Опубліковано 12 липня 2020 р. • 13:00

атака

Ім'я користувача та пароль є частиною облікових даних доступу до безлічі програм, служб та ресурсів усіх видів. Просто встановлення слабких паролів може навіть призвести до фінансових втрат. На жаль, навіть якщо ми застосовуємо всі найкращі практики користувачів, кіберзлочинці продовжують розширювати та вдосконалювати свої знання, щоб певним чином їх порушити. атаки грубої сили Вони є одними з найпростіших у здійсненні, і в той же час вони є одними з найефективніших. Незважаючи на те, що неможливо повністю уникнути таких типів атак, ми рекомендуємо вам поглянути на цей посібник, який пояснить, з чого вони складаються. Крім того, ми збираємося рекомендувати заходи, які повинна застосовувати вся ІТ-підтримка для більш безпечного управління паролями користувачів ділової мережі.

Що таке атака грубої сили?

Він складається з нападу, під час якого кіберзлочинець робить кілька спроб вгадати ім'я користувача та пароль програми чи послуги. Можна подумати, що це надзвичайно кропітка діяльність, що вимагає багато ресурсів і багато годин. У реальному житті для виконання цієї роботи використовуються автоматичні інструменти, які використовують автоматичні сценарії та потужні комп'ютери з дуже хорошим процесором, а також графічний процесор, щоб максимально прискорити цей процес і мати можливість перевірити всі можливі комбінації облікових даних в найкоротші терміни.

Ми згадуємо той факт, що для цього потрібно багато ресурсів. Ми маємо на увазі обчислювальні ресурси. Основному персональному комп’ютеру знадобиться багато часу, щоб зламати пароль, якщо ви використовуєте будь-який із інструментів, що автоматизують атаки грубої сили, оскільки вони мають мільйони комбінацій даних. Навпаки, комп’ютери повинні бути оснащені найкращими з точки зору процесора, оперативної пам’яті, а також потужності графічного процесора.

Ці типи атак націлені на всі типи веб-програм, веб-сайтів та пов'язаних з ними служб. З іншого боку, API та служби, що використовують протокол SSH, також вразливі. Однак це найважливіша атака. Він служить мостом для багатьох інших. Після натискання комбінацій облікових даних можна отримати доступ до кількох типів персональних даних. Звичайно, найпривабливіші пов’язані з банківською, фінансовою та комерційною діяльністю. Подібним чином, будь-який тип даних, які можуть ідентифікувати вас, може бути дуже корисним для зловмисника для отримання певного виду доходу, особливо економічного.

Атака грубої сили та фішинг

І приватні, і ділові користувачі страждають від руйнів, спричинених фішингом. Пам’ятайте, що це полягає у надходженні електронних листів зі зловмисним вмістом. У багатьох випадках надходять повідомлення, у яких є відправники, які видаються законними, і навіть вміст повідомлення видається таким. Однак клацне посилання і звідти починаються проблеми. З іншого боку, ви можете натрапити на повідомлення, які чітко вказують на спроби фішингу, або через передбачувані адреси електронної пошти відправників, або орфографічні помилки в тексті повідомлень.

На жаль, багато людей не звертають уваги на такі деталі, як ті, які ми обговорювали, і в підсумку стаємо жертвами. Вони втрачають дані, починаючи від доступу до електронної пошти та закінчуючи банківськими реквізитами. Великий успіх фішингу багато в чому пов’язаний з тим, що облікові дані користувача та пароля надзвичайно слабкі. Не дивно, що в наші дні все ще існують паролі, такі як «123456», «tequieromucho» або «qwertyuiop». Однією з причин, чому виникає такий тип ситуації, є те, що користувачі у багатьох випадках не хочуть багато думати про захищений пароль або просто думають, що ніколи не стануть жертвами фішингу або подібних атак.

Типи нападів грубої сили

Далі ми перелічимо найпоширеніші типи нападів грубої сили. Від найпростіших у здійсненні до найскладніших. Найвідоміший метод, звичайно, традиційний. Він полягає в тому, що кіберзлочинець тестує найбільшу кількість комбінацій користувачів та паролів вручну. Кількість комбінацій, які ви можете спробувати, залежить від таких факторів, як походження користувачів, на яких ви орієнтуєтесь, особисті дані, які ви обробляєте про них, а також ви можете використовувати програми словникового типу. Останні полегшують генерацію комбінацій, заощаджуючи час, необхідний для обдумування цих комбінацій.

Зворотний напад

Тип атаки, який зазвичай є дуже ефективним, хоча і не вимагає особливих зусиль зворотна атака. Він складається з тестування декількох комбінацій паролів для великих груп користувачів. Чому обраний саме цей варіант атаки грубої сили? З того, що ми обговорювали вище, багато користувачів все ще мають дуже легкі для вгадування паролі. Аналогічним чином, ті користувачі, які отримують або мають доступ до імені користувача та пароля за замовчуванням (наприклад, маршрутизатори Wi-Fi), звикли їх не змінювати. Ця певна економія часу, яка виникає, не змінюючи паролів, особливо робить пристрої вразливими до атак.

Ще одна ситуація, яку варто обговорити - це ті, хто використовує камери відеоспостереження. Вони мають веб- та/або мобільний інтерфейс із певним іменем користувача та паролем. Звичайно, бажано змінити і ім’я користувача, і пароль. Однак багато людей цього не роблять і здебільшого піддають зловмисним людям доступ та керування своїми камерами. Шодан це добре відомий веб-портал, який характеризується простотою пошуку практично будь-якого комп’ютера, що має загальнодоступну IP-адресу, тобто простежувану в Інтернеті. Точно, одним з найпопулярніших пошуків є інтерфейси управління камерами безпеки, особливо ті, які за замовчуванням зберігають свої облікові дані доступу. Звичайно, це безцінне джерело для будь-якого кіберзлочинця, який хоче порушити ці системи безпеки. Крім того, багато компаній та приватні особи використовують подібні інструменти у професійних та освітніх цілях. Це може навіть допомогти визначити стратегії кращого захисту будь-якого простежуваного пристрою в мережі мереж.

Веселковий стіл

Він полягає у використанні словника із звичайним текстовим форматом, який попередньо комп’ютеризований. Крім того, вони також використовують хеш-значення кожного з попередньо обчислених паролів. Отже, зловмисник намагається змінити хеш кожного з них. Звичайно, це надзвичайно просто зробити за допомогою спеціальних програм та достатніх обчислювальних ресурсів.

Словникові атаки

Насправді не атака грубої сили перевіряє всі можливі комбінації, але словники є одним з основних інструментів для будь-якого кіберзлочинця, який здійснює атаки на злом паролів. З чого він складається? Вони являють собою набори фраз, які генеруються за певними правилами. Наприклад, що потенційні паролі мають числові, буквено-цифрові ряди або що вони містять різні спеціальні символи під час створення кожного пароля. Wifislax - це популярний інструмент злому мережі Wi-Fi, де ви можете знайти повний набір інструментів та отримати всебічні знання про нього. Серед доступних інструментів є генератори словників. Ми повторюємо той факт, що ці програми можуть споживати багато обчислювальних ресурсів.

Як ефективно захистити свої рахунки

На додаток до типових порад щодо вибору захищених паролів, які точно не означають чогось або дають підказки, що ідентифікують вас та інших, добре згадати заходи, яких повинен дотримуватися кожен, хто відповідає за управління користувачами мережі. Цікавою рекомендованою практикою є те, що паролі ніколи не зберігаються в базах даних, лише хеш паролів і, якщо можливо, використовується хеш, спеціально орієнтований на паролі.

З іншого боку, не слід нехтувати політикою створення паролів. Важливо не лише підвищити обізнаність про використання надійних паролів швидше, самі політики наполягають на повідомленнях про те, чи достатньо надійний пароль. Подібним чином вони повинні вказати, чи дотримуються всі правила створення зазначених паролів. Поки користувач хоче увійти до свого робочого середовища в компанії або віддалено, він повинен мати обмеження на кількість спроб протягом певного часу, і що, наприклад, після трьох спроб він вже заблокував вхід і виконує скинути.

За необхідності та відповідно до програми, послуги чи ресурсу, в який користувач входить, рекомендується використовувати методи CAPTCHA та багатофакторну автентифікацію. Це надзвичайно корисно, щоб гарантувати, що законним користувачем є той, хто входить в систему.