Was ist Password Spraying und wie können Sie Angriffe erkennen und blockieren?

Im Jahr 2019 erschütterte ein Datendiebstahl bei Citrix die Cybersicherheitswelt. Die Angreifer stahlen Geschäftsdokumente von einem gemeinsamen Netzwerk-Laufwerk und von einem Laufwerk, das mit einem webbasierten Tool verwendet wird, das in der Beratungspraktik von Citrix eingesetzt wird. Die Hacker erlangten diesen Zugriff auf die IT-Infrastruktur von Citrix durch einen Passwort-Spraying-Angriff, eine Technik, die schwache Passwörter, was zu Kritik führte, dass der Software-Riese seine Kunden unnötig gefährdet hat, indem er es versäumt hat, eine solide Passwortstrategie zu etablieren.

Citrix ist bei weitem nicht das einzige Unternehmen, das bei der Passwortsicherheit versagt. Als ein Bedrohungsforschungsteam Anfang 2019 alle Microsoft-Benutzerkonten scannte, stellte es fest, dass 44 Millionen Benutzer dieselben Benutzernamen und Passwörter verwendeten, die bereits nach Sicherheitsverletzungen bei anderen Online-Diensten online geleakt worden waren. Diese Tendenz ist alarmierend, da der Bericht über Datenverletzungsuntersuchungen 2020 zeigt, dass über 80 Prozent der mit Hacking verbundenen Verstöße entweder gestohlene (oder verlorene) Anmeldeinformationen oder Brute-Force-Angriffe betreffen.

Passwort-Sprühangriffe können nicht verhindert werden, aber sie können erkannt und sogar im Keim erstickt werden. In diesem Artikel erklären wir, wie sich diese Art von Angriff entfaltet, wie Sie laufende Angriffe erkennen können und wie Sie Ihr Risiko verringern können, das nächste Opfer zu werden.

Was ist ein Password Spraying-Angriff?

Typische Brute-Force-Angriffe zielen auf ein einzelnes Konto ab und testen mehrere Passwörter, um Zugang zu erhalten. Moderne Cybersicherheitsprotokolle können diese verdächtige Aktivität erkennen und ein Konto sperren, wenn in kurzer Zeit zu viele fehlgeschlagene Anmeldeversuche auftreten.

Password Spraying kehrt die konventionelle Strategie um, indem versucht wird, sich bei mehreren Benutzerkonten mit vielen gängigen Passwörtern anzumelden. Das Ausprobieren eines einzelnen Passworts bei vielen verschiedenen Konten, bevor ein anderes Passwort bei denselben Konten versucht wird, umgeht die normalen Sperrprotokolle und ermöglicht es dem Angreifer, immer mehr Passwörter auszuprobieren.

Leider sind Passwort-Spray-Angriffe häufig erfolgreich, weil so viele Benutzer es versäumen, password best practices zu befolgen. Tatsächlich gehörten zu den 200 häufigsten im Rahmen von data breaches im Jahr 2019 geleakten Passwörtern offensichtliche Zahlenkombinationen wie „12345“, gängige weibliche Vornamen und das Wort „password“ selbst. Jeder Angreifer, der eine ausreichend große Anzahl von Benutzernamen ins Visier nimmt und mit einer großen Bank gängiger Passwörter arbeitet, wird zwangsläufig in der Lage sein, einige Konten zu kompromittieren.

Während das Auswerfen eines breiten Netzes wahrscheinlich zumindest einige Erfolge bringen wird, verlassen sich die heutigen versierten Hacker auf einen präziseren Ansatz. Sie richten ihre Aufmerksamkeit auf Benutzer, die die Authentifizierung mit Single Sign-On (SSO) verwenden, in der Hoffnung, Anmeldeinformationen zu erraten, die ihnen Zugang zu mehreren Systemen oder Anwendungen geben. Sie zielen auch häufig auf Benutzer ab, die Cloud-Dienste und -Anwendungen mit föderierter Authentifizierung nutzen. Dieser Ansatz kann es Angreifern ermöglichen, lateral zu agieren, da die föderierte Authentifizierung helfen kann, bösartigen Datenverkehr zu maskieren.

Sobald ein Konto bei einem Passwort-Sprühangriff kompromittiert wurde, kann das Opfer vorübergehende oder dauerhafte Verluste sensibler Informationen erleiden. Für Organisationen könnte ein erfolgreicher Angriff auch unterbrochene Abläufe, erhebliche Einnahmeverluste und Rufschädigung bedeuten.

Wie man einen Password Spraying-Angriff erkennt

Obwohl herkömmliche Gegenmaßnahmen möglicherweise Passwort-Sprühangriffe nicht automatisch erkennen, gibt es mehrere zuverlässige Indikatoren, auf die man achten sollte. Der offensichtlichste ist eine hohe Anzahl von Authentifizierungsversuchen, insbesondere fehlgeschlagenen Versuchen aufgrund falscher Passwörter, innerhalb eines kurzen Zeitraums. Natürlich ist ein eng verwandter Indikator ein Anstieg der Kontosperrungen.

In vielen Fällen führt Password Spraying zu einem plötzlichen Anstieg der versuchten Anmeldungen, die SSO-Portale oder Cloud-Anwendungen betreffen. Bösewichte können automatisierte Tools verwenden, um innerhalb kurzer Zeit Tausende von Anmeldungen zu versuchen. Oft stammen diese Versuche von einer einzigen IP-Adresse oder einem einzigen Gerät.

Wie man das Risiko mindert, Opfer eines Passwort-Spraying-Angriffs zu werden

Es ist entscheidend, erfolgreiche Angriffe schnell zu erkennen, aber selbst ein kurzer Zugriff von Angreifern auf sensible Daten kann verheerend sein. Eine solide Cybersicherheitsstrategie erfordert einen umfassenden, proaktiven Ansatz, der eine mehrschichtige Sicherheit gewährleistet, um so viele Angriffe wie möglich zu blockieren. Stellen Sie sicher, dass Sie diese bewährten Praktiken befolgen:

• Erfordern Sie eine Multi-Faktor-Authentifizierung für alle Benutzer.
• Stellen Sie sicher, dass alle Passwörter den Richtlinien des National Institute of Standards and Technology (NIST) entsprechen.
• Legen Sie solide Richtlinien für das Zurücksetzen von Passwörtern nach Kontosperrungen fest.
• Entwickeln Sie eine verteidigbare Passwortstrategie für gemeinsame Konten.
• Führen Sie regelmäßige Schulungen für Benutzer durch, um sicherzustellen, dass alle Benutzer die Bedrohung durch Passwort-Spraying verstehen und wie sie sichere Passwörter erstellen und aufrechterhalten können.

Wie Netwrix-Lösungen helfen können

Der beste Weg, Ihre Organisation gegen Passwort-Sprühangriffe zu verteidigen, besteht darin, in ein IT-Sicherheitstool zu investieren, das diese Angriffe zuverlässig erkennen und blockieren kann, mit umfassender Prüfung, Alarmierung und Berichterstattung.

Netwrix Auditor kann Sie auf eine Vielzahl von verdächtigen Aktivitäten hinweisen, einschließlich Ereignissen, die auf einen Passwort-Spray-Angriff hindeuten, damit Sie sofort reagieren können, um Ihre Systeme und Daten zu schützen. Darüber hinaus bietet es leistungsstarke Prüf- und Berichtsfunktionen. Zu den wichtigsten Funktionen gehören:

• Active Directory-Audit und -Alarme. Netwrix Auditor verfolgt Active Directory-Protokolle und andere Benutzeraktivitäten, einschließlich aller Anmeldeversuche. Sie können Warnungen für Aktivitäten einrichten, die Sie als verdächtig erachten, einschließlich einzelner Aktionen wie das Erlangen von Administratorrechten durch einen Benutzer oder einer Abfolge von Aktionen innerhalb eines bestimmten Zeitrahmens, wie mehr als 4 fehlgeschlagene Anmeldeversuche innerhalb von 1 Minute. Sie können auch ganz einfach die vollständige Anmeldehistorie eines Benutzers überprüfen.
• Benutzerverhaltensanalysen. Eine konsolidierte Ansicht ungewöhnlicher Aktivitäten und Rangordnung von Risikodarstellern erleichtert es, kompromittierte Konten und böswillige Insider frühzeitig zu erkennen, damit Sie Maßnahmen ergreifen können, um Sicherheitsprobleme zu vermeiden.
• Analyse des Benutzerverhaltens und der blinden Flecken.Erkennen Sie böswillige Akteure, die sich in Ihrer Umgebung bewegen, indem Sie die Benutzeraktivität außerhalb der regulären Arbeitszeiten, Anmeldeversuche von mehreren Benutzern von einem einzigen Endpunkt und Anmeldeversuche von einem einzelnen Benutzer von mehreren Endpunkten leicht überprüfen.

Netwrix Auditor hilft Ihnen auch, Ihre Sicherheitslage zu stärken, sodass Sie weniger anfällig für Passwort-Spray-Angriffe sind. Insbesondere können Sie:

• Durchsetzen von Best Practices für Passwortrichtlinien mit vollständiger Sichtbarkeit auf die Richtlinieneinstellungen und Warnungen bei Änderungen.
• Verfolgen Sie Azure AD-Passwortrücksetzungen um eine starke Sicherheit in der Cloud aufrechtzuerhalten.
• Entdecken und sichern Sie Konten, die keine Passwörter benötigen oder deren Passwörter so eingestellt sind, dass sie niemals ablaufen.
• Inaktive Konten identifizieren und deaktivieren, bevor sie von Angreifern ausgenutzt werden können.

Kurz gesagt, mit Netwrix Auditor ist es möglich, böswillige Akteure frühzeitig zu erkennen und proaktiv zu verhindern, dass sie überhaupt in Ihr Netzwerk gelangen.