Brute Force Attack

Was ist ein Brute-Force-Angriff?

Cyberkriminelle sind immer auf der Suche nach Möglichkeiten, in IT-Systeme einzudringen. Zu den dabei verwendeten Methoden gehören Social-Engineering-Techniken wie Phishing, um Zugang zu Anmeldedaten zu erhalten. Eine weitere Methode, die immer noch verwendet wird, ist der Versuch, den Anmeldenamen und das Passwort für ein System zu erraten. Überraschenderweise waren 5 % aller im Jahr 2019 untersuchten Datenschutzverletzungen darauf zurückzuführen, dass Angreifer die Anmeldedaten erraten haben. Die Hauptmethode, mit der Angreifer Anmeldedaten erraten, besteht darin, mithilfe von Skripten Millionen von Kombinationen auszuprobieren, bis sie eine korrekte Kombination finden. Dies wird als Brute-Force-Angriff bezeichnet. Er wird so genannt, weil die Methode einfach ist und auf direktem Weg die Verteidigungsmaßnahmen durchbricht. Brute-Force-Angriffe beinhalten oft auch eine Erkundungsphase, in der versucht wird, so viele Informationen wie möglich über die Mitarbeiter des angegriffenen Unternehmens herauszufinden. Auf diese Weise können Passwörter, die leicht zu merken sind, erraten und im Brute-Force-Angriff ausprobiert werden. Gängige Kombinationen von Benutzernamen und Kennwörtern werden in Listen gespeichert und vor esoterischen und zufälligen Kombinationen ausprobiert. Brute-Force-Angreifer setzen auch häufig Botnets aus mit Malware infizierten Computern ein, damit die Versuche, ein Passwort zu erraten, auf mehrere Geräte verteilt werden können, um die Verarbeitungsleistung zu erhöhen. Dadurch verringert sich die Zeit, die benötigt wird, um alle Kombinationen für eine bestimmte Passwortlänge auszuprobieren. Brute-Force-Angriffsmethoden werden auch verwendet, um adressierbare URLs im Internet zu finden. Nicht alle URLs sind öffentlich oder werden von Suchmaschinen indiziert. Cyberkriminelle können versuchen, URLs für versteckte Websites auf einem Domänennamen zu erraten und dann andere Angriffsmethoden ausprobieren, um sie zu kompromittieren.

Arten von Brute-Force-Angriffen

Die Grundform eines Brute-Force-Attacks besteht darin, alle möglichen Kombinationen auszuprobieren, bis die richtige gefunden ist. Innerhalb dieses grundlegenden Ansatzes haben sich mehrere Methoden herausgebildet. Exhaustive key search: Heutige Computer sind so schnell, dass sie alle möglichen Kombinationen eines achtstelligen Passworts in etwa zwei Stunden durchprobieren können. Sie können auch jeden möglichen Hash für einen schwachen Verschlüsselungsschlüssel innerhalb von ein paar Monaten berechnen und ausprobieren. Dictionary attack: eine Liste gängiger Kennwörter und Anmeldenamen wird verwendet, um Systeme anzugreifen. Es werden alle möglichen Kombinationen ausprobiert. Credential recycling attack - eine Art von Wörterbuchangriff, bei dem das Wörterbuch aus früheren Angriffen auf andere Organisationen zusammengestellt wird. Menschen neigen dazu, dieselben gängigen Passwörter zu verwenden, wenn sie sich diese merken müssen. Reverse Brute-Force-Angriff- geht von der Annahme aus, dass viele Personen ein einfaches Kennwort wie "Passw0rd123" verwenden, und versucht dann, durch Brute-Force-Angriffe Kontonamen zu erraten, die dieses Kennwort enthalten.

Brute-Force-Angriffswerkzeuge

Leider müssen Möchtegern-Angreifer nicht über Kenntnisse in der Skripterstellung verfügen, um Brute-Force-Angriffsmethoden zu verwenden. Cyberkriminelle haben Tools entwickelt und zur Verfügung gestellt, so dass jeder sie nutzen kann.

Schutz vor Brute-Force-Angriffen

Brute-Force-Angriffe brauchen Zeit, und die Anmeldeversuche sind für Netzwerk-Monitoring-Tools sichtbar. Durch einige einfache Vorsichtsmaßnahmen bei den Anmeldeverfahren und Anmeldeinformationsregeln kann das Risiko von Brute-Force-Angriffen verringert werden. Nicht alle Unternehmen haben dies getan, wie die Erfolgsquote von 5% im Jahr 2019 zeigt. So schützen Sie sich vor Brute-Force-Angriffen:

• Erhöhen Sie die Länge und Komplexität von Passwörtern - erzwingen Sie lange und komplexe Passwörter. Diese langen und komplexen Passwörter sollten unmöglich zu merken sein. Um zu verhindern, dass Benutzer sie aufschreiben oder in einer reinen Textdatei speichern, um sie zu kopieren und einzufügen, sollten Sie ein verschlüsseltes Tool zur Verwaltung von Passwörtern einsetzen, das auf allen Computern und mobilen Geräten funktioniert. Verwenden Sie dieses Tool, um alle Kennwörter zu erstellen, sicher zu speichern und einzugeben. Stellen Sie sicher, dass das einzige einprägsame Passwort, das jeder Benutzer für den Zugriff auf das Passwort-Tool benötigt, ebenfalls sicher ist und häufig geändert wird.
• Anmeldeversuche begrenzen - Konten sollten so eingerichtet werden, dass die Anzahl der Anmeldeversuche in einem bestimmten Zeitraum begrenzt wird. Sperren Sie Konten nach einer bestimmten Anzahl fehlgeschlagener Anmeldeversuche. Suchen Sie nach Mustern in diesen Kontosperren, um zu sehen, ob es Hinweise auf einen Brute-Force-Angriff gibt.
• Captcha implementieren - verwenden Sie Captcha oder ein gleichwertiges Verfahren, um zu verifizieren, dass die Login-Versuche von Menschen und nicht von einem Bot stammen. LoadMaster unterstützt Captcha.
• Implementieren Sie eine Multi-Faktor-Authentifizierung: Benutzer, die erfolgreich eine korrekte Kombination aus Anmeldename und Kennwort eingegeben haben, müssen eine andere Form von identifizierenden Informationen angeben, z. B. eine PIN, die zufällig generiert wird und zeitlich begrenzt ist. LoadMaster unterstützt Multi-Faktor-Authentifizierungslösungen von mehreren Anbietern.