Hai phương pháp được sử dụng phổ biến nhất để truy cập vào các tài khoản trái phép là (a) Brute Force Attack và (b) Password Spray Attack . Chúng tôi đã giải thích Brute Force Attacks trước đó. Bài viết này tập trung vào Password Spray Attack - nó là gì và cách bảo vệ bạn khỏi những cuộc tấn công như vậy.

Định nghĩa Tấn công bằng Phun mật khẩu

Password Spray Attack hoàn toàn ngược lại với Brute Force Attack . Trong các cuộc tấn công Brute Force , tin tặc chọn một ID dễ bị tấn công và nhập mật khẩu lần lượt với hy vọng một số mật khẩu có thể cho phép họ xâm nhập. Về cơ bản^(Basically) , Brute Force là nhiều mật khẩu được áp dụng cho chỉ một ID.

Đến với các cuộc tấn công Password Spray , có một mật khẩu được áp dụng cho nhiều ID^(IDs) người dùng để ít nhất một trong các ID người dùng bị xâm phạm. Đối với các cuộc tấn công Password Spray , tin tặc thu thập nhiều ID^(IDs) người dùng bằng cách sử dụng kỹ thuật xã hội^{(social engineering)} hoặc các phương pháp lừa đảo khác^{(phishing methods)} . Thường xảy ra rằng ít nhất một trong số những người dùng đó đang sử dụng mật khẩu đơn giản như 12345678 hoặc thậm chí [email được bảo vệ]^{([email protected])} . Lỗ hổng này (hoặc thiếu thông tin về cách tạo mật khẩu mạnh^{(create strong passwords)} ) được khai thác trong Password Spray Attacks .

Trong một cuộc tấn công bằng mật khẩu^{(Password Spray Attack)} , tin tặc sẽ áp dụng một mật khẩu được xây dựng cẩn thận cho tất cả các ID^(IDs) người dùng mà anh ta hoặc cô ta đã thu thập được. Nếu may mắn, tin tặc có thể truy cập vào một tài khoản mà từ đó, anh ta / anh ta có thể thâm nhập sâu hơn vào mạng máy tính.

Do đó, Password Spray Attack có thể được định nghĩa là việc áp dụng cùng một mật khẩu cho nhiều tài khoản người dùng trong một tổ chức để bảo mật truy cập trái phép vào một trong những tài khoản đó.^{(Password Spray Attack can thus be defined as applying the same password to multiple user accounts in an organization to secure unauthorized access to one of those accounts.)}

Brute Force Attack vs Password Spray Attack

Vấn đề với Brute Force Attacks là các hệ thống có thể bị khóa sau một số lần thử nhất định với các mật khẩu khác nhau. Ví dụ: nếu bạn thiết lập máy chủ chỉ chấp nhận ba lần thử, nếu không sẽ khóa hệ thống nơi đăng nhập đang diễn ra, hệ thống sẽ khóa chỉ ba lần nhập mật khẩu không hợp lệ. Một số tổ chức cho phép ba lần trong khi những tổ chức khác cho phép tối đa mười lần thử không hợp lệ. Ngày nay, nhiều trang web sử dụng phương pháp khóa này. Đề phòng này là một vấn đề với Brute Force Attacks vì việc khóa hệ thống sẽ cảnh báo cho quản trị viên về cuộc tấn công.

Để phá vỡ điều đó, ý tưởng thu thập ID^(IDs) người dùng và áp dụng mật khẩu có thể xảy ra cho họ đã được tạo ra. Với Password Spray Attack cũng vậy, tin tặc sẽ thực hiện một số biện pháp phòng ngừa nhất định. Ví dụ: nếu họ đã cố gắng áp dụng password1 cho tất cả các tài khoản người dùng, họ sẽ không bắt đầu áp dụng password2 cho các tài khoản đó ngay sau khi kết thúc vòng đầu tiên. Họ sẽ để lại khoảng thời gian ít nhất 30 phút giữa các lần tấn công.

Bảo vệ chống lại các cuộc tấn công bằng Phun mật khẩu^{(Password Spray Attacks)}

Cả hai cuộc tấn công Brute Force Attack và Password Spray đều có thể bị dừng giữa chừng với điều kiện là có các chính sách bảo mật liên quan. Khoảng cách 30 phút nếu bị bỏ qua, hệ thống sẽ lại khóa nếu có điều khoản cho việc đó. Một số thứ khác cũng có thể được áp dụng, chẳng hạn như thêm chênh lệch thời gian giữa các lần đăng nhập trên hai tài khoản người dùng. Nếu đó là một phần của giây, hãy tăng thời gian để hai tài khoản người dùng đăng nhập. Các chính sách như vậy giúp cảnh báo những người quản trị sau đó có thể tắt hoặc khóa máy chủ để không có thao tác đọc-ghi nào xảy ra trên cơ sở dữ liệu.

Điều đầu tiên để bảo vệ tổ chức của bạn khỏi Các cuộc tấn công bằng mật khẩu^{(Password Spray Attacks)} là giáo dục nhân viên của bạn về các loại tấn công kỹ thuật xã hội, tấn công lừa đảo và tầm quan trọng của mật khẩu. Bằng cách đó, nhân viên sẽ không sử dụng bất kỳ mật khẩu nào có thể đoán được cho tài khoản của họ. Một phương pháp khác là quản trị viên cung cấp cho người dùng những mật khẩu mạnh, giải thích sự cần thiết phải thận trọng để họ không ghi lại mật khẩu và dán nó vào máy tính của họ.

Có một số phương pháp giúp xác định các lỗ hổng trong hệ thống tổ chức của bạn. Ví dụ: nếu bạn đang sử dụng Office 365 Enterprise , bạn có thể chạy Trình mô phỏng tấn công để biết liệu có bất kỳ nhân viên nào của bạn đang sử dụng mật khẩu yếu hay không.

Đọc tiếp theo^{(Read next)} : Domain Fronting là gì?

Password Spray Attack Definition and Defending yourself

The two most commonly used methods to gain access to unauthorized accounts are (a) Brute Force Attack, and (b) Password Spray Attack. We have explained Brute Force Attacks earlier. This article focuses on Password Spray Attack – what it is and how to protect yourself from such attacks.

Password Spray Attack Definition

Password Spray Attack is quite the opposite of Brute Force Attack. In Brute Force attacks, hackers choose a vulnerable ID and enter passwords one after another hoping some password might let them in. Basically, Brute Force is many passwords applied to just one ID.

Coming to Password Spray attacks, there is one password applied to multiple user IDs so that at least one of the user ID is compromised. For Password Spray attacks, hackers collect multiple user IDs using social engineering or other phishing methods. It often happens that at least one of those users is using a simple password like 12345678 or even [email protected]. This vulnerability (or lack of info on how to create strong passwords) is exploited in Password Spray Attacks.

In a Password Spray Attack, the hacker would apply a carefully constructed password for all the user IDs he or she has collected. If lucky, the hacker might gain access to one account from where s/he can further penetrate into the computer network.

Password Spray Attack can thus be defined as applying the same password to multiple user accounts in an organization to secure unauthorized access to one of those accounts.

Brute Force Attack vs Password Spray Attack

The problem with Brute Force Attacks is that systems can be locked down after a certain number of attempts with different passwords. For example, if you set up the server to accept only three attempts otherwise lock down the system where login is taking place, the system will lock down for just three invalid password entries. Some organizations allow three while others allow up to ten invalid attempts. Many websites use this locking method these days. This precaution is a problem with Brute Force Attacks as the system lockdown will alert the administrators about the attack.

To circumvent that, the idea of collecting user IDs and applying probable passwords to them was created. With Password Spray Attack too, certain precautions are practiced by the hackers. For example, if they tried to apply password1 to all the user accounts, they will not start applying password2 to those accounts soon after finishing the first round. They’ll leave a period of at least 30 minutes among hacking attempts.

Protecting against Password Spray Attacks

Both Brute Force Attack and Password Spray attacks can be stopped midway provided that there are related security policies in place. The 30 min gap if left out, the system will again lock down if a provision is made for that. Certain other things also can be applied, like adding time difference between logins on two user accounts. If it is a fraction of a second, increase timing for two user accounts to log in. Such policies help in alerting the administers who can then shut down the servers or lock them down so that no read-write operation happens on databases.

The first thing to protect your organization from Password Spray Attacks is to educate your employees about the types of social engineering attacks, phishing attacks, and the importance of passwords. That way employees won’t use any predictable passwords for their accounts. Another method is admins providing the users with strong passwords, explaining the need to be cautious so that they don’t note down the passwords and stick it to their computers.

There are some methods that help in identifying the vulnerabilities in your organizational systems. For example, if you are using Office 365 Enterprise, you can run Attack Simulator to know if any of your employees are using a weak password.

Read next: What is Domain Fronting?

Related posts

• Tính năng này yêu cầu phương tiện di động - Lỗi đặt lại Password

• Đặt Password Expiration Date cho Microsoft Account and Local Account

• Cách tạo Browser show đã lưu Password bằng Text thay vì dấu chấm

• LessPass là Password Generator and Manager miễn phí

• Bitwarden Review: Open Source Password Manager miễn phí cho Windows PC

• Key Password Manager đúng đối với Windows PC, Android and iPhone

• Cách bật hoặc tắt Reveal Password button bằng Microsoft Edge

• Ngăn chặn pwned Password Add-on cho Firefox

• Làm thế nào để di chuyển Microsoft Authenticator đến một điện thoại mới

• Zoho Vault Password Manager Free Version & Chrome & Firefox extension

• Quản lý, edit and view mật khẩu đã lưu bằng Chrome trên Windows PC

• Làm thế nào để nhập mật khẩu từ Chrome để Firefox trong Windows 10

• Làm thế nào để tạo ra mật khẩu trong Google Chrome sử dụng Password Generator

• Kích hoạt và Manage Passwords & Form-fill trong Edge browser

• Reset Local Account password trên Windows 10 sử dụng Installation Media

• Password Security Scanner: Analyze và kiểm tra sức mạnh của mật khẩu của bạn

• secure online password generator miễn phí để tạo mật khẩu ngẫu nhiên

• SafeInCloud Password Manager Đồng bộ hóa Database với tài khoản Cloud

• Cách xuất mật khẩu LastPass sang CSV

• F-Secure KEY: Password Manager freeware cho Windows 10