セキュリティポリシーの設定
Archived
2 タスク
5 分
中級
セキュリティ
日本語
シナリオ
GogoRoadでは、ログイン試行の失敗が大量に発生しています。 経営陣は、これらの試行はインターネットボットによる悪質な攻撃ではないかと疑っています。 経営陣から、新しいセキュリティ要件を実装するように依頼されました。 初回のログイン試行に失敗した後、ユーザーがさらにログインを行う場合は追加の検証を行う必要があります。 ログイン試行に失敗してから次にログインしようとするまでのユーザーの待ち時間は徐々に長くなります。 初回の試行に失敗した後は、5秒の遅れが発生します。
初回のログイン試行失敗の後、ログインページにCAPTCHAを表示して、ユーザーが人間であり自動化されたボットではないことを確認します。 ログイン試行が2回失敗した後で、以降のログイン試行を5秒ずつ遅らすために、ロックアウトペナルティを有効にします。
以下の表は、チャレンジに必要なログイン情報をまとめたものです。
| ロール | ユーザー名 | パスワード |
|---|---|---|
| アプリケーションデベロッパー | author@gogoroad | pega123! |
補足： 練習環境では、複数のチャレンジの完了をサポートする場合があります。 その結果、チャレンジのウォークスルーに表示される設定は、お客様の環境と完全に一致しない場合があります。
チャレンジ ウォークスルー
詳細なタスク
1 CAPTCHAを設定する
- Dev Studioのヘッダーで、「Configure」>「Org & Security」>「Authentication」>「Security Policies」をクリックして、「Security Policies」ランディングページを開きます。
- 「Frequently required policies」セクションで、Enable frequently required policies (except for PRAuth-based authentication services)チェックボックスを選択して、よく必要になるセキュリティポリシーを有効にします。
補足： 「Enable frequently required policies」オプションは、Pega Platformではデフォルトで有効ですが、今回のチャレンジのために無効にされています。
- 「CAPTCHA policies」セクションの「Enable CAPTCHA Reverse Turing test module」フィールドで、「Enabled 」を選択してCAPTCHA機能を有効にします。
- 「Enable presentation of CAPTCHA upon initial login」リストで、「Disabled」を選択して、最初のログイン試行失敗の後にのみCAPTCHAが表示されるようにします。
- 「Probability that CAPTCHA will be presented upon authentication failure (%)」フィールドに「100」と入力して、ログイン試行が失敗した場合は常にCAPTCHAが表示されるようにします。
2 ロックアウトペナルティを設定する
- 「Lockout policies」セクションの「Enable authentication lockout penalty」フィールドで、「Enabled 」を選択してロックアウトペナルティを有効にします。
- 「Failed login attempts before employing authentication lockout penalty」フィールドに「2」を入力して、試行が2回失敗したらロックアウトペナルティを適用するように設定します。
- 「Initial authentication lockout penalty in seconds」フィールドに「5」を入力し、最初のロックアウト時間を5秒に設定します。
補足： 以降のロックアウト時間は、5秒ずつ増加します。
- 「Submit」をクリックして、セキュリティポリシーの更新を適用します。
ヒント： Pega Platform™のインスタンスにセキュリティポリシーをインポートするときに、これらの設定をロードするデータページをクリアしなければならない場合があります。 Dev Studioで、Declare_AuthPoliciesデータページに移動し、「Load Management」>「Clear data page」をクリックしてデータページをフラッシュします。