Bots as a Service, kurz BaaS, bezeichnet das Anmieten fertiger Bot-Funktionen statt deren Eigenbau.
Anbieter stellen Steuerung, Infrastruktur und oft auch Umgehung von Schutzmechanismen als laufenden Dienst bereit.
Im Sicherheitskontext ist damit meist ein Markt gemeint, auf dem Angriffswerkzeuge wie ein Abonnement bezogen werden.
Bots verstehen
Ein Bot ist ein Programm, das Handlungen in einem Dienst automatisch und wiederholt ausführt.
Er kann Inhalte abrufen, Formulare senden, Konten anlegen oder eine Schnittstelle systematisch abfragen.
Ob die Handlung erlaubt ist, entscheidet der Zweck und die Zustimmung des betroffenen Dienstes.
Arten von Bots
Bots unterscheiden sich nach Aufgabe und nach Sichtbarkeit.
Suchmaschinen-Crawler und Monitoring-Prüfer arbeiten oft offen und halten sich an Vorgaben des Betreibers.
Angriffs-Bots verstecken sich, wechseln Herkunft und versuchen, Mengengrenzen und Anmeldeschutz zu umgehen.
Das Konzept der 'As a Service'
As a Service bedeutet, dass der Kunde eine Fähigkeit nutzt, ohne die zugrunde liegende Plattform selbst zu betreiben.
Abrechnung, Skalierung und Wartung liegen beim Anbieter.
Der Kunde steuert über eine Konsole oder eine API, was der Dienst tun soll.
Vorteile von 'As a Service'
Vorteile für den Kunden sind ein schneller Start, planbare Kosten und keine eigene Betriebsmannschaft für die Basis.
Funktionen lassen sich zuschalten, ohne Hardware zu beschaffen oder Software zu pflegen.
Dieselbe Bequemlichkeit macht auch Angriffsfähigkeiten für Personen erreichbar, die sie nicht selbst bauen könnten.
BaaS in der Cybersicherheit
In der Cybersicherheit beschreibt BaaS vor allem den Handel mit fertigen Angriffs-Bots.
Kunden mieten Kapazität für Credential-Angriffe, Spam, Scraping oder Last auf einer Zielanwendung.
Der Anbieter bleibt austauschbar, das Ziel sieht nur den jeweiligen Bot-Verkehr.
Anwendungsfälle von BaaS in der Cybersecurity
Typische Anwendungsfälle sind das massenhafte Prüfen gestohlener Zugangsdaten, das Absaugen von Preisen und Inhalten und das automatische Anlegen von Scheinkonten.
Auch das Umgehen von Ratenlimits und das Verteilen von Last auf viele Herkunftsadressen werden als Paket angeboten.
Legitime Automatisierung, etwa ein überwachter Integrationstest, ist davon zu trennen und sollte sich ausweisen.
Herausforderungen und Risiken von BaaS
BaaS senkt das Können, das ein Angreifer mitbringen muss, und verkürzt die Zeit bis zum ersten missbräuchlichen Lauf.
Für Betreiber wird die Abwehr schwerer, weil Herkunft, Werkzeug und Auftraggeber auseinanderfallen.
Verträge, Zahlwege und Infrastruktur des Dienstes liegen oft außerhalb der eigenen Rechtsordnung.
Management der Risiken von BaaS
Risiken lassen sich begrenzen, indem automatisierte Handlungen an der Anwendung selbst teuer und auffällig werden.
Dazu gehören enge Raten, starke Prüfung riskanter Funktionen und getrennte Wege für bekannte gute Automatisierung.
Beobachtung von Mustern über Konten hinweg zeigt Mietkapazität deutlicher als die einzelne Anfrage.
Zukunft von BaaS
BaaS wird bleiben, solange sich Automatisierung gegen öffentliche Dienste vermieten lässt.
Betreiber müssen damit rechnen, dass Angriffe als Dienst gekauft werden und nicht als Einzeltäter-Werkzeug auftreten.
Dauerhaften Schutz liefert eine Anwendung, die missbräuchliche Mengen erkennt und legitime Automaten klar von ihnen trennt.