Co to jest atak brute force?

Atak brute force to popularna metoda łamania, która polega na odgadywaniu nazw użytkowników i haseł w celu uzyskania nieautoryzowanego dostępu do systemu lub poufnych danych. Chociaż są to stosunkowo proste, metody brute force nadal mają wysoki wskaźnik sukcesu i odpowiadają za ponad 80% ataków na aplikacje internetowe.

Podczas gdy niektórzy atakujący nadal wykonują ręczne ataki brute force, większość używa zautomatyzowanych narzędzi i skryptów, które wykorzystują powszechnie używane kombinacje haseł w celu ominięcia procesów uwierzytelniania lub próby uzyskania dostępu do zaszyfrowanych danych poprzez wyszukanie odpowiedniego identyfikatora sesji. Innymi częstymi celami ataków brute force są klucze API i loginy SSH.

Coraz częściej atakujący wykorzystują prawdziwe dane uwierzytelniające użytkownika uzyskane w wyniku wycieków danych, naruszeń danych lub ciemnej sieci.

Jaki jest cel ataku brute force?

Cel ataków brute force może być różny, od kradzieży danych osobowych i zakłócania świadczenia usług, po infekowanie odwiedzających strony internetowe złośliwym oprogramowaniem lub oprogramowaniem ransomware.

Ataki typu brute force mogą również wystąpić we wczesnych stadiach bardziej wyrafinowanych cyberataków, zazwyczaj jako forma rekonesansu lub wstępnej infiltracji pierwszej warstwy zabezpieczeń.

Aby przeprowadzić cyberatak, atakujący muszą zdobyć punkt wejścia. Techniki brute force to metoda uzyskiwania dostępu typu "ustaw i zapomnij".

Jeśli atak brute force zadziała, osoby atakujące mogą użyć eskalacji uprawnień lub nadużywać słabej kontroli dostępu, aby uzyskać dodatkowy dostęp. Dlatego silne hasła, dogłębna ochrona i zasada najmniejszych uprawnień są ważnymi elementami każdej strategii cyberbezpieczeństwa.

Ponadto ataki brute force mogą być wykorzystywane do sprawdzania, czy różne adresy zwracają prawidłowe strony internetowe, które mogą zostać wykorzystane ze względu na znane luki w zabezpieczeniach.

Jak wygląda atak brute force?

Nierzadko zdarza się, że otrzymasz wiadomość e-mail od zewnętrznego dostawcy lub usługodawcy z informacją, że ktoś próbował zalogować się na Twoje konto z losowej lokalizacji.

Kiedy tak się dzieje, może to oznaczać, że padłeś ofiarą ataku brute force. Jeśli tak się stanie, sugerujemy natychmiastową aktualizację haseł.

W rzeczywistości wiele organizacji dbających o bezpieczeństwo regularnie rotuje lub zmienia hasła, aby zminimalizować ryzyko niewykrytych lub niezgłoszonych ataków typu brute force.

Jeśli podejrzewasz, że Twoja organizacja lub użytkownicy są atakowani, oto kilka rzeczy, na które należy zwrócić uwagę:

• Wiele nieudanych prób logowania z tego samego adresu IP
• Próby logowania przy użyciu wielu nazw użytkowników z tego samego adresu IP
• Wiele prób logowania dla jednej nazwy użytkownika pochodzącej z różnych adresów IP
• Nietypowy wzorzec nieudanych prób logowania, taki jak sekwencyjne wzorce alfabetyczne lub numeryczne
• Nienormalna ilość przepustowości jest używana po udanej próbie logowania, co może sygnalizować, że ktoś pobiera poufne dane

Przykłady ataków brute force

Ataki typu brute force zdarzają się cały czas i istnieje wiele głośnych przykładów:

• Alibaba: W 2016 r. atakujący wykorzystali bazę danych zawierającą 99 milionów nazw użytkowników i haseł, aby włamać się na prawie 21 milionów kont w witrynie eCommerce Alibaba TaoBao w zmasowanym ataku brute force.
• Magento: W 2018 r. nawet 1,000 kont open source zostało dotkniętych atakami typu brute force, które wykorzystywały słabe hasła do kradzieży informacji i dystrybucji złośliwego oprogramowania.
• Parlament Irlandii Północnej: W 2018 r. kilku posłów do parlamentu Irlandii Północnej padło ofiarą ataków typu brutalna siła.
• Parlament Westminsterski: Atak brute force w 2017 r. doprowadził do włamania się na 90 kont e-mail.
• Firefox: W 2018 roku ujawniono, że funkcja hasła głównego Firefoksa może być łatwo wymuszona metodą brute-force.

Jakie są rodzaje ataków brute force?

• Proste ataki brute force: Ogólny typ ataku, który może wykorzystywać różne, systematyczne podejścia do odgadywania możliwych haseł, ale nie stosuje żadnej podstawowej logiki. Jest to zwykle używane w przypadku plików lokalnych, ponieważ nie ma ograniczeń co do liczby prób
• Ataki słownikowe: Ten rodzaj ataku brute force wykorzystuje listę popularnych słów i haseł zamiast losowych iteracji. Może to poprawić wskaźnik sukcesu w porównaniu z czystym łamaniem haseł metodą brute force, ale często wymaga dużej liczby prób przeciwko możliwym celom, aby odgadnąć poprawne hasło.
• Hybrydowe ataki brute force: Atak hybrydowy wykorzystuje zarówno atak słownikowy, jak i regularne wzorce iteracyjne. Zamiast próbować wszystkich możliwych kombinacji, wykona drobne modyfikacje słów w słowniku, takie jak dodanie znaków specjalnych lub zmiana wielkości liter.
• Ataki na tęczową tabelę: wstępnie obliczona tabela do odwracania kryptograficznych funkcji skrótu, używana do odgadywania funkcji do określonej długości, składającej się z ograniczonego zestawu znaków
• Odwrotny atak brute force: Wykorzystuje zbiór typowych haseł do wielu możliwych nazw użytkowników w celu uzyskania dostępu. Zazwyczaj jest skierowany do użytkowników, o których wiadomo, że używają słabych haseł
• Upychanie danych uwierzytelniających: Wykorzystuje kombinacje nazwy użytkownika i hasła ujawnione w największych naruszeniach danych, wyciekach danych lub oszustwach phishingowych i wypróbowuje je na wielu stronach internetowych. Upychanie poświadczeń może mieć dobry wskaźnik sukcesu, ponieważ ludzie ponownie używają tej samej nazwy użytkownika i hasła w aplikacjach internetowych.

Jak zapobiegać atakom typu brute force

Ponieważ ataki brute force nie opierają się na lukach w zabezpieczeniach ani exploitach, aktualizowanie oprogramowania nie wystarczy, aby się chronić. Oto kilka typowych metod, których możesz użyć, aby zapobiec atakom brute force:

1. Używaj silnych haseł
2. Ograniczanie dostępu do adresów URL uwierzytelniania
3. Ogranicz próby logowania
4. Używanie CAPTCHA
5. Wymuszanie uwierzytelniania dwuskładnikowego (2FA) lub uwierzytelniania wieloskładnikowego (MFA)

Używaj silnych haseł

Ataki brute force polegają na ponownym użyciu lub słabych hasłach. Hasła, które mają następujące cechy, mogą zapobiegać atakom siłowym:

• Unikalny: Unikaj ponownego używania haseł, nawet jeśli są to skomplikowane hasła, ponieważ strony internetowe mogą zostać naruszone, a hasła mogą zostać złamane. Używając ponownie haseł, dajesz atakującym łatwy sposób na uzyskanie nieautoryzowanego dostępu do Twoich kont w innych witrynach.
• Długie: Wszystkie inne hasła są równe, dłuższe hasła są trudniejsze do złamania niż krótsze hasła. Na przykład hasło dziewięcioznakowe trwa znacznie dłużej niż hasło ośmioznakowe, a hasło ośmioznakowe trwa znacznie dłużej niż hasło siedmioznakowe. Gdy liczba znaków przekroczy pewien punkt, brutalne wymuszanie prawidłowo losowego hasła staje się nierealne.
• Złożone: Chociaż proste hasła są łatwe do zapamiętania, często są również łatwe do złamania. Sugerujemy skorzystanie z menedżera haseł do generowania solidnych haseł.

Przeczytaj nasz przewodnik, jak utworzyć silne hasło tutaj.

Użytkownicy iOS mogą dowiedzieć się, jak sprawdzić siłę swoich haseł tutaj.

Ograniczanie dostępu do adresów URL uwierzytelniania

Aby atak brute force zadziałał, musi być w stanie przetestować dane uwierzytelniające na stronie logowania. Wiele automatycznych adresów URL używa domyślnego adresu URL strony logowania i skanuje sieć w poszukiwaniu ofiar.

Na przykład narzędzie do ataku brute force może przeskanować sieć w poszukiwaniu witryn WordPress i przejść do /wp-login.php, domyślnej strony logowania WordPressa.

Zmiana /wp-login.php na /yoursite-login może wystarczyć, aby zmniejszyć ryzyko wielu zautomatyzowanych ataków. Niestety, nie zadziała to w przypadku bardziej ukierunkowanych ataków lub jeśli strona jest połączona z innych części witryny.

Ogranicz próby logowania

Ataki brute force polegają na możliwości wypróbowania wielu haseł i kont w jednej sesji. Rozważ użycie funkcji blokady, aby ograniczyć liczbę testów nieprawidłowego logowania.

Powszechnym sposobem na to jest tymczasowe zablokowanie logowania na adres IP po trzech nieudanych próbach, gdzie kolejne niepowodzenia są blokowane na coraz dłuższe okresy.

Używanie CAPTCHA

CAPTCHA to rodzaj testu wyzwanie-odpowiedź używany w informatyce w celu określenia, czy użytkownik jest człowiekiem. Korzystając z rozwiązania CAPTCHA, możesz uniemożliwić botom i zautomatyzowanym narzędziom testowanie kombinacji nazwy użytkownika i hasła w Twojej witrynie, zmuszając je do ukończenia wyzwania przed wysłaniem formularza.

reCAPTCHA to bezpłatna usługa bezpieczeństwa, która chroni Twoje witryny przed spamem, nadużyciami i atakami brute force zapewnianymi przez Google.

Wymuszanie uwierzytelniania dwuskładnikowego

Uwierzytelnianie dwuskładnikowe zapobiega naruszeniu konta przez pojedynczy składnik uwierzytelniania (np. hasło). Mechanizm zazwyczaj działa poprzez żądanie tradycyjnych danych logowania, a następnie wysłanie potwierdzenia na urządzenie, zwykle smartfona, takiego jak wiadomość tekstowa, rozmowa telefoniczna lub ekran weryfikacji bezpieczeństwa w aplikacji.

Idealnie byłoby, gdyby tylko upoważniona osoba miała smartfon i mogła akceptować lub odrzucać żądania uwierzytelnienia w razie potrzeby. Bardziej zaawansowane mechanizmy mogą wymagać uwierzytelniania biologicznego, takiego jak przesuwanie odcisku palca, które zapobiega wykorzystywaniu zgubionych lub skradzionych telefonów do fałszywego wystawiania potwierdzeń.

Popularne narzędzia do ataków brute force

Istnieje wiele popularnych narzędzi do ataków brute force:

• THC-Hydra: Obsługuje dużą liczbę kombinacji haseł za pomocą prostych ataków brute force lub ataków opartych na słowniku i może atakować ponad 50 protokołów i wiele systemów operacyjnych.
• Aircrack-ng: Pakiet oprogramowania sieciowego składający się z wykrywacza, sniffera pakietów, narzędzia do łamania zabezpieczeń WEP i WPA/WPA2-PSK oraz narzędzia do analizy dla bezprzewodowych sieci LAN 802.11. Może być używany w systemach Windows, Linux, iOS i Android i wykorzystuje słownik powszechnie używanych haseł w celu naruszenia bezpieczeństwa sieci.
• John the Ripper: Darmowe narzędzie do łamania haseł. Pierwotnie opracowany dla systemu operacyjnego Unix, może działać na piętnastu różnych platformach.
• L0phtCrack: Aplikacja do audytu i odzyskiwania haseł używana do testowania siły haseł i odzyskiwania utraconych haseł Microsoft Windows za pomocą ataków słownikowych, brute-force, hybrydowych i tęczowych.
• Hashcat: Narzędzie do odzyskiwania haseł, które było zastrzeżoną bazą kodu, dopóki nie zostało udostępnione na licencji open source w 2015 roku. Przykładami algorytmów haszujących obsługiwanych przez Hashcat są skróty LM firmy Microsoft, MD4, MD5, rodzina SHA, formaty Unix Crypt, MySQL i Cisco PIX.
• DaveGrohl: Brutalny łamacz haseł dla systemu MacOS. Obsługuje wszystkie standardowe skróty haseł użytkowników systemu Mac OS X (MD4, SHA-512 i PBKDF2) używane od czasu OS X Lion, a także może wyodrębnić je sformatowane dla innych popularnych programów do łamania haseł, takich jak John the Ripper.
• Ncrack: Unixowy program do łamania haseł zaprojektowany, aby umożliwić administratorom systemu zlokalizowanie użytkowników, którzy mogą mieć słabe hasła podatne na atak słownikowy.

Moduł naruszeń tożsamości UpGuard BreachSight wyszukuje naruszenia danych osób trzecich w otwartej, głębokiej i ciemnej sieci i pokazuje, gdzie ujawniono dane uwierzytelniające pracownika. Jeśli znajdziemy dopasowanie, dodamy nazwę naruszenia, ryzyko, ujawnione dane, datę naruszenia, datę publikacji, status powiadomienia i liczbę pracowników, którzy mają dostęp do Twojego konta UpGuard.

Waga naruszenia zależy od rodzaju i ilości ujawnionych danych. Na przykład naruszenie danych, które obejmuje hasła, może spowodować, że osoby atakujące uzyskają nieautoryzowany dostęp do organizacji przy użyciu ujawnionych poświadczeń. W tym przykładzie pracownicy muszą ponownie używać haseł w różnych usługach, co nie jest rzadkością.

Możemy również pomóc w ocenie innych mechanizmów kontroli zabezpieczeń, monitorując organizację pod kątem 70+ mechanizmów kontroli zabezpieczeń, które zapewniają prostą, łatwą do zrozumienia ocenę zabezpieczeń i automatycznie ujawniają dane w zasobnikach S3, serwerach Rsync, repozytoriach GitHub i nie tylko.

UpGuard Vendor Risk może zminimalizować ilość czasu, jaki Twoja organizacja poświęca na ocenę powiązanych i zewnętrznych kontroli bezpieczeństwa informacji, automatyzując kwestionariusze dostawców i udostępniając szablony kwestionariuszy dostawców. Możemy również pomóc Ci w natychmiastowym porównaniu obecnych i potencjalnych dostawców z ich branżą, dzięki czemu możesz zobaczyć, jak się prezentują.

Główną różnicą między UpGuard a innymi dostawcami ocen bezpieczeństwa jest to, że istnieją bardzo publiczne dowody na naszą wiedzę specjalistyczną w zapobieganiu naruszeniom danych i wyciekom danych.

Nasza wiedza została opisana w takich czasopismach jak The New York Times, The Wall Street Journal, Bloomberg, The Washington Post, Forbes, Reuters i TechCrunch. Możesz przeczytać więcej o tym, co mówią nasi klienci w recenzjach Gartnera.

Jeśli chcesz zobaczyć klasyfikację zabezpieczeń swojej organizacji, kliknij tutaj, aby poprosić o bezpłatną klasyfikację zabezpieczeń.