.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
惡意行為者通常以用戶和管理員憑據為目標，因為他們希望使用它們來訪問敏感數據。據Verizon 稱，在2021 年受到社會工程攻擊的數據中，憑證佔高達85%。為了竊取用戶憑證，黑客可以使用惡意軟件或各種密碼破解方法。
薄弱的密碼策略和缺乏防止密碼破解的保護是導致帳戶洩露的兩個最常見的漏洞。
在本文中，我們討論了密碼破解的危險並提供了減少惡意身份驗證嘗試的最佳實踐。我們還探討了Fail2ban 服務如何幫助您保護對用戶帳戶的訪問，並提供有關如何配置Fail2ban 的分步指南，以及分享我們在Viber 聊天機器人中配置Fail2ban 通知的經驗。
本文將幫助Web 產品所有者和軟件開發團隊識別並消除其Linux 服務器的漏洞。
什麼是密碼破解？要訪問Web 應用程序，用戶需要在系統內創建配置文件。為此，用戶通常會創建一個登錄名和密碼作為用於保護帳戶訪問的憑據。根據申請類型，他們可能還必須提供其他數據，如個人信息、消息和銀行賬戶。所有這些數據對威脅行為者都很有價值，他們可以嘗試使用各種密碼竊取方法從不同的應用程序訪問用戶配置文件。
在開發Web 應用程序時，必須牢記密碼被盜的風險並實施強大的安全機制來減輕這些風險。否則，如果攻擊者設法訪問用戶帳戶並暴露個人信息，Web 應用程序提供商可能會面臨客戶流失和聲譽受損等後果。如果用戶決定將案件告上法庭，他們也可能承擔經濟損失。
密碼破解的後果
竊取用戶數據的一種方法是破解密碼。
這種方法的主要目標是猜測應用程序或計算機服務的密碼。該技術本身不一定是惡意的，它可以作為一種目標漏洞驗證技術用於安全測試。
密碼破解是從存儲在計算機系統中或通過網絡傳輸的密碼哈希中恢復密碼的過程。它通常在評估期間執行，以識別密碼較弱的帳戶。
在應用密碼破解技術時，黑客通常會使用特殊的應用程序和工具，這些應用程序和工具會應用多個憑據變體，直到找到正確的一對。密碼破解應用程序用於猜測密碼的每秒憑據數取決於攻擊者計算機的性能。此外，猜測用戶密碼所需的時間取決於密碼強度。
密碼破解方法有多種：
密碼破解攻擊的類型
字典攻擊是一種通過系統地輸入字典中的每個單詞作為密碼來訪問IT 資源的方法。黑客經常使用破解詞典，其中存儲了常用的密碼和熟悉的單詞，例如不同語言的名稱和地點。此類詞典還可能包括黑客收集和添加的先前被盜的用戶憑證。字典攻擊是一種快速猜測弱口令的方法，但對於不常見的強口令，它們通常不會成功。
蠻力攻擊是一種直接的試錯法，它著重於生成所有可能的密碼，達到一定長度。黑客檢查所有密碼組合，包括所有字母、數字和特殊符號的組合，從可能的最小密碼長度開始。可能組合的數量取決於密碼的長度。理論上，這種破解方法的成功率是100%。這只是時間問題，因為短密碼可以在幾分鐘內猜出，而非常長且複雜的密碼可能需要數十年才能破解。
彩虹襲擊。大多數應用程序使用哈希加密用戶密碼，並以加密形式存儲它們。黑客使用存儲預先計算的密碼哈希值的彩虹表來破解數據庫中的密碼哈希值。
網絡釣魚。通過網絡釣魚，攻擊者誘使用戶單擊電子郵件附件或URL 鏈接，引導他們登錄到虛假版本的Web 應用程序並洩露他們的密碼。
反向蠻力。惡意行為者使用針對多個用戶名的通用密碼來訪問帳戶。
憑據填充。如果黑客知道受感染帳戶的用戶名和密碼，他們可以嘗試在該用戶可能擁有帳戶的多個系統中使用此組合。據Security eMagazine報導，53% 的人承認對不同的帳戶使用相同的密碼。
希望攻擊者無法破解您的Web 應用程序用戶的密碼不是一種選擇。因此，讓我們探討如何保護用戶數據免遭密碼破解，並減輕帳戶洩露帶來的網絡安全風險。
保護Web 應用程序免遭密碼破解的7 種方法為保護您產品的用戶帳戶不被洩露，您需要實施綜合方法。下面，我們將討論緩解密碼破解的七種最必要的網絡安全實踐。
保護Web 應用程序免遭密碼破解的7 種方法
1. 出台嚴格的密碼管理政策密碼越複雜，黑客破解它們的難度就越大。確保您的開發人員配置您的應用程序的密碼規則，以防止用戶創建弱憑據。
創建密碼規則列表時，請考慮研究頂級技術組織推薦和使用的內容。例如，您可以查看NIST 特別出版物800-63-3 數字身份指南中的密碼策略建議，並了解Microsoft 365和IBM Security Privileged Identity Manager等可靠產品推薦的密碼安全性。
密碼策略的常見最佳做法包括：
密碼應包含特殊符號、數字以及大小寫字母。
最小密碼長度應為八個符號。越長越好。
密碼應在指定的時間段內到期並更改：每月一次、每三個月一次、每年兩次等。
您的應用程序應具有密碼歷史記錄，以便當用戶更改密碼時，它可以根據所有以前的密碼檢查新密碼。只有當新密碼實際上是新的時，才應批准新密碼。
2.更改管理帳戶名稱避免使用明顯的管理帳戶用戶名，例如“administrator”、“admin”或“root”。此類用戶名很可能成為威脅行為者發起密碼破解攻擊的首要目標。
3.啟用多重身份驗證使用多重身份驗證(MFA) 保護用戶對您的應用程序的訪問。此類身份驗證工具使用戶在登錄應用程序之前執行兩個或更多步驟。
第一步通常需要傳統的登錄名和密碼。在以下步驟中，可能會要求用戶從短信中輸入安全代碼、使用令牌、提供指紋等。
即使威脅行為者成功猜出憑據，MFA 也將成為訪問用戶帳戶的另一個障礙。
4.建立用戶活動監控考慮將用戶活動監控解決方案作為Web 應用程序安全性的一部分。此類解決方案收集有關您基礎設施內所有用戶活動的信息，因此如果出現可能是密碼破解攻擊跡象的異常用戶行為，您可以發現它。
用戶監控解決方案通常與人工智能驅動的訪問控制工具等複雜軟件一起使用，這些軟件可以分析收集到的用戶活動數據、檢測異常情況，並阻止可疑的登錄嘗試或通知安全工程師潛在威脅。
例如，此類解決方案可以保存設備詳細信息和用戶機器的IP 地址。如果有人試圖從不同的IP 地址或設備登錄，訪問控制工具可以應用其他MFA 方法或限制訪問。
5. 將對服務器的遠程訪問限制為受信任的IP您的管理員和工程師帳戶也可能遭受密碼破解攻擊。因此，請確保僅為受信任的IP 地址啟用對服務器的遠程訪問。
例如，您可以為需要在日常工作中訪問服務器的工程師提供IP 地址的訪問權限。為此，您可以使用防火牆（如果您使用雲提供商服務，則可以使用安全組）。
6.為工程師啟用安全密鑰需要遠程訪問服務器的工程師應該生成安全密鑰。例如，這些可以是用於SSH 訪問的SSH 密鑰。這樣，管理員可以安全地遠程連接到服務器或其他機器，而無需使用登錄名和密碼。 SSH 密鑰身份驗證可保護對服務器的訪問並加密客戶端和服務器之間傳輸的流量。
另一種無密碼訪問服務器的方法是使用硬件安全密鑰，如FIDO2或Google Titan。這些是可以用來代替常見身份驗證方法的USB 設備。
在這種情況下，應禁用使用登錄名和密碼訪問服務器。應該只允許鑰匙持有者進入。如果密碼不存在，則無法破解。
7.使用密碼破解保護服務最後但並非最不重要的一點是，有一些專門用於保護服務免遭密碼破解的工具。
通常，此類工具會自動掃描登錄嘗試並阻止顯示惡意跡象的IP 地址，例如密碼失敗次數過多。這些工具中最受歡迎的是：
SSH衛士
IPBan Pro
間諜日誌
Fail2ban
在Apriorit，我們更喜歡使用Fail2ban，因為它使用起來很方便，並且可以有效地阻止潛在的惡意身份驗證嘗試。在下一章中，讓我們了解Fail2ban，並討論如何在實踐中配置和使用它。