まさかの行動パターン解析！Cloudflare Precursor がボットを丸裸にする！

みんな、しぃちゃんだよ！今日は Cloudflare のセキュリティ関連の新発表がすごく面白かったから、わくわくしながら紹介するね。

Cloudflare Blog blog.cloudflare.com

なにが発表されたの？

Cloudflare の Blog で、Bot Management 向けの新しい継続的行動検証エンジン「Precursor」が発表されたよ。ユーザーがサイトを訪れてから離脱するまでのセッション全体の行動を継続的に見て、人間とボットを見分ける仕組みなの。Turnstile を補完する形で、Enterprise の Bot Management の一部として使えるようになるよ。

なぜ重要なの？

今までのボット対策は、CAPTCHA みたいな特定のチェックポイントで一発判定するものが中心だったの。でも今のボットは実際のブラウザを操作したり JavaScript を実行したりできるから、個々のチャレンジは通過できてしまうことがあるんだよね。一方で、セッションを通して一貫した「人間らしい」行動パターンを再現するのは、ボットにとって依然として難しいことだと Cloudflare は指摘しているの。この見えにくい隙間を埋めるのが Precursor の狙いだよ。

これで何が変わるの？

Precursor を有効にすると、HTML レスポンスに軽量で難読化されたスクリプトが自動的に埋め込まれて、追加の設定や外部への接続、サードパーティの埋め込みなしでポインター移動・キーボード操作・フォーカスの変化・表示状態の変化などを収集するようになるよ。集めたデータはエッジ側で複数の評価ロジックにかけられて、たとえば「ポインターの動きがページの表示時間と相関しているか」「キーボードイベントがテキストフィールドにフォーカスしているときだけ発火しているか」といったクロスチェックが行われるの。セッションを通してデータが積み上がっていくから、ページをリロードしただけでは行動の痕跡をリセットできない、っていうのもポイントだね。

深く潜ってみよう

Cloudflare が例として挙げているのが、マウスの動きの特徴なの。

• 人間の手は手首の可動域や前腕の回転に制約されるから、動きはきれいな弧を描く
• 見てからクリックするまでに、人間ならではの認知的な遅延がある
• 手の震え(トレモール)っていう生理的な微振動が自然に混ざる

逆にボットは直線的な補間や数学的に完璧なベジェ曲線を描いてしまいがちで、精度が良すぎることでかえってバレてしまうんだって。

プライバシー面にも配慮されていて、キーボード入力は実際に押されたキーではなく、タイミングとリズムだけを記録する設計になっているの。個々の操作ではなく、集約されたパターンで評価するっていうのも安心材料だね。

分析用には、セッション単位の Security Analytics ダッシュボードも用意されていて、「自分のサイトの典型的なセッションはどんな感じ？」「時間とともに自動化っぽい兆候を見せているセッションはどれ？」みたいな問いに答えられるようになるよ。

Precursor は現在ロールアウト中で、正式 GA までは無料で使えるとのこと。ダッシュボードから有効化できて、裏側で観察するだけのモードと、実際にチャレンジを出して検証するモードを選べるよ。ちなみに Cloudflare は 1 日あたり 1 兆件を超えるリクエストを処理していて、これは Web 全体の 20% 以上にあたるんだって。Turnstile だけでも 1 日 30 億回近く実行されているらしいよ。

まとめ

• Cloudflare が Bot Management 向けの新しい継続的行動検証エンジン「Precursor」を発表したよ
• CAPTCHA のような一発勝負のチェックではなく、セッション全体の行動パターンを継続的に見て人間とボットを見分ける
• マウスの動きの物理的な制約や認知的な遅延、手の震えなど、人間らしさのシグナルを複数組み合わせて評価
• セッション単位の Security Analytics ダッシュボードも提供され、現在ロールアウト中(GA までは無料)

高度な自動化やエージェントっぽいアクセスに悩まされているセキュリティ担当さん、Bot Management を使っている人は要チェックの新機能だよ！