ブルートフォース攻撃の定義

ブルートフォース攻撃は、攻撃者 この単純だがリソース集約的な試行錯誤のアプローチは、通常、アクセスが許可されるまで、あらゆる可能な組み合わせを循環する自動化されたツール、スク,

“これは古い攻撃方法ですが、依然として効果的でハッカーに人気があります”とKasperskyの主要なセキュリティ研究者であるDavid Emm氏は述べています。 “ブルートフォース攻撃は、リモートネットワーク上のデバイスをターゲットにして、パスワード、パスフレーズ、ユーザー名、個人識別番号（Pin）などの個人情報を取得するために,”

しかし、パスワードが長くなり、保存された資格情報の暗号化が強くなるほど、必要な時間と計算能力が高くなるため、組織が攻撃の効率を低下させることができる可能性があり、攻撃者が正常に実行することはほとんど不可能です。

2017年には、英国とスコットランドの議会の両方がブルートフォース攻撃の犠牲になりましたが、一年後に北アイルランド議会で同様のしかし失敗した攻撃が起こりました。, 航空会社キャセイパシフィック航空は、十分な予防措置を欠いているため、英国のデータ規制当局によって£500,000の罰金を科された一年後、ブルートフォース 広告ブロックサービスの広告ガードも強制リセットのすべてのユーザーのパスワードの後、苦しみ、力攻撃ができます。

ブルートフォース攻撃の仕組み

ブルートフォース攻撃は、webサイトやアプリケーションのログインページをターゲットとするスクリプトやボットによって行われることが多い。 そのサイクルを通じて可能なキーまたはパスワードになります。, 代表的なアプリケーションなどのひび割れのパスワードのウェブサイトやアプリの暗号化またはAPIキー、SSHログイン.

Emmによると、パスワードクラッキング攻撃は、攻撃者のキルチェーンの一歩に過ぎません。 これは、ユーザー、電子メール、銀行、SaaSアカウントにアクセスしたり、Apiやログインと資格情報を必要とする他のサービスを侵害するために使用できます。

そこから、攻撃者は意図した目標を実行することができます。 “ブルートフォース攻撃に成功すると、サイバー犯罪者はネットワーク内のターゲットコンピュータにリモートアクセスできます。, “第一の目標はこれらの攻撃者は、個人情報を取得するために使用することができアクセスオンライン口座およびネットワーク資源です。 そこから、これらはフィッシングリンクを送信したり、偽のコンテンツを広めたり、第三者に販売するための資格情報を収穫したりするために使用”

“特定のサイトのパスワードを推測するプロセスは、面倒で時間のかかる作業になる可能性があるため、ハッカーはその後、仕事をより速くするためのツールを開発しました”とEmm氏は述べています。, “Brutus、Medusa、THC Hydra、Ncrack、John the Ripper、Aircrack-ng、Rainbowなどの名前で、ブルートフォース攻撃を支援する自動化ツールも利用できます。”

“多くは、一秒以内に単一の辞書の単語のパスワードを見つけることができます。 これらのようなツールは、多くのコンピュータプロトコル（FTP、MySQL、SMPT、Telnetなど）に対して動作し、ハッカーがワイヤレスモデムをクラックし、弱いパスワードを識別し、暗号化されたストレージ内のパスワードを復号化し、単語をleetspeakに変換することができます。’don’thackme’は’d0n7H4cKm3’になります。,”

ブルートフォース攻撃の成功は、パスワードを正常にクラックするのにかかる時間で測定されます。 として、パスワードの長さが増えるに要する時間割れす重要になります。 Cloudflareによると、七文字のパスワードは、毎秒15万のキー試行の割合で、クラックするのに9分かかります。 13文字のパスワードは350,000年以上かかります。

同様に、暗号化キーが長くなればなるほど、ブルートフォースによってそれを克服するのに必要な時間とリソースが増えます。, 128ビットの暗号化キーには2128の組み合わせがありますが、256ビットの暗号化では、攻撃者は2256の組み合わせを試みる必要があります。 それらをすべて推測するのに何兆年もかかる現在の技術で。

“パスワードの長さと複雑さに応じて、クラッキングには数秒から何年もかかることがあります”とEmmは言います。 “実際、IBMは、一部のハッカーが数ヶ月、時には数年間毎日同じシステムを対象としていると報告しています。,”

攻撃者がグラフィックスプロセッシングユニット（Gpu）を使用していても、パスワードの複雑さを増し、強力な暗号化を使用すると、パスワードを解読するのに必要な時間が実現可能なものを超えることができます。

ブルートフォース攻撃の種類

従来のブルートフォース攻撃：攻撃者は可能な限りすべての組み合わせを試みます。

逆ブルートフォース攻撃：少数の一般的なパスワードが多くのアカウントに対して繰り返し試行されます。,

資格の詰め物:攻撃のような盗難にユーザ名とパスワードサイトからのサービス別勘定その他サービス、アプリケーション.

辞書攻撃：辞書からの単語または他のデータ侵害からの一般的なパスワードを介して攻撃が循環します。

Rainbow table攻撃：平文のパスワードとそれに対応するハッシュ値の事前計算された辞書を使用して、攻撃者はハッシュ関数を逆にしてパスワードを決定,

リモートワークはブルートフォース攻撃を増加させます

Verizonのデータ侵害調査レポート2020によると、中小企業の侵害の20％未満がブルートフォースを伴い、大 この傾向は、報告書の2019年と2018年の反復からほとんど変わらなかったが、コロナウイルスのパンデミックによって状況が変わった可能性がある。

“COVID-19パンデミックの結果、世界中の企業は遠隔作業ポリシーを採用しており、サイバー脅威の状況に直接影響を与えています”とKasperskyのEmmは言います。, “ホームワーキングへの大量移行に続いて、サイバー犯罪者は論理的に、構成が不十分なRDPサーバーの数が増加し、したがって攻撃が増加すると結論づけています。”

“月の初めから、Bruteforceの数。ジェネリックRDP攻撃は世界中で急増しており、リモートアクセスインフラストラクチャへの攻撃は、リモートワーカーが利用できるようになった企業リソースの数を考えると、すぐに停止する可能性は低いです。,”

ブルートフォース攻撃に対するセキュリティ保護方法

ブルートフォース攻撃に対して確実な技術はありませんが、組織は攻撃に対してより多くの時間とコンピューティングリソースを必要とする多くの対策を講じることができ、ビジネスはあまり魅力的ではないターゲットになります。

• 暗号化された長く複雑なパスワードを使用します（理想的には256ビット暗号化で）。
• パスワードのハッシュを塩にします。, Emmは、同じパスワードを持つ従業員が異なるハッシュを持つように、文字列を別のデータベースに格納し、ハッシュされる前に取得してパスワードに追加する
• いパスワードポリシーに従業員に周りのパスワードの複雑さとパスワードの再利用、複数の勘定の合計。
• 特定の時間枠の間にログインの試行を制限するか、特定の数の誤った試行の後にリセットを必要とします。
• Rate-パスワードを認証するのにかかる時間を制限します。
• Sを有効にします。
• 可能な場合は、多要素認証を有効にします。,
• パスワードマネージャの使用を検討してください