假日電子商務安全性
讓零售商為即將到來的網路安全威脅做好準備
毫無疑問，假日季為網路攻擊提供了更多的機會，而電子商務產業是主要目標。特殊活動會導致網際網路流量激增，其中部分可能為惡意流量。在此期間，電子商務安全性和 IT 領導者往往不堪重荷，尤其當他們還需同時管理多套專用單點解決方案時更是如此。
根據這種趨勢，問題不在於是否要為攻擊做準備，而是哪種類型的攻擊會對您的業務構成最大的風險。
電子商務的假日準備需要一定程度的優先級排序。除了建立針對常見 Web 應用程式威脅（例如 DDoS 攻擊和零時差漏洞利用）的強大基礎防護外，線上零售商還必須預測哪些專門的攻擊類型可能在假日期間影響其業務和收入，並做好相應的準備。
回答以下三個問題有助於啟動優先順序排定流程。這樣做，電子商務組織將更有可能在這個假日季取得成功——這可能佔銷售總收入的將近 20%。
您的產品對價格的敏感程度如何？
您的企業在多大程度上容易受到庫存短缺的影響？
您是否依賴 API 來增強線上業務？
問題 1：您的產品對價格的敏感程度如何？
對於某些產品和服務（例如低成本、高度商品化或廣泛可用的產品和服務），競爭公司之間的微小價格差異可能會對購買決策產生重大影響。如果一家公司在假期促銷期間價格略高於競爭對手，則銷售額可能會明顯下降。
因此，具有價格敏感產品的公司在假日季期間應特別留意剽竊機器人，這類機器人會掃描網站以獲取定價資訊並將該資訊提供給競爭對手。雖然 Web 剽竊並不是新鮮事物，但隨著 AI 的進步，機器人在剽竊定價資料、內容等方面變得更加高效。使用這些資訊，競爭對手可以確保他們的產品稍微便宜一些——這是一個顯著的優勢。
與其他類型的機器人相比，價格剽竊工具可能更難識別，因為它們不會引起驗證失敗、不尋常的購買或新使用者帳戶激增之類的明顯後果。有助於識別價格剽竊工具的訊號包括：
與預期的消費者行為不匹配的流量峰值——因為價格剽竊機器人不斷掃描您的網站
網站效能下降——原因相同
來自 AI 爬蟲的網站/應用程式流量顯著增加
流量 IP 原點指向競爭對手網站
如果您確實在網站上發現了價格剽竊工具（或者懷疑它們可能會在假日促銷期間針對您），限速之類的策略有助於防止它們影響網站效能。然而，可能仍然有必要投資於更進階的機器人管理服務，此類服務能結合即時威脅情報，並具備自動識別和篩選掉惡意機器人（包括 AI 抓取程式）的能力。
問題 2：您的企業在多大程度上容易受到庫存短缺的影響？
產品稀缺可能源於計劃中的行銷策略、供應鏈緊張或過度需求。前者的一些範例包括高知名度的消費電子產品、演唱會門票以及限量版時尚商品。
在假日購物季，銷售此類產品的公司應對庫存囤積機器人（又名「grinch bot」）格外謹慎。這些機器人自動購買產品或服務的速度超過人類能力的速度，通常用於在二手市場上加價銷售這些產品或服務。例如，限量版運動鞋已成為「sneaker bot」這一專門機器人類別的目標。一位暢銷音樂家甚至嘗試透過對沒有他粉絲俱樂部代碼的購買者收取 100 倍的加價來對抗 sneaker bot。
庫存囤積機器人的影響並不難發現，因為產品會在幾分鐘內就被搶購一空。問題在於，在發現的時候損害已經造成了。為了更早地阻止這些機器人，可以考慮以下策略：
受管理質詢：使用受管理質詢可確保只有真實使用者才能進行購買。然而，被視為產業標準質詢的 CAPTCHA 可能會給客戶帶來不便，並且每次都可以被 AI 模型破解。現在已有替代 CAPTCHA 的受管理質詢，既可以確認使用者是真實的，又不會產生 CAPTCHA 可能帶來的糟糕體驗。
限速：限制某人（或某物）在特定時間內能夠重複某個動作的頻率。這有助於限制機器人和虛假使用者將商品加入購物車然後又放棄的頻率。
設定「誘捕系統」：誘捕系統是針對不良行為者的虛假目標，在進行存取時，會顯露出不良行為者的惡意性質。對於機器人，誘捕系統可能是網站上被 robots.txt 檔案禁止機器人存取的一個網頁。善意機器人將閱讀 robots.txt 檔案並避開該網頁，而一些惡意機器人將與該網頁進行互動。透過追蹤存取誘捕系統的機器人的 IP 位址，可以識別和封鎖惡意機器人。
不幸的是，其中一些策略可能會損害使用者體驗，甚至可能無法阻止最進階的惡意機器人。對於那些面臨庫存囤積風險較高的企業，建議投資於使用機器學習和進階行為分析的專門機器人管理。
問題 3：您在多大程度上依賴 API 來增強線上業務？
除了網站服務中斷和付款詐欺等長期存在的威脅外，零售商還面臨著攻擊面擴大帶來的日益增加的風險。例如，許多電子商務企業嚴重依賴 API 來管理其 CMS、產品庫存、聊天機器人、支付系統等。越來越多的零售商採用無頭商務 (headless commerce) 來協助實現超個人化體驗，這進一步增加了對 API 的依賴。
每個新的 API 都是一個新的潛在攻擊面。然而，您無法保護看不到的東西——大約三分之一的組織缺乏準確的 API 詳細目錄。未知的「影子 API」使組織容易遭受資料暴露、橫向移動和其他網路風險。
例如，如果 API 存在未知漏洞，或容易遭受 API 十大安全風險，攻擊者可能能夠截取信用卡資訊。在驗證攻擊中可能會發生相同的後果，攻擊者竊取相關 API 金鑰，或攔截並使用驗證權杖。
防止這些攻擊的第一步是先識別 API。API 端點探索服務能夠在假日季前協助識別任何有風險的端點，然後採用以下策略：
結構描述驗證：具體來說，是封鎖不符合 API「結構描述」（即應該接收的請求模式）的 API 呼叫。
特定於 API 的濫用偵測：根據對每個 API 端點流量的最新瞭解，瞭解濫用流量並利用以 API 為中心的限速來封鎖過多的濫用 API 流量。
隨著生成式 AI、直播銷售和其他 API 相關技術的興起，零售商的數位足跡繼續擴大。從長遠來看，改用 DevSecOps 方法可以確保將安全性融入其應用程式和 API 開發週期的每個階段中。
繼續優先順序排定過程
回答這些問題是風險優先順序排定過程中的重要一步，但它們只是一個開始。理想情況下，企業將能夠分析以前假日季的攻擊資料，以預測未來的威脅。他們還可以考慮以下因素：
哪些類型的攻擊可能對財務影響最大（無論是收入損失還是降低成本）
哪些攻擊類型會帶來最大的資料遺失或損害風險
哪些攻擊造成網站停機的可能性最高
他們的應用程式/API 安全性是否可以與保護其內部使用者（即員工、承包商、開發人員）的安全性整合
使用全球連通雲實現更健康的電子商務營運
若要全年領先於電子商務攻擊和趨勢，需要一個雲端原生、低延遲、安全且可靠的安全性平台。
為幫助降低成本、提高敏捷性、保護敏感性資料並抵禦不斷變化的威脅，Cloudflare 的全球連通雲提供了安全性和效能增強功能。全球連通雲是一個統一、智慧的可程式設計雲端原生服務平台，可讓組織更好地瞭解並控制其 IT 環境。
Cloudflare 將 Web 應用程式安全性、API 安全性、第三方工具安全性、Zero Trust 服務等功能整合到單一控制平面上，且所有服務均由無與倫比的威脅情報提供支援。
總而言之，Cloudflare 可以幫助您在整個數位客戶體驗中實現世界一流的安全性和效能，同時在 IT 堆疊的各個層面重新獲得控制權並提高靈活性。
Cloudflare 就影響當今技術決策者的最新趨勢和主題發表了一系列文章，本文為其一。
重點
在高峰假日季需優先考慮的零售網路安全策略
電子商務安全提示：防範損害使用者體驗並威脅收入的惡意機器人
假期防禦 API 濫用的準備策略
相關資源
深入探討這個主題。
面向客戶的電子商務網站和應用程式的效能不斷受到零時差漏洞、DDoS 攻擊、惡意機器人、影子 API 等威脅的影響。閱讀《應用程式安全性現狀報告》，瞭解不斷變化的應用程式安全風險以及緩解這些風險的技巧。