security - B2C : Is there Insurance Against Scripted Attacks?

Question

我对 Azure AD B2C 的帐户定价和身份验证有几个问题，这些问题都围绕着脚本式 DOS 攻击的问题。

定价页面:https://azure.microsoft.com/en-us/pricing/details/active-directory-b2c/

Azure 在创建帐户时通过短信或电话提供电子邮件和多重身份验证。

电子邮件验证包含在身份验证尝试的基本价格中。每月前 50,000 次身份验证免费。我相信这包括登录身份验证、帐户/密码恢复和注册。多重身份验证(短信或电话)是可选的，每次身份验证的统一费率为 0.03 美元(无免费赠品)。

我不是 100% 清楚什么才是身份验证。是对每次尝试收费，还是仅对颁发 token 的成功身份验证收费？考虑到给出的定义，我认为可能是后者(成功并发行了代币):

身份验证:为响应用户发起的登录请求或由应用程序代表用户发起的登录请求而颁发的 token (例如 token 刷新，其中刷新间隔是可配置的) .

因此，如果攻击者尝试进行身份验证但失败，我们会为每次尝试收取费用吗？多因素也是如此吗？

如果攻击者有足够的动机，她可以设置自己的电子邮件和短信系统来接收和解析验证码，并使用它们来创建大量欺诈帐户。如果攻击者绕过身份验证并创建数百万个帐户，我们最终还会为这些帐户和身份验证付费吗？

我们是否有一个定期删除不完整或不活动帐户的计划任务会重要吗？

场景:

1. 7 月 4 日创建了 1,000,000 个欺诈帐户，但我们在 7 月 5 日凌晨 1:00 之前通过图形 API 发现并删除了这些帐户。
2. 我们在每月的第一天计费。攻击者在我们结算周期的最后一天创建了 1,000,000 个帐户，而我们没有及时发现。

Answer 1

鉴于失败的身份验证尝试不会导致颁发 token ，我认为从收费的角度来看，答案是明确的。

对于第二点，要缓解有动机的攻击者，您能做的工作是有限的，而且您必须在 Azure 内置一些基本缓解措施的基础上开展工作。

话虽如此，该平台显然会满足处理注册量的要求，并且持有 100 万个活跃账户每月的成本约为 1,050 美元，虽然不是一个小数目，但应该不会倾家荡产。