В 2019 году похищение данных в компании Citrix всколыхнуло мир кибербезопасности. Злоумышленники похитили документы с общего сетевого диска и с диска, связанного с веб-инструментом, используемым в консалтинговой практике Citrix. Хакеры получили доступ к ІТ-инфраструктуре Citrix с помощью атаки распыления паролей – техники, которая эксплуатирует слабые пароли. В свою очередь это привело к критике в адрес гиганта ПО, который безосновательно скомпрометировал своих клиентов, не разработав надежную стратегию использования паролей.
Citrix – далеко не единственная компания, которая имеет проблемы с безопасностью паролей. Когда в начале 2019 года команда исследователей угроз провела сканирование всех учетных записей пользователей Microsoft, они обнаружили, что 44 миллиона пользователей использовали те же имена и пароли, которые уже были обнародованы в Интернете после взломов в других онлайн-сервисах.
Атаки распыления паролей невозможно предотвратить, но их можно обнаружить и даже остановить. В этой статье объясняется, как разворачивается этот тип атак, как их можно обнаружить и как уменьшить риск стать следующей целью.
Что такое атака распыления паролей?
Типичные брутфорс-атаки нацелены на одну учетную запись, подбирая несколько паролей для получения доступа к ней. Современные протоколы кибербезопасности могут обнаружить эту подозрительную активность и заблокировать учетную запись, если за короткий промежуток времени происходит слишком много неудачных попыток входа.
Распыление паролей (password spraying) меняет обычную стратегию, пытаясь войти в несколько учетных записей пользователей, используя много распространенных паролей. Попытка ввести один пароль для многих разных учетных записей, а затем попробовать другой пароль для тех же учетных записей, обходит обычные протоколы блокировки, позволяя злоумышленнику подбирать все новые и новые пароли.
К сожалению, атаки с распылением паролей часто бывают успешными, поскольку многие пользователи не придерживаются лучших практик работы с паролями. На самом деле 200 самых распространенных паролей, утечка которых произошла в результате утечек данных в 2019 году, включали очевидные комбинации чисел, такие как «12345», распространенные имена и само слово «пароль». Любой злоумышленник, который нацелен на достаточно большое количество имен пользователей и работает с достаточно большим банком распространенных паролей, обязательно сможет скомпрометировать некоторые аккаунты.
Хотя такой охват всего и сразу, скорее всего, принесет по крайней мере несколько хороших результатов, современные хакеры полагаются на более точный подход. Они нацеливаются на пользователей, которые используют аутентификацию с помощью единого входа (single sign-on, SSO), надеясь угадать учетные данные, что дадут им доступ к нескольким системам или приложениям. Они также обычно нацелены на пользователей, которые используют облачные сервисы и приложения с федеративной аутентификацией. Такой подход может позволить злоумышленникам расширять атаку, поскольку федеративная аутентификация помогает маскировать вредоносный трафик.
После того как учетная запись была скомпрометирована в результате атаки распыления паролей, цель атаки может понести временную или постоянную потерю конфиденциальной информации. Для организаций успешная атака может также означать сбой в работе, значительные потери доходов и репутационные убытки.
Как обнаружить атаку распыления паролей?
Хотя обычные контрмеры не могут автоматически обнаруживать атаки с распылением паролей, есть несколько надежных индикаторов, на которые стоит обратить внимание. Наиболее очевидным является большое количество попыток аутентификации, особенно неудачных попыток из-за неправильных паролей, в течение короткого промежутка времени. Конечно, тесно связанным с этим индикатором является всплеск блокировки аккаунтов.
Во многих случаях распыление паролей приводит к внезапному всплеску попыток входа через порталы SSO или облачные приложения. Злоумышленники могут использовать автоматизированные инструменты, чтобы осуществить тысячи попыток входа в течение короткого времени. Часто эти попытки осуществляются с одного IP-адреса или одного устройства.
Как уменьшить риск пострадать от атаки распыления паролей?
Хотя крайне важно иметь возможность быстро выявлять успешные атаки, предоставление злоумышленникам даже короткого доступа к конфиденциальным данным может иметь разрушительные последствия. Надежная стратегия кибербезопасности требует комплексного, проактивного подхода, который обеспечивает многоуровневую защиту для блокировки как можно большего количества атак. Следует обязательно придерживаться этих лучших практик:
- Ввести многофакторную аутентификацию для всех пользователей.
- Создать надежную политику восстановления паролей после блокировки учетных записей.
- Разработать надежную стратегию выбора паролей для общих учетных записей.
- Проводить регулярные тренинги для пользователей, чтобы убедиться, что все пользователи понимают угрозу распыления паролей и то, как они могут придумывать и хранить безопасные пароли.
Как решения Netwrix могут помочь?
Лучший способ защитить свою организацию от атак распыления паролей – это инвестировать в инструмент ІТ-безопасности, который может надежно обнаруживать и блокировать эти атаки с помощью комплексного аудита, оповещения и отчетности.
Netwrix Auditor может предупредить о различных подозрительных действиях, в том числе о событиях, указывающих на атаку распыления паролей, чтобы пользователи могли немедленно отреагировать и защитить свои системы и данные. Кроме того, он обеспечивает мощный аудит и отчетность. Основные функции включают:
- Аудит и оповещения Active Directory. Netwrix Auditor отслеживает входы в Active Directory и другие действия пользователей, включая все успешные и неудачные попытки входа. Можно настроить оповещения о подозрительной активности, включая отдельные действия. Например, получение пользователем прав администратора. Также настраиваются оповещения о последовательности действий за определенный промежуток времени. Например, более 4 неудачных попыток входа в систему за 1 минуту. К тому же можно легко просмотреть полную историю входов любого пользователя.
- Аналитика поведения пользователей. Консолидированное представление о необычной активности и ранжирование субъектов риска облегчает обнаружение скомпрометированных учетных записей и злонамеренных инсайдеров на ранней стадии, чтобы принять меры для избежания угроз безопасности.
- Анализ поведения пользователей и слепых зон. Выявление злоумышленников, путем анализа активности пользователей в нерабочее время, попыток входа нескольких пользователей с одной конечной точки, а также попыток входа одного пользователя с нескольких конечных точек.
Netwrix Auditor также помогает укрепить систему безопасности, чтобы быть менее уязвимыми к атакам распыления паролей. В частности, это позволяет:
- Внедрять лучшие практики политики паролей с полной видимостью настроек политики и уведомлениями об изменениях.
- Отслеживать сброс паролей в Azure AD, чтобы поддерживать надежную защиту в облаке.
- Обнаруживать и защищать учетные записи, которые не требуют паролей либо чьи пароли настроены так, чтобы их срок действия никогда не заканчивался.
- Обнаруживать и отключать неактивные учетные записи, прежде чем ими смогут воспользоваться злоумышленники.
Таким образом, с помощью Netwrix Auditor можно обнаружить злоумышленников на ранней стадии и проактивно блокировать их проникновение в сеть.
