровне учётной записи.
Защита учётной записи администратора в корпоративном SaaS
Малообъёмные, но сфокусированные попытки против учётной записи CFO или администратора могут отслеживаться с областью username_ip или составной. При росте риска step-up MFA инициируется через AAM.
Проверка контекста сессии на чувствительных post-login действиях
Если IP или user agent неожиданно изменяются сразу после входа пользователя, может генерироваться аномалия привязки сессии. Повторная аутентификация может потребоваться для действий, таких как переводы средств, смены email или генерации токенов.
Часто задаваемые вопросы
Можно ли перехватить credential stuffing и классический brute-force одной политикой?
Когда активируется несоответствие привязки сессии?
Self-hosted CAPTCHA отправляет данные внешним сервисам?
Как AAM step-up MFA и WAAP lockout работают вместе?
Что происходит, если легитимный пользователь случайно оказывается заблокированным?
Как обнаруживаются low-and-slow ATO-атаки?
Доверьте риск account takeover четырём уровням — не одному сигналу
Интегрированная ATO-защита от credential stuffing, brute-force, low-and-slow и перехвата сессий. Давайте пройдём через живую настройку на ваших собственных сервисах.