密码喷洒（Password spraying）：97% 的攻击并不“入侵”，而是直接“登录”

密码喷洒（Password spray）：全球最无聊（但最有效）的攻击

密码喷洒（Password spraying）听起来几乎……没什么危害。

不是这样的。

1. 在大量账户中反复尝试常用密码。
2. 保持在账户锁定阈值之下。
3. 等待一次成功的登录。

就这样。没有零日漏洞。没有好莱坞黑客蒙太奇。没有《碟中谍》的配乐。

只需要耐心。

而且很管用。非常管用。

如果你听到的数字是 “97% of attacks start this way” ，这不是四舍五入的误差。这是我们不能忽视的事实。

为了更具体地说明，Microsoft 目前正在强调两件重要的事。

出自 Microsoft Digital Defense Report

那个小框已经说明了一切。

没错。

尽管策略在不断演进，攻击者仍凭借弱密码和过度使用的密码取得胜利。

花一分钟阅读 Microsoft 的指导 和 报告 以了解完整背景。看完后再回到这里。

因为你可以一整天都在讨论高级威胁……而攻击者却依然大摇大摆从正门进来。

是的。你应该这么做。

FIDO2。Windows Hello。生物识别。全套都用上。

这就是终点。

但不妨先对自己坦诚一秒……

贵组织还没有到位。

你们有老旧应用。对 VPN 的依赖。还有服务账户。以及仍然会输入“Summer2024!”的用户。

那现在该怎么办？

在“passwordless transformation”完成之前，只是选择无视现实，这样做真的对吗？

这并不是策略。即使它算是策略，充其量也只是一个风险很高的策略。老实说，这就是在“祈祷”和“希望”不要出问题。.

正如我们之前所说：

希望不是策略。政策才是。

没人愿意谈论的差距

在微软希望你到达的地方（无密码的乌托邦）与你真正身处的地方（到处都是密码）之间，存在着巨大的、令人不适的鸿沟。

那个缺口？

攻击者就住在那里。

而且微软自己的数据基本上在说：

“嘿……攻击就是从这里来的。”

所以真正的问题是：

今天你正在为此做些什么？

登场的是“为什么我早就没有这个？”软件

想象一下：

用户尝试设置密码。

在幕后，系统会将其与已知泄露（被攻破）的密码的大型数据库进行比对。

如果它很弱、被重复使用或早已“被烧录”（泄露过）？

立即拦截。

无需争论。绝不例外。也没有“之后再修”。

这正是 Netwrix Password Policy Enforcer 的作用。

它可直接接入 Active Directory 以及 Hybrid 密码更改事件，提前将这些密码与 Have I Been Pwned 进行比对检查，并拦截那些已受泄露影响和/或弱口令的密码 在它们成为问题之前。

它可以与您已拥有的现有内容协同工作——包括 Active Directory 和/或 Entra ID 的混合环境——无需大刀阔斧彻底更换。

这并不是在重新发明身份。

它让您现有的身份系统…… 真正可执行。

或者用我喜欢的话来说：

我们不需要重新发明轮子。我们让轮子 更圆一些。

为何这比以往任何时候都更重要

回到微软的观点：

攻击者正在建立持久性。安静地坐着。等待。

密码喷射 往往是 第一张多米诺骨牌。

只要他们进去过一次——即使是使用权限较低的账号——也不需要搞什么“烟花”。

他们需要时间。

从那里开始，就是横向移动、权限提升，以及“Living-off-the-land（利用现有资源）”技术。

游戏结束……只是慢一点。

转变：从检测到预防

不舒服的真相是：

EDR 事后才会检测。 SIEM 事后才会告警。事件响应也会在事后出现。

防止密码喷洒？

这发生在事前。

这就是追着攻击者跑，还是在门口把他们拦下来的区别。

更好的是……干脆别让他们找到真正能用的门。

弥合差距。不要等待完美。

你已经知道想去哪里。

无密码。抗钓鱼。现代身份。

那在此之前呢？

你们有密码。那就处理它。

阻止已泄露的密码。执行强有力的策略。移除攻击者赖以取巧的“低垂果实”。

因为最糟糕的头条并不是：

“公司遭先进国家级行为者入侵”

是：

“公司遭到入侵……原因是弱口令，而他们本可以阻止的。”

最后的想法

Microsoft 刚刚把“锚定文件”交给你了。

数据就在那儿。模式一目了然。

97% 的攻击都从同一个“正门”进入。

所以，接下来就是一记轻松上篮。

你知道应该实现无密码。可你并没有。

你有密码，而且很可能还会有……一段时间。所以，就来处理它吧。

使用 Netwrix Password Policy Enforcer 来终止密码喷射攻击。

连接你现有的资源与目标之间的差距。

也别出现在报纸上——因为你本可以做点什么……却没有做。

97% 的身份攻击都是密码喷洒攻击。