Двумя наиболее часто используемыми методами для получения доступа к неавторизованным учетным записям являются (а) атака грубой силой^{(Brute Force Attack)} и (б) атака распылением пароля^{(Password Spray Attack)} . Ранее мы объясняли атаки грубой силы . ^{(Brute Force Attacks)}В этой статье основное внимание уделяется Атаке распыления пароля^{(Password Spray Attack)} — что это такое и как защитить себя от таких атак.

Определение атаки с распылением пароля

Атака распылением паролей^{(Password Spray Attack)} является полной противоположностью атаки грубой силы^{(Brute Force Attack)} . В атаках грубой силы^{(Brute Force)} хакеры выбирают уязвимый идентификатор и вводят пароли один за другим, надеясь, что какой-то пароль может их пропустить. По сути^(Basically) , перебор^{(Brute Force)} — это множество паролей, применяемых только к одному идентификатору.

Что касается атак Password Spray , то один пароль применяется к нескольким идентификаторам^(IDs) пользователей , так что по крайней мере один из идентификаторов пользователя скомпрометирован. Для атак Password Spray хакеры собирают несколько идентификаторов^(IDs) пользователей, используя социальную инженерию^{(social engineering)} или другие методы фишинга^{(phishing methods)} . Часто бывает так, что хотя бы один из этих пользователей использует простой пароль, например 12345678 или даже [email protected] . Эта уязвимость (или отсутствие информации о том, как создавать надежные пароли^{(create strong passwords)} ) используется в атаках Password Spray^{(Password Spray Attacks)} .

В атаке с распылением пароля^{(Password Spray Attack)} хакер применяет тщательно составленный пароль ко всем идентификаторам^(IDs) пользователей, которые он или она собрал. Если повезет, хакер может получить доступ к одной учетной записи, откуда он сможет проникнуть в компьютерную сеть.

Таким образом, атака с распылением паролей может быть определена как применение одного и того же пароля к нескольким учетным записям пользователей в организации для защиты несанкционированного доступа к одной из этих учетных записей.^{(Password Spray Attack can thus be defined as applying the same password to multiple user accounts in an organization to secure unauthorized access to one of those accounts.)}

Атака грубой силы^{(Brute Force Attack)} против атаки распылением пароля^{(Password Spray Attack)}

Проблема с атаками грубой силы^{(Brute Force Attacks)} заключается в том, что системы могут быть заблокированы после определенного количества попыток с разными паролями. Например, если вы настроили сервер так, чтобы он принимал только три попытки, иначе заблокируете систему, в которой происходит вход, система будет заблокирована всего за три неверных ввода пароля. Некоторые организации допускают три, в то время как другие допускают до десяти недействительных попыток. В наши дни многие веб-сайты используют этот метод блокировки. Эта мера предосторожности представляет собой проблему с атаками грубой силы^{(Brute Force Attacks)} , поскольку блокировка системы предупредит администраторов об атаке.

Чтобы обойти это, была создана идея сбора идентификаторов^(IDs) пользователей и применения к ним вероятных паролей. Хакеры также соблюдают определенные меры предосторожности при атаке с использованием распылителя пароля . ^{(Password Spray Attack)}Например, если они пытались применить пароль1 ко всем учетным записям пользователей, они не начнут применять пароль2 к этим учетным записям вскоре после завершения первого раунда. Они оставят период не менее 30 минут среди попыток взлома.

Защита от атак методом распыления пароля^{(Password Spray Attacks)}

Как Brute Force Attack , так и Password Spray могут быть остановлены на полпути при условии наличия соответствующих политик безопасности. Если пропустить 30-минутный перерыв, система снова заблокируется, если это предусмотрено. Также могут быть применены некоторые другие вещи, такие как добавление разницы во времени между входами в систему для двух учетных записей пользователей. Если это доли секунды, увеличьте время входа двух учетных записей пользователей. Такие политики помогают предупредить администраторов, которые затем могут отключить серверы или заблокировать их, чтобы в базах данных не выполнялись операции чтения-записи.

Первое, что нужно сделать, чтобы защитить свою организацию от атак с использованием распылителя паролей^{(Password Spray Attacks)} , — это рассказать своим сотрудникам о типах атак социальной инженерии, фишинговых атаках и важности паролей. Таким образом, сотрудники не будут использовать предсказуемые пароли для своих учетных записей. Другой метод — администраторы предоставляют пользователям надежные пароли, объясняя необходимость быть осторожными, чтобы они не записывали пароли и не прикрепляли их к своим компьютерам.

Есть несколько методов, которые помогают выявить уязвимости в ваших организационных системах. Например, если вы используете Office 365 Enterprise , вы можете запустить симулятор атаки , чтобы узнать, использует ли кто-либо из ваших сотрудников слабый пароль.

Читать далее^{(Read next)} : Что такое доменный фронт^{(Domain Fronting)} ?

Password Spray Attack Definition and Defending yourself

The two most commonly used methods to gain access to unauthorized accounts are (a) Brute Force Attack, and (b) Password Sprаy Attack. We have explained Brute Force Attacks earlier. This article focuses on Password Spray Attack – what it is and how to protect yourself from such attacks.

Password Spray Attack Definition

Password Spray Attack is quite the opposite of Brute Force Attack. In Brute Force attacks, hackers choose a vulnerable ID and enter passwords one after another hoping some password might let them in. Basically, Brute Force is many passwords applied to just one ID.

Coming to Password Spray attacks, there is one password applied to multiple user IDs so that at least one of the user ID is compromised. For Password Spray attacks, hackers collect multiple user IDs using social engineering or other phishing methods. It often happens that at least one of those users is using a simple password like 12345678 or even [email protected]. This vulnerability (or lack of info on how to create strong passwords) is exploited in Password Spray Attacks.

In a Password Spray Attack, the hacker would apply a carefully constructed password for all the user IDs he or she has collected. If lucky, the hacker might gain access to one account from where s/he can further penetrate into the computer network.

Password Spray Attack can thus be defined as applying the same password to multiple user accounts in an organization to secure unauthorized access to one of those accounts.

Brute Force Attack vs Password Spray Attack

The problem with Brute Force Attacks is that systems can be locked down after a certain number of attempts with different passwords. For example, if you set up the server to accept only three attempts otherwise lock down the system where login is taking place, the system will lock down for just three invalid password entries. Some organizations allow three while others allow up to ten invalid attempts. Many websites use this locking method these days. This precaution is a problem with Brute Force Attacks as the system lockdown will alert the administrators about the attack.

To circumvent that, the idea of collecting user IDs and applying probable passwords to them was created. With Password Spray Attack too, certain precautions are practiced by the hackers. For example, if they tried to apply password1 to all the user accounts, they will not start applying password2 to those accounts soon after finishing the first round. They’ll leave a period of at least 30 minutes among hacking attempts.

Protecting against Password Spray Attacks

Both Brute Force Attack and Password Spray attacks can be stopped midway provided that there are related security policies in place. The 30 min gap if left out, the system will again lock down if a provision is made for that. Certain other things also can be applied, like adding time difference between logins on two user accounts. If it is a fraction of a second, increase timing for two user accounts to log in. Such policies help in alerting the administers who can then shut down the servers or lock them down so that no read-write operation happens on databases.

The first thing to protect your organization from Password Spray Attacks is to educate your employees about the types of social engineering attacks, phishing attacks, and the importance of passwords. That way employees won’t use any predictable passwords for their accounts. Another method is admins providing the users with strong passwords, explaining the need to be cautious so that they don’t note down the passwords and stick it to their computers.

There are some methods that help in identifying the vulnerabilities in your organizational systems. For example, if you are using Office 365 Enterprise, you can run Attack Simulator to know if any of your employees are using a weak password.

Read next: What is Domain Fronting?

Related posts

• Эта функция требует съемных носителей - Password Ошибка сброса

• Установите Password Expiration Date для Microsoft Account and Local Account

• Как сделать Browser show сохраненного Password в Text вместо точек

• LessPass - бесплатный Password Generator and Manager

• Bitwarden Review: бесплатный Open Source Password Manager для Windows PC

• Как изменить свой пароль Google account

• Восстановить потерянный или забытый Outlook PST Password с бесплатными инструментами восстановления

• Forgot Windows Administrator Password Offline NT Password

• Reset Local Account password на Windows 10 с использованием Installation Media

• Trend Micro Password Manager для ПК Windows 10

• Безопасно ли сохранять пароли в Chrome, Firefox or Edge browser?

• Как импортировать пароли из Chrome на Firefox в Windows 10

• Настоящий Key Password Manager для Windows PC, Android and iPhone

• RandPass Lite - бесплатный bulk random password generator для Windows 10

• Google Passwords Manager позволяет вам надежно получить доступ к вашим паролям

• Как отключить встроенный Password Manager в Chrome, Edge, Firefox

• Включить и Manage Passwords & Form-fill в Edge browser

• Удалить все Saved Passwords сразу в Chrome, Firefox, Edge

• F-Secure KEY: Password Manager freeware для Windows 10

• Click здесь, чтобы войти в ваши последние сообщения сообщения в Windows 11