从0day漏洞利用到多态恶意软件，当今组织面临日益复杂的网络威胁。尽管网络攻击技术持续升级，但对于通过蛮力进行的暴力攻击仍旧不能忽视。忽视防范暴力攻击可能会使原本防御良好的系统变得脆弱，就像强链中被忽视的薄弱环节一样。
什么是暴力攻击技术
暴力破解技术的核心是一种破坏访问凭证的方法。攻击者利用计算能力系统地测试大量密码组合，直到找到正确的密码。
这些攻击的有效性通常取决于两件事：目标密码的强度和适当的防御措施。
各种暴力攻击
穷举搜索： 此方法会测试每种可能的字符组合，直到找到正确的密码。
字典攻击：这些攻击使用常见密码和短语列表，利用人类选择容易记住(和猜到)的密码的倾向。
反向暴力破解(Password Spray)：此方法不是针对特定用户帐户，而是针对多个用户名测试单个通用密码(例如 Password12345)。
混合技术：混合技术攻击结合了穷举方法和基于字典的方法的元素，为攻击者的密码猜测尝试增加了一定程度的复杂性。
机制和漏洞
根据 Verizon 的数据，89% 的违规行为涉及人为因素，包括使用被盗凭证或暴力破解方法。此统计数据凸显了强大的密码策略和用户教育的重要性。暴力破解技术利用了薄弱的密码实践和不充分的安全协议。它们的有效性源于几个因素，包括：
计算能力：现代硬件每秒可以测试数百万种组合。
密码重复使用：许多用户在多个帐户中重复使用相同的密码。
可预测的模式：攻击算法很容易考虑常见的替换(例如，用“3”代替“E”)。最终用户通常会以大写字母开头，以1或!以满足复杂性要求。暴力攻击可以先尝试这些组合类型。
现实生活中的影响
最近戴尔的网络安全漏洞说明了暴力攻击的破坏性具备的潜力。据报道，一名攻击者连续数周以每分钟数千次的请求轰炸戴尔合作伙伴门户网站，访问了多达4900万客户的数据。
这一事件凸显了即使是大型科技公司也存在的漏洞，表明对看似低风险的入口点的持续攻击可能导致大规模数据泄露。
加强对暴力攻击的防御
多层防御策略是减轻暴力破解技术影响的有效方法。关键部分包括：
实施强大的密码策略
确保密码至少有15个字符，包括大小写字母、数字和特殊字符，鼓励最终用户创建高强度密码。
实施多重身份验证 (MFA)
MFA 通过要求除密码之外的其他验证来增加一层安全性。Microsoft 的一项研究发现，MFA 可以阻止 99.9% 的自动攻击，使其成为网络安全武器库中的得力工具。
监控和限制登录尝试
自动锁定：不要让攻击者轻易继续尝试。将系统配置为在特定次数的登录尝试失败后临时锁定账户。
渐进式延迟：为了减慢自动攻击的速度，增加登录尝试失败之间的等待时间。
执行定期安全审计
定期评估整个组织的密码强度。利用工具来获得有关密码生态系统潜在漏洞的见解。
最终用户培训及提示
制定全面的培训计划，让最终用户了解强密码的重要性以及与不良密码卫生相关的风险。强调每个人在维护组织安全方面都发挥着重要作用。
参读链接：
