الكاتب | Tanguan تشون، PA شانشان، خبراء الأمن علي سحابة

ذبيان | TANG الرصاص

رئيس الشكل | CSDN تنزيل من IC الشرقية

أنتجت | CSDN (ID: CSDNnews)

المبادئ والمخاطر ضربت مكتبة

"هيت مكتبة" في أمن الشبكة هو المفهوم القديم، وفقا لتفسير الصينية من المعنى الحرفي يعتبر وسيلة "قاعدة الاصطدام". وسيلة "التصادم" الحظ، قد لا يكون ناجحا، و "قاعدة بيانات" غالبا ما تخزن في عدد كبير من البيانات الحساسة مثل اسم المستخدم تسجيل الدخول إلى موقع نحتاج إليه، كلمة السر، مثل رقم الهاتف ورقم الهوية والخصوصية الشخصية الأخرى المعلومات. "ضرب مكتبة" العرض باللغة الإنجليزية للالاعتماد حشو (كلمة السر استنشاق)، هو أيضا وصف واضحة جدا للمشهد ضرب المكتبة الرئيسية: محاولة للحصول على تركيبة اسم المستخدم / كلمة السر الصحيحين، العامية كبيرة هو "القرصنة".

ضرب هجوم مكتبة في واقع المهاجم الرئيسي للتصل إلى واجهات المكتبات المرتبطة بالموقع (مثل واجهات تسجيل الدخول) من خلال عدد من أدوات التشغيل الآلي (مثل البرامج النصية) دفعة مقدمة من عدد كبير من تركيبة اسم المستخدم / كلمة المرور لتسجيل مجموعة من التي يمكن تسجيل الدخول بنجاح في وسرقة الحساب لالمقبل تفعل (نقل مثل الحساب المصرفي للأموال بها، أو حساب اللعبة من بيع السلع الافتراضية، أو جعلت سرقة الهوية بعض الملاحظات، وما إلى ذلك) أشياء سيئة أخرى جاهزة.

ومن الجدير بالذكر أن الغرض الوحيد من هجمات القرصنة لم تصل المكتبة، تحقق من أن الحساب المسجل هناك هدف مشترك في موقع مكتبة ضرب.

على سبيل المثال، فشل تسجيل الدخول نفسها، العديد من المواقع ل "المستخدم غير موجود" و "كلمة المرور" سنعطي اضحة اثنين من نصائح مختلفة، مما يعني أنه على الرغم من أنني لا أعرف كلمة المرور الخاصة بك، يمكنك أيضا معرفة رقم الهاتف الخاص بك هناك غير مسجل في هذا الموقع. هل تعرف ما هي فائدته؟ لصناعة سبيل المثال P2P، على افتراض يتم تسجيل رقم الهاتف في عشرات الإقراض منصة، صاحب رقم الهاتف الذي ربما قد وضع مالي سيء للغاية (قرض طويل)، لمخاطر الائتمان له مرتفع جدا.

تمييزها عن الغرض من الهجوم، وأصيب المكتبة هناك العديد من السيناريوهات شيوعا:

• ضعف كلمة المرور استنشاق:

تشبه 111111،123456 هذا لأن الكثير من الناس استخدام كلمات مرور بسيطة، واستخدام مثل هذا العدد الكبير من كلمات السر الضعيفة لاختبار الحساب، هناك احتمال معينة يمكن العثور على بعض حقا استخدام كلمة مرور حساب الضعيف. المتطلبات العامة لتنفيذ مثل هذا الهجوم على المهاجم بالفعل على يد عدد كبير من الحسابات والمشتركة مكتبة كلمات سر ضعيفة، بطبيعة الحال، إذا كنت لا تعرف رقم الحساب هي التي شيدت عشوائيا احتمال النجاح، مثل رقم هاتف ثابت في هذا الحساب الشكل.

• باستخدام بيانات مكتبة السحب:

وهذا الهجوم هو أعلى معدل نجاح طريقة واحدة، والمبدأ هو أن معظم الناس يميلون إلى استخدام نفس كلمة السر (كم من الناس تاوباو وكلمة المرور Alipay هو نفسه؟) عبر مواقع متعددة. عندما مهاجم الذين غزو الأمنية بنجاح ضعيف الموقع A، والحصول على كل اسم المستخدم وكلمة المرور مجموعات في قاعدة البيانات الخاصة به، ومن ثم اقتادتهم إلى مزيج من محاولة الموقع B، إذا كان لديك سجلت موقعين وتستخدم نفس كلمة ...... ضرب على نجاح المكتبة.

• لحساب ارتفاع امتياز القوة الغاشمة:

بالمعنى الدقيق للكلمة مع الغاشمة مكتبة القوة ضرب نوعان من الهجمات، ولكن لا يزال يتعين علينا ذكر، لأن كلا من حيث أساليب الهجوم وسبل الحماية نقطة نظر متشابهة. هذا هو أساسا لبعض الحسابات عالية الامتياز (مثل المسؤول عن الموقع) لاختبار استخدام كلمات السر وأرقام الحساب الذي تريد سرقة الهدف واضح جدا.

ضرب شيوعا حالة المكتبة على السحابة

فهم المبادئ، وضرب الهجوم الضرر مكتبة واضحة جدا. للمستخدمين الفرديين، والتي يمكن أن تؤدي إلى تسرب كلمات السر الشخصية وأرقام الحسابات المسروقة، وإلحاق خسائر في الممتلكات أو سمعة، لوالمؤسسات لا يؤدي إلا إلى الكشف عن معلومات العملاء السرية وغيرها من الأعمال، ولكن أيضا لسمعة وصورة من الشركات مما تسبب خطورة إصابة.

ووقع الهجوم في مكتبة الوضع الراهن

ضربت مكتبات ذلك بعيدا عنا؟ الوضع الفعلي؟ وبناء على تحليلنا للتدفق علي سحابة WAF، وبعد العديد من تبادل البيانات، فمن السهل أن نرى ضرب كانت هجمات ليلا ونهارا مكتبة يرافقه في صالحنا، ولديها حجم كبير والتخصص.

• الرقمية 01:50 عشرة آلاف

ومن الواضح أن لاحظنا كمية كبيرة من تجميع الهجمات IP ضرب مكتبة كل يوم، معتبرا أن هناك عددا كبيرا من السيناريوهات هجوم باستخدام الثواني الاتصال الهاتفي وغيرها من الموارد ليست إحصاءات IP منفصلة تأتي في، وضرب مكتبة كل يوم للمشاركة في الهجوم الفعلي عدد IP ويقدر عددهم بنحو 1-2 أوامر من حجم أكبر. الجدير بالذكر أيضا أن هناك جزءا كبيرا من تجميع IP مصدر الهجوم في القسم C، من وجهة نظر لاحظنا، C 200 هو عدد وافر من شرائح (أي ما مجموعه 256 IP التوالي) كل يوم أكثر من 200 IP المهاجم تجسيد هجوم المكتبة.

• عدد 2: 448 مليون مرة

سحابة WAF تدفق الكشف في المكتبة ضرب كل يوم / الغاشمة طلب قوة مبلغ يصل إلى 448 مليون مرة، وكان يوم واحد فقط من البيانات، وهو ما يمكن ملاحظته ضرب نهج المكتبة هو كيف مثل هذه الهجمات من قبل قراصنة موضع ترحيب.

• عدد 3: 630 مليون مرة

هذا هو طلب المبلغ الإجمالي موقع غضون يوم واحد من الهجوم ضرب المكتبة.

في الواقع، لاحظنا أنه في بعض الهجمات ضرب مكتبة "القطاعات الشعبية"، مثل P2P، ألعاب، سلسلة كتلة، وبطاقات الائتمان، وغيرهم من مقدمي الكهرباء والهجمات المكتبات واصلت ضرب نطاق واسع جدا، قد تكون هذه المدة تصل إلى عدة أشهر أو سنوات حتى في حالة فرار، مع الصحابة الحياة التجارية. في بعض صناعة البلاغ غير متوقعة (مثل الطب، وأطلقوا النار الولايات المتحدة في الظلام حول نوايا ربما أراد هجوم من قبل الأطباء للتحقق من أن كنت مسجل مع الولايات المتحدة لإعطاء الولايات المتحدة مواقع طبية الإعلان توفر إشارة تسليم أكثر دقة)، كما وجدت على نطاق واسع ضرب الأحداث المكتبة.

• الرقمية 4: 83

من ضرب مكتبة هجوم تجسيد عرض أدوات الهجوم، 83 حركة هجوم من سيناريو بسيط، حيث يتم تعريف "سيناريو بسيط"، كما يمكن أن يتم الكشف عن عدد من بطريقة CAPTCHA بسيط (على سبيل المثال، والتحقق من JS) أدوات البرمجة، وهذا واحد أدوات جافا ويطلب بيثون هم "اكثر احساسا من الوجود"، وأدوات البرمجة اثنين.

ولكن تجدر الإشارة إلى أن "الجيش النظامي" أصبح في السنوات الأخيرة مع التطور السريع لتكنولوجيا الزاحف والصناعات ذات الصلة، نسبة متزايدة من هذه المجموعات في أيدي عدد كبير من الموارد والهجمات الاخيرة التكنولوجيا زحافة، المنبع كامل والمصب سلسلة صناعة تقسيم دقيق للعمل والتنسيق وسلاسة، وصعوبة الأعمال العادية آخذ في الارتفاع بسرعة تصل الدفاع.

الامتثال مخاطر مكتبة ضرب

منذ بدء سريان الاتحاد الأوروبي GDPR قوانين الخصوصية وحماية البيانات التنظيمية العالم على محمل الجد، منذ بداية 2019، والعقوبات والعواقب المترتبة على تسرب أيضا في الارتفاع. يقترح المادة 4 GDPR أن الكشف عن وسائل البيانات الشخصية "بسبب انتهاك من الخيوط السياسة الأمنية لنقل وتخزين ومعالجة البيانات الشخصية ضد عرضي أو التدمير غير القانوني، فقدان أو تعديل أو دون موافقة أو تكون متاحة للجمهور."

لذلك، البيانات حتى مع تسربت بالفعل لضرب هجوم مكتبة، ولكن لم يتم العمل الأمني الخاصة قادرة على تجنب الوصول غير المصرح به، ولكن أيضا انتهاكا. التأمين الصحي الولايات المتحدة قابلية المساءلة وقانون (HIPAA) كما تم تقديم "في الحصول على قواعد الخصوصية بطريقة HIPAA لا تسمح الوصول أو الاستخدام أو الكشف عن المعلومات الطبية الشخصية، يساوي المساس بالأمن أو الخصوصية." حتى لو البيانات من الوصول غير المصرح به هو أن تكون مشفرة، ولكن النظم والبيانات عن طريق الهجمات غير مصرح بها، وبالتالي تنتمي إلى الكشف عن خصوصية HIPAA إلى المادتين المسموح بها. طرقت المؤسسة مكتبة للضحايا، ولكن كل من الضحايا هم من المقرر أن الضوابط الأمنية الخاصة بها ليست في مكانها وتكون جزءا من هذا التأثير كرة الثلج في المساهمات.

كان صيف عام 2019، وأثر الأعمال من وكالة التصنيف الائتماني موديز (موديز) للأمن الشبكات التعديل الجديد، مخاطر الشبكة إلى تصنيفها الائتماني. وفقا لتأثير المشاريع التجارية وكالة موديز الناجمة عن انتهاك تصنيف الشركات المدرجة من مستقر إلى سلبي. موديز غير بنشاط مخاطر الشبكة في تصنيفها الائتماني، والتي قد يكون مجرد الدومينو الأول في الانخفاض. التصنيف الائتماني يؤثر على مجموعة واسعة من عمليات تقييم المخاطر واتخاذ القرارات الاستثمارية في اختيار الاستثمارات قيد النظر. الشركات المدرجة إلى إعادة النظر في أساليب أمن الشبكات والامتثال، وخاصة عندما تصبح اللوائح الصعب على نحو متزايد للامتثال. ليس ذلك فحسب، لصناعة معينة، ولكن أيضا سوف تواجه المزيد من العقوبات المختلفة.

مع النمو الهائل في السنوات الأخيرة أشياء الجهاز، إلى جانب انتشار السحابة العامة والحاويات وVM، وأدى إلى وضوح على نطاق واسع لعدم وجود حركة مرور البيانات، وبالتالي زيادة كبيرة في تهديد شامل للسطح والضعف للشركة. تواصل خروقات البيانات إلى زيادة، مما أدى إلى هجمات ضربت المكتبة في السنوات الأخيرة أصبحت وسيلة شائعة لالاقتحام. يمكن أن تصبح كل البيانات المسربة المفتاح لفتح الباب لغزو المقبل.

كيف تحمي هجوم ضرب مكتبة؟

المقالات الفردية

من وجهة نظر المستخدمين الفرديين لحماية أنفسهم، نحن لأربعة الاقتراحات:

• التقليل من استخدام نفس كلمة السر على مواقع مختلفة. بالطبع، هناك صراع على أمن الكسل الإنسان الطبيعي مع آلية كلمة المرور، فإن معظم الناس يجدون ذلك صعبا، وفقا لإحصاءات طرف ثالث، وأكثر من 60 من الناس لا تزال تستخدم نفس كلمة السر على مواقع متعددة.

• استخدام كلمات المرور أكثر تعقيدا. على سبيل المثال، يرجى عدم إعادة استخدام 123456،111111 و......

• استبدال الدوري كلمات السر المشتركة. غالبا ما تنتج الأيدي السوداء اغتنام الكثير من "مكتبة الاجتماعية"، والتي يتم تخزينها الكثير من اسم المستخدم يعرف - الجمع بين كلمة، لأنها قد تحتوي على مزيج من سنوات استخدمته على موقع على شبكة الانترنت. لذلك، يمكن كلمات السر تغيرت كثيرا يقلل من صلاحية الأخصائيين الاجتماعيين معلومات مكتبة.

• تمكين آلية مصادقة أكثر من كلمة. في الواقع، لقد العديد من الشركات الأمنية كانت جيدة لاتخاذ بعض التحقق إضافية والتثبت من أفضل الممارسات لفئة متعددة العوامل، مثل التحقق أبل الثانوي، الموثق جوجل، و Alipay التعرف على الوجه والصوت الطباعة الرسائل الصغيرة، وما إلى ذلك، المستخدمين الفرديين قدر المستطاع لفتح آليات التحقق مماثلة.

الأكثر شيوعا 500 (من Informationisbeautiful) قبل كلمة المرور

للمؤسسات

من جهة نظر رجال الأعمال، والأمن حساب جيدة جدا مهم جدا وأساسي، إلى حد كبير لأن الحساب هو حجر الزاوية في نظام الضمان الأعمال، والأمن الحساب مرة واحدة في الخريف، لن تؤدي إلا إلى المزيد من الأسئلة المتابعة، لمعالجة هذه الحاجة التكلفة لدفع أكبر بكثير من أمن حساب جيد في حد ذاته. وبطبيعة الحال، والأمن حساب نفسه معقد جدا مشروع منهجي، ونحن نريد أن نعرض هنا لهذا المشهد ضرب بعض أفضل الممارسات مكتبة للرجوع اليها:

• أجبرت قوة كلمات المرور المستخدم.

وهذا هو الكثير من المواقع الآن أبلوا بلاء حسنا، ولكن هناك عدد غير قليل من تطبيقات تسمح للمستخدمين لاستخدام مثل كلمة مرور ضعيفة 111111. ولكن أيضا أن نولي اهتماما خاصا ل، لا نغفل صغيرة واجهة تسجيل البرنامج، التطبيقات وغيرها من بيئة غير شبكة الإنترنت.

• إجبار المستخدمين على تغيير كلمة المرور بانتظام.

هذا هو أساسا لموظفي الداخلية، بعد كل شيء، أن نتذكر كانت كلمة مرور مؤلم جدا، وهذا يجلب فإن تجربة المستخدم تنخفض كثيرا.

• الوقاية واستراتيجيات التحكم لتعزيز واجهات الإنسان والآلة في ما يتعلق بالحساب.

تتضمن واجهة تسجيل الدخول والتسجيل واستعادة كلمة السر، الحصول على رموز التحقق SMS "الوقاية الانسان والآلة والسيطرة" يشير إلى هذه الواجهات "آلة" من وصول الطلب و "أناس حقيقيين" الفرق في بداية المقال لقد تحدثنا بالفعل عن، هجوم المهاجم الحقيقي مع عدم وجود دليل تقريبا، إذا كان قادرا على حساب الغالبية العظمى من "آلة المرور" التي تم تحديدها واعتراضها، سيكون مستوى السلامة ترقية كبيرة. من الوسائل التقنية، يتم استخدام الرموز المشتركة، حظرت وتيرة الطلب IP / الدورة، وCAPTCHA نشر SDK مثل المكونات.

• الأعمال الهامة العمليات باستخدام التحقق الثانوي.

من مشغل لتأكيد الحساب الجاري لديها رموز نقل كما كان من قبل، والرقم الأخير من آلية التحقق من الهوية عن طريق التعرف على الوجه، بصمة voiceprint، SMS / البريد الإلكتروني.

• حساب الشذوذ مؤشر لإنشاء البعد أعمال الرصد والمعالجة في الوقت المناسب من حساب المخاطر.

تمييزها عن الوسائل التقنية "الإنسان"، وهنا هو أساسا من منظور تجاري (مثل نشر عالية التردد، ونقل غير طبيعي، وما إلى ذلك)، وبعض السلوك غير عادي على رصد الحساب والعقوبات، وذلك استكمالا للتكنولوجيا الوقاية والمكافحة.

• مع أدوات الأمن القيام هجوم مكتبة تحطم.

إذا كنت تعاني من مشاكل في حساب القضايا الأمنية ضربت المكتبات، لم يكن لديهم ما يكفي فرق محترفة أو الطاقة لمواجهة الاقتراحات المذكورة أعلاه، فمن المستحسن أن تختار أداة أمنية مناسبة للتعامل معها. بصفة عامة، فإن تطبيق ويب جدار الحماية (WAF) تكون قادرة على الاستجابة بفعالية لضرب الهجمات المكتبة. WAF إلى علي سحابة على سبيل المثال، المدمج في مكتبة مدمجة ضرب، والقوة الغاشمة، والمزيد من تسجيل القمامة نموذج الكشف، وتدفق خط الأساس، كشف كلمات سر ضعيفة وغير ذلك من مكونات الكشف الإنسان والآلة أشكال، فضلا عن القدرة على أمن APP SDK، ولكن أيضا يمكن تحديد الزاحف الخبيثة على أساس السلوك الشاذ، والتوقيت، أساليب الهجوم، مثل صورة متعددة الأبعاد العصابة، للقيام الحماية في الوقت الحقيقي. من وجهة النظر هذه، للشركات، اختر يمكن لأدوات الأمن القوية ميزة الغنية غالبا ما تلعب أثر مضاعف.

خاتمة

بعض الأماكن والأنهار والبحيرات، حيث كانت هناك مكتبة حساب ضرب. نظام كلمة المرور نفسها لمتطلبات السلامة والصحة، لكنه يجلب أيضا خطر من هذا النوع من مكتبة ضرب. ونحن نعتقد أن المستقبل سيكون أكثر ويتم استبدال أكثر كلمات السر التي كتبها تجربة أخرى أفضل، أعلى طريقة الاختيار الهوية الأمن، في حين أن هذه الأساليب قد تكون موجودة الخصوصية والقضايا المتصلة بالامتثال. لا يبدو أفضل البرامج لتحقيق التوازن بين بعضها البعض بين الأمن والراحة والخصوصية من هذه العوامل. التركيز على لحظة، واسم المستخدم / كلمة المرور لإدارة الحسابات لا تزال تهيمن على الغالبية العظمى من المواقع، وبالتالي ضرب هجوم كممثل لقضايا الأمن حساب المكتبة لا تزال بحاجة إلى جذب ما يكفي من الاهتمام للمستخدمين الأفراد والشركات. آمل أن يكون هذا يمكن أن يحقق بعض المراجع ومساعدة لك لبناء شبكة إنترنت أكثر أمنا!