Password spraying все още работи: защита на входната врата

Password spraying е изпробване на малък брой често използвани пароли срещу множество акаунти. При внимателно темпо този подход може да избегне ограничения, настроени само за многократни опити срещу един потребител. Обясняваме защо атаката продължава да работи и как да съобразите защитите с нея.

Как разпръскването се различава от грубата сила

Brute force концентрира много предположения върху един профил. Password spraying разпределя малко предположения между много профили, понякога достатъчно бавно, за да избегне конкретни прагове. То все пак може да задейства блокиране, рискови контроли или откриване. Сезонните пароли са вероятна цел, а не гаранция, че някой ги е избрал.

Къде нападателите разпръскват

• Изложени уеб поща и SSO портали — OWA, Microsoft 365, ADFS, всяка страница за вход, достижима от интернет.
• VPN шлюзове — често без многофакторно удостоверяване и пряк път към вътрешната мрежа.
• Вътрешни SMB/LDAP — щом нападателят има опорна точка, разпръскването в домейна е бързо и тихо.

Потребителските имена идват от едно и също място всеки път: LinkedIn, корпуси от изтекли данни и предвидимият формат first.last@, който повечето фирми използват. Изграждането на списък с цели е разузнаване, не хакерство.

Как да го спрете

• Многофакторно удостоверяване навсякъде външно. Единственият контрол с най-висока стойност. Разпръскването намира парола; многофакторното удостоверяване спира тя да се превърне в достъп. Предпочитайте фактори, устойчиви на фишинг.
• Забранете слабите и сезонните пароли. Проверявайте новите пароли срещу списъци с изтекли данни и очевидни шаблони. Companyname1 и Autumn2020! трябва да е невъзможно да бъдат зададени.
Откривайте модела, без да събирате пароли. Корелирайте неуспешните влизания по профили, източници, устройства, време и рискови сигнали от доставчика. Обичайните authentication logs не разкриват опитаната парола; не добавяйте записване на пароли, за да реализирате детектор.
• Интелигентно блокиране и контроли по география и скорост. Облачните доставчици на идентичност предлагат такива; включете ги и ги настройте.

Разпръскването е игра на числа, която възнаграждава търпението. Печелите, като направите числата лоши: няма слаби пароли за намиране, многофакторно удостоверяване зад всяка врата и известие в момента, в който някой започне да брои.

Пропускът в многофакторното удостоверяване, който нападателите търсят

MFA е ценна за интерактивните профили, но покритието и устойчивостта на фишинг имат значение. Премахнете ненужните legacy пътища само с парола и прегледайте изключенията. Неинтерактивните услуги не могат просто да отговорят на MFA prompt: използвайте подходящи workload идентичности, управлявани credentials или сертификати с ограничени права и наблюдение. Защитете аварийния достъп чрез отделно проектиран и редовно проверяван процес.

След разпръскването: какъв достъп дава една парола

Компрометираният акаунт може да бъде начало на по-широка атака. Достъпът до пощенска кутия може да разкрие вътрешна кореспонденция, инструкции за VPN или възможност за създаване на правила за препращане. Проектирайте защитите с допускането, че отделен акаунт може да бъде компрометиран. Ограничете последствията чрез многофакторно удостоверяване, минимални права и наблюдение за необичайни действия и вътрешно разузнаване.

Как разпръскването се промъква покрай интелигентното блокиране

Интелигентното блокиране и контролите по скорост повишават цената на разпръскването, но не го прекратяват. Цялата предпоставка на едно разпръскване е търпението, а нападател, който третира праговете за откриване като бюджет, а не като стена, просто ще харчи бавно. Разбирането на формата на това заобикаляне, по същество, е това, което позволява на защитника да настрои защитите си спрямо него.

• Бавно и ниско темпо. Вместо много опита в минута, нападателят опитва по една парола срещу всеки акаунт и после изчаква часове или дни преди следващия кръг, оставайки под броячите за всеки акаунт и за цялата среда, които се нулират в плъзгащ се период.
• Разсейване на интервалите. Случайни интервали между опитите разбиват подписа на фиксирания интервал, върху който се основават простите правила, така че трафикът никога не образува подредения периодичен модел, който наивен детектор очаква.
• Ротация на източниците. Разпределянето на опитите през много домашни или облачни изходни адреси преодолява ограничаването по IP, защото нито един източник никога не прекосява праг. Провалите са видими само когато броите по идентичност, а не по адрес.
• Разпределяне по акаунти. Едно предположение, разпръснато през хиляди потребителски имена, държи всеки отделен акаунт под неговия лимит за блокиране, като същевременно изпробва една популярна парола срещу цялата директория.

Остарели протоколи с базово удостоверяване, които заобикалят MFA

Най-надеждният начин да бъде подминато многофакторното удостоверяване е да се използва врата, която никога не е научила да пита за него. По-старите пътища за удостоверяване — остарелите пощенски протоколи, крайните точки с базово удостоверяване и определени механизми с пароли за приложения — се удостоверяват само с потребителско име и парола и не могат да отправят предизвикателство за втори фактор. Разпръскване, което намери валидни данни за достъп и после ги възпроизведе през един от тези пътища, наследява влязла сесия, без никога да докосне подканата за многофакторно удостоверяване. Затова организации със силно многофакторно удостоверяване на уеб портала все пак страдат от завладяване на акаунти: данните за достъп са били правилни, а нападателят просто е избрал протокола, който не е могъл да наложи политиката.

Устойчиво на фишинг многофакторно удостоверяване: защо FIDO2 и passkeys променят сметката

FIDO2/WebAuthn обвързва удостоверяването с легитимната страна и origin, като устоява на обичаен credential phishing и replay. Това не прави целия профил защитен срещу кражба на сесия, компрометиран клиент или слаб recovery процес. Синхронизираните passkeys също се различават от строго обвързаните с устройство ключове: описвайте защитата според конкретния authenticator и внедряване.

Условен достъп, сигнали за риск и разработване на механизми за откриване

Последният слой е да спрете да оценявате удостоверяването като единично преминал/непреминал и да започнете да го оценявате с точки. Условният достъп претегля сигнали — съответствие на устройството, управляван статус, мрежа, география, риск на потребителя и на влизането — и повишава до по-силно предизвикателство или блокира направо, когато картината изглежда погрешна. Влизане, което е правилно по данни за достъп, но е необичайно, все пак трябва да се докаже. Разработването на механизми за откриване след това превръща телеметрията в известия, по които човек може да действа.