ブルートフォースログイン攻撃とは何ですか（そしてそれらを防ぐ方法）？

サイバー攻撃はより巧妙になり、ハッカーはデータを盗み、Webサイトやデータベースにアクセスするための巧妙な方法をますます見つけています。 ハッカーがWebサイトにアクセスする主な方法の1つは、ブルートフォースログインまたはブルートフォース攻撃を使用することです。

ブルートフォース攻撃とは、攻撃者がシステムへの不正アクセスを取得するための正しい組み合わせを推測することを期待して、複数のパスワードを送信することを指します。 ハッカーが使用するソフトウェアは、多くの場合、Webサイト、電子メールアカウント、またはその他のデータベースへのエントリを数秒で保護できます。

ユーザー名とパスワードが保護されるまで試行が活発かつ継続的に実行されるため、ブルートフォースと呼ばれます。 ブルートフォース攻撃は単純ですが、暗号化キーを解読し、秘密にしておきたいファイルにアクセスするための非常に効果的な手段です。

ブルートフォース攻撃はどのように機能しますか？

基本的なレベルでは、ブルートフォースログインは可能なパスワードを推測するのと同じくらい簡単です。 しかし、重要なのは、答えに到達するまで複数のバリエーションを試すことです。

可能なパスワードが長いほど、より多くのバリエーションを試す必要があります。 2桁のパスコードには100の可能性があり、5桁のパスコードには100億の可能性があります。 また、ほとんどのパスコードは単なる数字ではないという事実についても考えてみてください。 アルファベット、大文字、特殊文字が含まれています。 これが、弱いパスワードが複雑なパスワードよりも推測しやすい理由です。

Webサイトが複雑なパスワードの使用を要求する理由を疑問に思ったことがある場合は、この画像が説明に役立つ場合があります。

ご覧のとおり、ブルートフォース攻撃を使用すると、1秒以内に単純なパスワードを解読できます。 しかし、複雑になるほど、妥協するのに時間がかかります。

したがって、Webサイトへのブルートフォース攻撃を回避する主な方法の1つは、すべてのユーザーに長くて複雑なパスワードを要求することです。 実際、パスワードセキュリティは現在、さまざまな形態のサイバー攻撃に対する最初の防衛線と見なされています。

もう1つの問題は、必要な計算能力が非常に大きいため、ブルートフォースボットを使用すると、計算速度が向上し、システムへのアクセスがさらに容易になることです。

総当たり攻撃のフラグが立てられないのはなぜですか？

ブルートフォースログインの試行中にハッカーが検出を回避する方法は複数あります。

1.複数のIPを使用します

間違ったパスワードを入力した結果として失敗したログイン試行が多すぎる場合、ほとんどのシステムでは、しばらく待ってから再試行するか、完全にロックアウトするように求められます。 では、なぜこれらのハッカーは同じ運命をたどらないのでしょうか？

ブルートフォースログインの試行は、複数のコンピューターとIPアドレスを含む狡猾で体系的な方法で実行されます。

使用される1つの戦術は分散攻撃と呼ばれ、各IPは限られた回数だけパスワードを推測しようとし、その後完全に停止します。 その後、別のIPが代わりに使用されます。

さて、これを大規模に増やし、数十または数百のボットが一度にログインしようとしますが、安全メカニズムをトリガーするのに十分な回数は試みません。

2.彼らはただ推測しているだけではありません

ブルートフォース攻撃では、ハッカーは入手可能な情報に基づいて行動します。 たとえば、ほとんどの人は多くのプラットフォームで同じパスワードを使用しているため、別のプラットフォームからのデータ侵害はかなり良い出発点です。 これは、ハッカーがパスワードに適合するユーザー名を見つけるまで複数のユーザー名を試行するため、逆ブルートフォース攻撃として知られています。

他の戦術もあります。 たとえば、ハッカーは、「password」、「admin」、「iloveyou」、「1234567890」などの標準的な単語を使用してパスワードを実行する辞書攻撃を使用する可能性があります。

辞書攻撃は、単純なパスワードを分解する一般的な方法であり、驚くほど成功し、頻繁に使用されます。 ハッカーは、辞書攻撃と基本的なブルートフォース攻撃を組み合わせたハイブリッドブルートフォース攻撃を使用することもあります。

ブルートフォース攻撃の有名な例

アリババ（2015）

有名なブルートフォース攻撃の例の1つは、AlibabaのTaoBaoサイトです。 2015年10月から11月の間に、eコマースの巨人はブルートフォース攻撃を受けましたが、セキュリティチームはこれを検出できませんでした。 この場合、TaoBaoのトラフィックが一貫して多いため、過剰なログイン試行にはフラグが立てられませんでした。

報告によると、ハッカーが他のサイトから盗んだアカウントのクレデンシャルを再利用したため、再利用されたパスワードが侵害されたアカウントの一部の原因でした。 ハッカーは9,900万を超えるアカウント資格情報を使用しており、2,000万を超えるユーザーアカウントプロファイルをハッキングすることに成功しました。

クラブニンテンドー（2013）

クラブニンテンドーは、ユーザーが任天堂のすべてについて話し合うコミュニティメンバーシップサイトです。 2013年、このサイトはブルートフォース攻撃を受け、1500万回の試行の後、ハッカーがついにユーザーアカウントをクラックしました。

ありがたいことに、侵害されたすべてのアカウントは、正当な所有者に返還されるまですぐに停止されました。 報告によると、この攻撃は25,000人を超えるフォーラムメンバーに影響を及ぼしました。

GitHub（2013）

Githubは、間違いなく歴史上最大のブルートフォース攻撃の例です。 2013年、ハッキングは40,000近くの一意のIPアドレスから数回試行した後、複数のユーザーアカウントへのアクセスを取得しました。 報告によると、ハッカーは他のデータ漏洩から得られた情報を使用していました。

Githubはユーザーのパスワードを安全に保存します。侵害されたアカウントの数は不明ですが、推定では非常に少ないことが示されています。

ブルートフォース攻撃の目的は何ですか？

ユーザーデータは、私たちのデジタル世界で非常に価値があります。 支払い情報や税金の詳細から、メールアドレスやパスワードへのアクセスまで。 これらがブルートフォース攻撃の主な理由です。

ユーザーデータへのアクセス

多くのユーザーデータを含むWebサイトは、ブルートフォース攻撃の標的になることがよくあります。 成功すると、ハッカーはユーザーアカウントにアクセスできるだけでなく、他のWebサイトでもこれらのログイン情報を使用できるようになります。

実際、既知のユーザー詳細のデータベースを使用すると、ハッカーはインターネット上のWebサイトでこれらの収集された詳細を使用してブルートフォース攻撃を実行できます。

Webリソースを活用する

総当たり攻撃のWordPressログインなどの特定のハッキングにより、攻撃者はWebサイトのリソースを有利に利用しようとします。 たとえば、彼らはあなたのウェブサイトを使用して、あなたの知らないうちにスパムやフィッシングメールを送信したいと思うかもしれません。 あなたのIPはおそらくまだブラックリストに載っていないため、ハッカーはあなたのサイトを使用して他のサイトをハッキングする可能性もあります。

WordPressログインをブルートフォースする他の理由には、暗号通貨のマイニングやサイトのトラフィックのリダイレクトが含まれます。

脆弱性を調査する

ホワイトハッカーは、倫理的なハッカーまたはハクティビストと呼ばれることが多く、悪意はありません。 代わりに、システムのセキュリティの強さをテストして脆弱性を取り除き、報告します。 したがって、ホワイトハットハッカーは、セキュリティチェックの一環として、Webサイトに対してブルートフォース攻撃を実行する可能性があります。

ブルートフォース攻撃をどのように防ぎますか？

サイバーセキュリティのほとんどの要素と同様に、ブルートフォース攻撃の防止はいくつかの簡単な手順で実行できます。

複雑なパスワードを使用する

確認されたデータ侵害の10件中8件は、パスワードの脆弱性または盗難によるものです。前述の辞書攻撃です。 したがって、開始するのに最適な場所は、パスワードが次のとおりであることを確認することです。

• 強い（文字、数字、特殊文字の組み合わせ）
• すべてのプラットフォームでユニーク
• 12文字以上

一般的なパスワードを使用した自動ブルートフォース攻撃は、数秒でWebサイトまたはユーザーアカウントに侵入する可能性があります。

ログインを特定のIPアドレスに制限する

特定のIPアドレスがサイトにアクセスするのを制限することで、ブルートフォース攻撃を阻止することもできます。 多くのセキュリティデータベースには、ブルートフォースボットのIPアドレスの記録があります。 これらのIPアドレスをブロックすることにより、ハッカーはWebサイトに正常にアクセスするためにさらに一生懸命働く必要があります。

これを行う1つの方法は、静的IPアドレスにリモートアクセスポートを設定することです。 VPNを構成することもできます。

二要素認証を使用する

二要素認証は、ブルートフォース攻撃に対する最初の防衛線と見なされることがよくあります。 ハッカーがユーザー名とパスワードだけでデータにアクセスできないようにします。 彼らはあなたのスマートフォンや電子メールクライアントも必要とするでしょう。

サーバーログを監視する

サーバーログを注意深く監視することは、ブルートフォース攻撃からWebサイトを保護するためのより積極的な方法です。 ログには、失敗したログイン試行がすべて記録され、それらを分析することで、疑わしいアクティビティを特定できます。

Logwatchなどのツールを使用して、毎日のチェックを実行し、簡単に解釈できるレポートを生成します。

サイトでのボットの活動を防ぐ

ブルートフォース攻撃は通常、自動化されたボットによって実行されるため、この形式のトラフィックをブロックすることは、それらを回避するための最も効果的な方法の1つです。

ClickCeaseのボットザッピングは、WordPressWebサイトのボットトラフィックをブロックします。 これは、SEOスパム、DDoS攻撃、ブルートフォース攻撃などのサイバー攻撃が予防的かつリアルタイムで防止されることを意味します。

ユーザーデータベース、チェックアウト機能を備えたサイトを運営している場合、またはトラフィックの多いサイトを管理している場合でも、ボットトラフィックをブロックすることを重要なセキュリティ機能として検討する必要があります。

ブルートフォース攻撃を超えて

ブルートフォース攻撃はさまざまな理由で損害を与える可能性がありますが、オンラインビジネスへの脅威は多種多様です。 そして、前述のように、それはしばしばボットに帰着します。

悪意のあるボットは、インターネット上での悪意のある有害な活動の大部分を引き起こします。 したがって、ネットワークセキュリティに注意を払い、あらゆる種類のボットがWebサイトにアクセスできないようにすることは、次のことから保護できることを意味します。

• データ侵害とそれに続く評判への損害
• マルウェアのインストールやコンテンツの挿入など、Webサイトのインフラストラクチャへの損傷
• DDoSまたはランサムウェア攻撃でWebサイトがオフラインになりました
• クリック詐欺と有料広告キャンペーンに損害を与える広告詐欺

ClickCeaseのボットザッピングは、マーケター向けの不正防止ツールキットの一部としての新製品です。 現在、WordPressサイトはインターネットの40％を占めていますが、WordPressWebサイトでのみ機能します。

既存のClickCeaseユーザーは、ボットザッピングの無料の月を実行して、それがどのように機能するかを確認できます。

新規ユーザーは、無料トライアルにサインアップして、サイトでトラフィック監査を実行できます。