パスワードスプレー攻撃: それらを検出して軽減するにはどうすればよいですか?

アカウント ロックアウトのしきい値を設定すると、ハッカーがユーザー アカウントのパスワードを推測するブルート フォース攻撃を実行するのを防ぐことができます。しかし現在、ハッカーはログイン試行のロックアウト設定を回避するためにパスワード スプレー攻撃を利用することが増えています。

従来のブルート フォース攻撃と比較すると、パスワード スプレー攻撃は実行が比較的簡単で、検出率は低くなります。

では、パスワード スプレー攻撃とは実際には何ですか。どのように機能し、どのように防ぐことができますか。また、パスワード スプレー攻撃を修復するには何をすべきでしょうか?確認してみましょう。

パスワードスプレー攻撃とは何ですか?

パスワード スプレー攻撃は、一部のパスワードがユーザー アカウントへのアクセスに役立つことを期待して、組織内の複数のアカウントに一般的に使用されるパスワードをスプレーするサイバー攻撃の一種です。

ハッカーは、社内の複数のアカウントに対して、一般的に使用される単一のパスワードを使用します。最初の試行でどのアカウントにもアクセスできなかった場合、数日後に別のパスワードに移行してパスワード スプレーを実行します。

企業アカウントにアクセスできるまでこのプロセスを繰り返します。単一のアカウントに対して短期間に複数のパスワードを使用しないため、ログイン試行のロックアウト設定により、試行の過剰な失敗によってアカウントがブロックされることはありません。

企業ネットワークに入ると、悪意のある目的を達成するためにさまざまな活動を実行できます。

最近ではユーザーが複数のアカウントを持っています。アカウントごとに強力なパスワードを作成するのは面倒な作業であり、ましてやパスワードを覚えておくのは困難です。

そのため、多くのユーザーはプロセスを容易にするために簡単なパスワードを作成します。しかし、簡単なパスワードは人気があり、よく知られています。誰でも Google で最も一般的なパスワードを検索し、最もよく使用されるパスワードのリストを取得できます。このシナリオにより、パスワード スプレー攻撃の増加が加速しました。

デジタル ワークスペースおよびエンタープライズ ネットワークのベンダーである Citrix は 、2018 年 10 月 13 日と 2019 年 3 月 8 日の間に、パスワード スプレー活動により脅威アクターが社内ネットワークにアクセスしたことを確認しました。

Microsoft は、250 を超える Office 365 顧客に対する パスワード スプレー攻撃も検証しました 。

パスワードスプレー攻撃はどのように機能するのでしょうか?

パスワード スプレー攻撃を成功させる 3 つのステップは次のとおりです。

#1. ユーザー名のリストを収集する

パスワード スプレー攻撃を実行するための最初のステップは、組織内のユーザー名のリストを入手することです。

通常、企業はユーザー名に標準化された規則を採用し、ユーザーの電子メール アドレスを、関連付けられたアカウントのデフォルトのユーザー名にします。最も一般的に使用される電子メール形式は名.姓@会社名.com であるため、ユーザーの電子メール アドレスを推測するのにほとんど労力はかかりません。

攻撃者は、企業の Web サイト、従業員の LinkedIn プロフィール、またはその他の関連するオンライン プロフィールにアクセスすることによって、ユーザーの電子メール アドレスを知ることもできます。

あるいは、ダークウェブからすぐに入手できるユーザー名のリストを購入することもできます。

#2. スプレーパスワード

ユーザー名のリストを入手したら、「最も一般的なパスワードのリスト」を探します。 Google や Bing の検索を使用すると、ハッカーは特定の年の一般的なパスワードのリストをすぐに入手できます。成功の可能性を高めるために、ハッカーはユーザーの地理的位置に応じて一般的に使用されるパスワードのリストを微調整する場合があります。

たとえば、人気のスポーツ チームや選手、文化活動、音楽などを考慮に入れることができます。組織がシカゴを拠点としている場合、ハッカーは Chicago Bears と一般的に使用されるパスワードを組み合わせて、パスワードをスプレーする可能性があります。

複数のアカウントに対して 1 つのパスワードをスプレーした後、アカウントのロックアウトを避けるために、次のスプレー攻撃を開始するまで少なくとも 30 ～ 50 分間待機します。

ハッカーはさまざまな自動ツールを使用して、スプレー プロセスを自動化できます。

#3. アカウントにアクセスする

スプレー攻撃が成功すると、攻撃者はユーザー アカウントにアクセスできるようになります。攻撃者は、侵害されたアカウントの権限に基づいて、マルウェアのインストール、機密データの窃取、不正購入など、さまざまな悪意のある活動を実行する可能性があります。

また、攻撃者が企業ネットワークに侵入できると仮定します。その場合、彼らは横方向の移動を通じてネットワークを深く掘り下げ、価値の高い資産を検索し、権限を増やすことができます。

パスワード スプレー vs クレデンシャル スタッフィング vs ブルート フォース攻撃

パスワード認証情報スタッフィング攻撃では、攻撃者は 1 つの組織から盗んだ認証情報を使用して、さまざまなプラットフォーム上のユーザー アカウントにアクセスします。

脅威アクターは、多くの人が同じユーザー名とパスワードを使用して複数の Web サイトで自分のアカウントにアクセスしているという事実を利用します。データ侵害事件の増加により、より多くのログイン認証情報が公開されるようになり、ハッカーが認証情報スタッフィング攻撃を実行する機会が増えています。

一方、ブルートフォース攻撃では、試行錯誤を利用してパスワードやログイン資格情報を解読します。サイバー犯罪者は、さまざまな組み合わせをテストして正しいパスワードを推測しようとします。彼らはブルートフォース攻撃ツールを使用してプロセスを高速化します。

ログイン試行のロックアウト設定により、システムが短期間にあまりにも多くのログイン試行の失敗を検出すると、問題のアカウントがブロックされるため、ブルート フォース攻撃を防ぐことができます。

パスワード スプレー攻撃では、ハッカーは組織内の複数のアカウントに対して、一般的に使用される単一のパスワードを試みます。攻撃者は 1 つのアカウントに対してさまざまなパスワードを短時間で試行することはないため、パスワード スプレー攻撃はログイン試行のロックアウト設定を回避できます。

パスワードスプレーが会社に与える影響

パスワード スプレー攻撃が成功すると、会社にどのような影響が及ぶかを次に示します。

• 組織内のアカウントに不正アクセスすることで、攻撃者は機密情報、財務記録、顧客データ、企業秘密を漏洩する可能性があります。
• 脅威アクターは、侵害されたアカウントを使用して、不正な取引や不正な購入を行ったり、ビジネス アカウントから資金を吸い上げたりする可能性があります。
• ハッカーが社内のユーザー アカウントに不正アクセスすると、重要なデータを暗号化し、復号キーと引き換えに身代金を要求する可能性があります。
• パスワード スプレー攻撃はデータ侵害を引き起こす可能性があり、会社の財務的および評判の損失につながる可能性があります。データ侵害インシデントは、顧客の信頼の低下を引き起こす可能性があります。その結果、彼らは自社のビジネスを競合他社に持ち込むことができます。
• データ侵害に対応し、弁護士に相談し、外部のサイバーセキュリティ専門家を雇用するためのリソースが必要になります。そのため、パスワード スプレーは大幅なリソースの浪費を引き起こします。

一言で言えば、パスワード スプレー攻撃が成功すると、ビジネスのさまざまな側面に連鎖的な影響が及びます。これには、財務的、運営的、法的、評判上の影響が含まれる可能性があります。

パスワードスプレー攻撃を検出する方法

パスワード スプレー攻撃の重要な兆候は次のとおりです。

• 短期間に大量のログイン アクティビティが発生していることに気づきました。
• 短期間に複数のアカウントに対して大量のパスワードが拒否されました。
• 非アクティブなユーザーまたは存在しないユーザーからのログイン試行が観察されます。
• ユーザーの既知の場所と地理的に一致しない IP アドレスからのログイン試行があります。
• 奇数時間または営業時間外に複数のアカウントにアクセスしようとします。そして、これらのアカウントへのログインには一度に 1 つのパスワードが使用されます。

パスワード スプレー攻撃を検出するには、有効なアカウントのシステムおよびアプリケーションのログイン失敗の認証ログを確認する必要があります。

パスワードスプレー攻撃を修復する方法

ハッカーがパスワード スプレー攻撃を試みていると疑われる場合は、次のアクション ポイントに従ってください。

• 従業員に、すべてのパスワードを直ちに変更し、MFA をまだ変更していない場合は MFA を有効にするよう指示してください。
• エンドポイント検出および対応 (EDR) ツールを導入して、企業のエンドポイントでの悪意のあるアクティビティを追跡し、パスワード スプレー攻撃が発生した場合のハッカーの横方向の移動を防ぎます。
• データ盗難やデータ暗号化の兆候がないか確認し、すべてのアカウントが安全であることを確認した後、バックアップからデータを復元する計画を立てます。データ セキュリティ ソリューションを導入してデータを保護します。
• セキュリティ製品の感度を強化して、複数のシステム間で失敗したログイン試行を識別します。
• イベント ログを確認して、何が、いつ、どのように起こったかを把握し、インシデント対応計画を改善します。

ハッカーは、権限を昇格するためにソフトウェアの脆弱性を悪用しようとします。したがって、従業員がすべてのソフトウェア アップデートとパッチをインストールするようにしてください。

パスワードスプレー攻撃を防ぐ方法

以下は、ハッカーがパスワード スプレー攻撃によってユーザー アカウントにアクセスするのを防ぐためのいくつかの戦略です。

#1. 強力なパスワードポリシーに従う

パスワード スプレー攻撃は、推測されやすい弱いパスワードをターゲットとします。強力なパスワード ポリシーを導入すると、従業員はハッカーがオンラインで推測したり見つけたりできない、強力で複雑なパスワードの作成を強制されます。その結果、組織内のユーザー アカウントはパスワード スプレー攻撃から保護されます。

パスワード ポリシーに組み込むべき重要なポイントは次のとおりです。

• パスワードは、大文字、小文字、特殊文字を含めて 12 文字以上にする必要があります。
• パスワード拒否リストが必要です。つまり、ユーザーはパスワードに生年月日、出生地、役職、または愛する人の名前を含めるべきではありません。
• すべてのパスワードは一定期間後に期限切れになります。
• すべてのユーザーは、アカウントごとに異なるパスワードを作成する必要があります。
• ログイン試行が複数回失敗した場合にユーザー アカウントをブロックするには、アカウント ロックアウトしきい値を設定する必要があります。

優れたパスワード ツールを導入すると、ユーザーが強力なパスワードを作成し、最も一般的なパスワードの使用を避けることができます。

最高評価のパスワード マネージャーは、パスワードがデータ侵害で公開されているかどうかを判断するのに役立ちます。

#2. 多要素認証 (MFA) を強制する

多要素認証 (MFA) は、アカウントに追加のセキュリティ層を追加します。 MFA を有効にすると、オンライン アカウントへのアクセスを許可する前に、ユーザー名とパスワードに加えて 1 つ以上の検証要素を送信することがユーザーに要求されます。

企業に多要素認証を実装すると、ブルート フォース攻撃、辞書攻撃、パスワード スプレー攻撃、その他の種類のパスワード攻撃からオンライン アカウントを保護できます。これは、脅威アクターが SMS、電子メール、またはパスワード認証アプリを介して送信される追加の検証要素にアクセスできないためです。

さらに、多要素認証により、オンライン アカウントがキーロガー攻撃から保護されます。

#3. パスワードレス認証の実装

パスワードレス認証では、生体認証、マジック リンク、セキュリティ トークンなどを利用してユーザーを認証します。アカウントへのアクセスにパスワードが使用されないため、ハッカーはパスワード スプレー攻撃を実行できません。

したがって、パスワードレス認証は、ほとんどのパスワード攻撃を防ぐ確実な方法です。社内のアカウントを保護するために、これらのパスワードレス認証ソリューションを検討してください。

#4. 模擬攻撃を実行して準備をテストする

模擬パスワード スプレー攻撃を実行して、従業員がパスワード スプレー攻撃と戦う準備ができているかを確認する必要があります。これは、パスワード セキュリティ体制をより深く理解し、社内のパスワード セキュリティを強化するために必要な手順を実行するのに役立ちます。

#5. ログイン検出ツールを導入する

不審なログイン試行を検出するには、リアルタイム監査ツールを設定する必要があります。適切なツールを使用すると、単一のホストからの短期間にわたる複数のアカウントへの不審なログイン試行、複数の非アクティブなアカウントへのログイン試行、営業時間外の多数のログイン試行などを特定するのに役立ちます。

不審なログイン アクティビティを発見したら、アカウントへの不正なアクセスの試みをブロックする是正措置を講じることができます。これらのアクションには、侵害されたアカウントのブロック、ファイアボール設定の変更、多要素認証の有効化などが含まれます。

#6. 従業員をトレーニングする

従業員は、ユーザーのアカウントをパスワードスプレー攻撃から保護する上で重要な役割を果たします。従業員が強力なパスワードを作成し、アカウントで多要素認証を有効にしない場合、技術的なセキュリティ管理はどれだけ優れていても機能しません。

そのため、サイバーセキュリティ意識向上プログラムを定期的に実施して、さまざまなパスワード攻撃とその防止方法について従業員を教育してください。十分に複雑なパスワードの作成方法を理解していることを確認してください。

結論

パスワード スプレー攻撃は、アカウント侵害、データ侵害、将来のサイバーセキュリティ攻撃など、会社に重大な損害を与える可能性があります。したがって、社内のパスワードのセキュリティを強化する必要があります。

厳格なパスワード ポリシーの適用、MFA の実装、パスワードレス認証の採用、ログイン検出ツールの導入、従業員のトレーニングは、パスワード スプレー攻撃を防ぐのに役立ちます。

また、会社のユーザー名規則を選択する際には、創造性を発揮するように努める必要があります。通常の名前 (名.二名@会社名.com) の使用をやめてください。

社内のアカウントのセキュリティを強化するには、パスワードなしの認証用のマジック リンク プラットフォームを検討してください。