Mnoho kybernetických útokov začína tým, že útočníci získajú prístup k vašej sieti. Možno nie sú vítaní, ale počítačoví zločinci nepotrebujú vaše povolenie, aby sa dostali dovnútra.
Pomocou techník, ako sú útoky na výpočet, môžu prekĺznuť cez vašu obranu. Je na vás, aby ste im to sťažili, ak nie znemožnili. Čo sú to vlastne enumeračné útoky? Ako fungujú? A ako im môžete zabrániť?
Čo sú útoky na sčítanie?
Enumeračné útoky sú hackerské techniky, ktoré útočníci používajú na získanie neoprávneného prístupu do systému uhádnutím prihlasovacích údajov používateľov. A forma útoku hrubou silou, hacker skúša rôzne používateľské mená a heslá, kým nezískajú správne kombinácie.
Ako fungujú enumeračné útoky?
Priemerný systém má zabudovanú autentifikáciu alebo autorizáciu, ktorú musia používatelia podstúpiť, aby získali prístup. Toto je často vo forme prihlasovacieho okna pre existujúcich používateľov, registračného okna pre nových používateľov na registráciu a karty „Zabudnuté heslo“ pre existujúcich používateľov, ktorí možno zabudli svoje heslá.
Hacker využíva vyššie uvedené funkcie na spustenie enumeračných útokov nasledujúcimi spôsobmi.
1. Hádanie existujúcich používateľských mien hrubou silou
V prvej fáze enumeračného útoku hacker zadá akékoľvek prihlasovacie údaje, aby získal spätnú väzbu od systému. Povedzme napríklad Používateľské meno A existuje v databáze vašej webovej aplikácie. Ak ho útočník zadá spolu s heslom, dostane upozornenie, že zadané heslo je správne, ale heslo nie. A keď Používateľské meno A nie je vo vašej databáze, dostanú upozornenie, že používateľské meno ani heslo neexistuje.
Cieľom útočníka je získať čo najviac platných používateľských mien. Za každé neplatné používateľské meno, ktoré dostanú, skúšajú hrubou silou rôzne variácie používateľského mena.
Keďže používatelia webu bežne vytvárajú používateľské mená, ktoré ľudia poznajú alebo sa s nimi môžu stotožniť, z mnohých variácií používateľských mien, ktoré útočník zadá do systému, budú niektoré platné.
2. Spárovanie existujúcich používateľských mien s možnými heslami
Správne uhádnuť používateľské meno je len polovica práce. Na prístup k vášmu systému musia útočníci poskytnúť aj správne heslo používateľského mena. Používajú hrubú silu na generovanie niekoľkých variácií hesiel v nádeji, že nájdu zhodu pre každé používateľské meno.
3. Používanie splnenia poverení na nájdenie platných používateľských mien a hesiel
Útočníci napĺňanie poverenia vykonávať enumeračné útoky pomocou párov používateľského mena a hesla, ktoré ukradli z iných sietí na prístup k vašej sieti.
Používanie rovnakého používateľského mena a hesla vo viac ako jednej webovej aplikácii je nezdravé a môže vás vystaviť viacerým hackom. Ak sa vaše prihlasovacie údaje dostanú do nesprávnych rúk, stačí, aby ich vyskúšali v iných webových aplikáciách, ktoré používate.
Zatiaľ čo všetky prihlasovacie údaje, ktoré útočník získa z iných webových stránok, nemusia byť platné, niektoré sa ukážu ako platné, najmä preto, že niektorí ľudia opakujú rovnaké používateľské meno a heslo.
4. Používanie sociálneho inžinierstva na zhromažďovanie úplných prihlasovacích údajov
Odhodlaný hacker môže využiť sociálne inžinierstvo na vykonanie enumeračného útoku. Ako? Ak po použití hrubej sily na získanie platných používateľských mien vo webovej aplikácii zlyhajú iné snahy o získanie správnych hesiel pre tieto používateľské mená, môžu na získanie hesiel sa uchýlite k sociálnemu inžinierstvu priamo od používateľov.
S platnými používateľskými menami po ruke môže hacker posielať používateľom škodlivé správy prostredníctvom e-mailu alebo textových správ a vydávať sa za prevádzkovateľov platformy. Mohli by oklamať používateľov, aby sami poskytli svoje heslá. Takéto správy sa môžu nič netušiacim obetiam zdať legitímne, pretože kyberzločinec už má ich správne používateľské mená.
Ako môžete zabrániť útokom na výpočet?
Enumeračným útokom sa darí vďaka odozve, ktorú dostávajú od webových aplikácií, keď sa používatelia pokúšajú prihlásiť. Ak tieto informácie vypustíte z rovnice, bude ťažšie ich vykonať, pretože počítačoví zločinci budú mať málo alebo žiadne informácie, s ktorými by mohli pracovať. Ako teda môžete zabrániť týmto útokom alebo znížiť ich výskyt na minimum?
1. Zabráňte spätnej väzbe pri prihlásení pomocou viacfaktorovej autentizácie
Jediné, čo musí útočník urobiť, aby zistil platnosť používateľského mena vo webovej aplikácii, je zadať takmer akékoľvek používateľské meno a server mu poskytne informácie, ktoré potrebuje. Môžete im jednoducho zabrániť v tom, aby mali tieto informácie implementácia viacfaktorovej autentifikácie.
Keď používateľ, alebo v tomto prípade útočník, zadá svoje prihlasovacie údaje na prístup k vašej aplikácii, nechajte ho overiť svoju identitu viacerými spôsobmi, ako napr. poskytovanie jednorazových hesiel (OTP), e-mailové kódy alebo pomocou overovacích aplikácií.
2. Znížte počet pokusov o prihlásenie pomocou obrázkov CAPTCHA
Kyberzločinci majú slobodu spustiť útoky na výpočet počtu, keď majú neobmedzený počet pokusov o prihlásenie. Málokedy sa im podarí uhádnuť správne páry používateľského mena a hesla na niekoľko pokusov o prihlásenie.
Implementujte CAPTCHA, aby ste ich spomalili a zmarili ich úsilie. Keďže nemôžu automaticky obísť CAPTCHA, s najväčšou pravdepodobnosťou budú frustrovaní pri overovaní, že sú ľudia po niekoľkých pokusoch.
3. Prijmite obmedzenie rýchlosti na blokovanie viacerých prihlásení
Aktérom enumerácie sa darí vďaka viacnásobným pokusom o prihlásenie dostupných vo webových aplikáciách. Celý deň mohli hádať používateľské mená a heslá, kým nenájdu zhodu.
Ak máte vo svojej sieti limit na rýchlosť, môžu sa pokúsiť prihlásiť len určitý počet krát. Ak tieto pokusy nebudú úspešné, vaša sieť zablokuje ich adresy IP alebo používateľské mená.
Nevýhodou obmedzenia sadzieb je, že ovplyvňuje legitímnych používateľov, ktorí si skutočne nepamätajú svoje prihlasovacie údaje. Môžete to zmierniť tým, že takýmto používateľom poskytnete alternatívy na opätovné získanie prístupu.
4. Nainštalujte bránu firewall webovej aplikácie
Firewall webovej aplikácie je nástroj, ktorý blokuje viaceré pokusy o prihlásenie zo škodlivých alebo podozrivých adries IP. Pracuje so sadou bezpečnostných štandardov na preskúmanie návštevnosti vašich sieťových serverov, pričom spĺňa načrtnuté bezpečnostné požiadavky HTTPS a SSL.
So zavedeným firewallom webovej aplikácie nemajú aktéri enumerácie luxus času na hacknutie vášho systému.
Zabezpečte svoje prihlasovacie údaje, aby ste predišli útokom na výpočet
Enumeračné útoky vyvolávajú obavy o prístup k sieti a jej použiteľnosť. Chceli by ste, aby používatelia vašej siete mohli získať prístup bez akýchkoľvek problémov. Pritom však musíte prijať opatrenia, ktoré vašu sieť nevystavia kybernetickým hrozbám a útokom.
Nestrieľajte si do nohy tým, že budete kybernetickým aktérom pomáhať pomocou prihlasovacích údajov do siete. Urobte si povinnosťou takéto informácie čo najviac skrývať. Ak to nevedia, budú v tme tam, kde si zaslúžia byť.
