Teknik serangan

Password Spraying

Serangan yang mencoba sejumlah kecil kata sandi umum terhadap banyak akun, satu kata sandi pada satu waktu, untuk menghindari kebijakan penguncian akun.

Definisi

Password spraying adalah teknik serangan di mana penyerang mencoba satu atau segelintir kata sandi yang umum digunakan, seperti musim dan tahun atau variasi nama perusahaan, terhadap banyak akun pengguna yang berbeda sebelum beralih ke kata sandi berikutnya. Dengan menyebarkan percobaan ke banyak akun alih-alih menebak berulang kali pada satu akun, penyerang tetap berada di bawah sebagian besar ambang batas penguncian akun sambil tetap mengandalkan kepastian statistik bahwa sebagian pengguna dalam basis pengguna besar mana pun menggunakan kata sandi lemah yang mudah ditebak.

Serangan brute force tradisional memusatkan semua tebakan pada satu akun, yang dengan cepat memicu kebijakan penguncian setelah beberapa kali percobaan gagal. Password spraying membalikkan ini: penyerang memilih daftar pendek kata sandi yang sangat umum, sering bersumber dari analisis kebocoran tentang kata sandi yang paling sering dipakai ulang, dan mencoba hanya satu atau dua terhadap setiap akun dalam direktori organisasi sebelum menunggu dan mencoba kata sandi berikutnya. Karena setiap akun individu hanya mengalami satu atau dua percobaan gagal, aktivitas ini jarang melewati ambang penguncian dan dapat disebar selama berjam-jam atau berhari-hari untuk semakin menghindari deteksi.

Teknik ini sangat efektif terhadap organisasi besar dengan format nama pengguna yang mudah ditebak, seperti alamat email nama-depan.nama-belakang, karena penyerang dapat mendaftar target dalam jumlah besar dari satu domain perusahaan dan sumber publik seperti LinkedIn. Password spraying adalah pemicu umum menuju account takeover dan telah digunakan terhadap VPN korporat, webmail, serta portal single sign-on di bank dan lembaga pemerintah Indonesia, justru karena satu tebakan berhasil terhadap karyawan dengan akses istimewa dapat sangat merugikan.

Pertahanan yang paling penting adalah menghilangkan kata sandi lemah dan umum sejak awal melalui kebijakan kata sandi yang kuat atau, lebih baik lagi, autentikasi multifaktor yang membuat kata sandi yang berhasil ditebak saja tidak cukup. Pemantauan pola login gagal yang lambat dan tersebar di banyak akun, alih-alih kegagalan berulang pada satu akun, sangat penting untuk deteksi, karena peringatan berbasis penguncian tradisional secara khusus dirancang untuk melewatkan teknik ini. Melarang kata sandi lemah dan bocor yang diketahui pada saat pembuatan kata sandi menutup kumpulan tebakan yang dapat disebarkan penyerang sejak awal.

Sekilas info

Tingkat keparahan
Sedang
Tingkat kejadian
Umum
Target utama
Portal login VPN korporat, webmail, dan SSO
Juga dikenal sebagai
Serangan kata sandi low-and-slow

Cara kerjanya

  1. 1

    Pendaftaran target: penyerang menyusun daftar nama pengguna valid untuk sebuah organisasi, sering dari format email yang mudah ditebak dan sumber publik seperti LinkedIn.

  2. 2

    Daftar pendek kata sandi: sekumpulan kecil kata sandi yang umum dipilih, berdasarkan pola kata sandi lemah yang diketahui seperti musim, tahun, atau nama perusahaan.

  3. 3

    Percobaan volume rendah: hanya satu atau dua kata sandi dicoba pada setiap akun sebelum beralih ke akun berikutnya, menjaga percobaan gagal per akun di bawah ambang penguncian.

  4. 4

    Disebar dari waktu ke waktu: percobaan diatur temponya selama berjam-jam atau berhari-hari di seluruh daftar akun untuk menghindari pemicuan peringatan berbasis laju.

  5. 5

    Berhasil pada akun lemah: peluang statistik berarti setidaknya beberapa akun dalam direktori besar mana pun menggunakan salah satu kata sandi yang disebarkan.

  6. 6

    Akses dan eskalasi: login yang berhasil digunakan untuk pengintaian lebih lanjut, pencurian data, atau sebagai pijakan menuju account takeover.

Tanda peringatan

  • Gelombang percobaan login gagal yang tersebar di banyak akun berbeda, bukan kegagalan berulang pada satu akun
  • Percobaan login terhadap akun tidak aktif, layanan, atau bersama yang jarang digunakan secara interaktif
  • Login menggunakan kata sandi umum atau musiman yang ditandai oleh penyaringan kebijakan kata sandi
  • Percobaan autentikasi yang datang dari sedikit alamat IP terhadap kumpulan nama pengguna yang luas
  • Login berhasil yang segera diikuti akses tidak biasa ke sistem yang biasanya tidak digunakan akun tersebut

Cara bertahan

  • Terapkan autentikasi multifaktor pada semua akun korporat, terutama VPN, webmail, dan SSO
  • Larang kata sandi lemah dan bocor yang diketahui pada saat pembuatan kata sandi, tidak hanya aturan kompleksitas
  • Pantau log autentikasi untuk pola login gagal low-and-slow yang tersebar di banyak akun
  • Tetapkan kebijakan penguncian dan pembatasan laju yang konservatif dan juga memperhitungkan percobaan bergaya spraying, tidak hanya kegagalan berulang pada satu akun
  • Hindari format nama pengguna yang mudah ditebak bila memungkinkan, atau tambahkan pemantauan kompensasi bila tidak dapat diubah
  • Jalankan audit kata sandi rutin untuk menemukan dan memaksa reset kata sandi umum atau yang pernah bocor

Contoh nyata

Seorang penyerang menargetkan portal single sign-on sebuah lembaga pemerintah, menebak bahwa beberapa staf masih menggunakan kata sandi berdasarkan tahun berjalan dan nama lembaga. Alih-alih menebak berulang kali terhadap satu akun dan memicu penguncian, penyerang mencoba satu kata sandi ini terhadap setiap nama pengguna dalam format email lembaga yang mudah ditebak, diam-diam menemukan tiga akun yang berhasil sebelum beralih ke sistem internal.

Bagaimana Claro membantu

Skor risiko dan modul kesadaran keamanan Claro menyoroti departemen dan peran yang masih mengandalkan kata sandi lemah atau mudah ditebak, memberikan tenant Indonesia argumen berbasis data untuk menegakkan kebijakan kata sandi yang lebih kuat dan autentikasi multifaktor sebelum penyerang lebih dulu menemukan akun yang lemah.

Pertanyaan yang sering diajukan

Apa bedanya password spraying dengan brute force?

Brute force menebak berulang kali banyak kata sandi terhadap satu akun, yang cepat memicu kebijakan penguncian. Password spraying hanya mencoba satu atau dua kata sandi di banyak akun, tetap di bawah ambang penguncian sambil tetap menemukan akun dengan kata sandi lemah.

Mengapa kebijakan penguncian akun tidak menghentikan password spraying?

Kebijakan penguncian biasanya dipicu oleh kegagalan berulang pada satu akun. Karena password spraying hanya membuat satu atau dua percobaan per akun sebelum beralih ke akun berikutnya, ia jarang mengumpulkan cukup kegagalan pada satu akun untuk memicu penguncian.

Apakah autentikasi multifaktor menghentikan password spraying?

Ya, hampir di semua kasus. Bahkan jika kata sandi yang disebarkan cocok, penyerang tetap membutuhkan faktor autentikasi kedua, yang tidak mereka miliki.

Siapa yang paling berisiko terkena password spraying?

Organisasi besar dengan format nama pengguna yang mudah ditebak, serta akun mana pun yang masih menggunakan kata sandi umum, musiman, atau berbasis nama perusahaan, paling rentan, karena penyerang dapat dengan mudah mendaftar daftar target dan mengandalkan peluang statistik di banyak akun.

Istilah terkait

Credential Stuffing

Serangan otomatis yang mencoba nama pengguna dan kata sandi curian dari satu kebocoran data terhadap banyak situs lain, memanfaatkan orang yang memakai ulang kata sandi yang sama di berbagai akun.

Account Takeover

Ketika penyerang mendapatkan kendali tanpa izin atas akun daring pengguna, biasanya melalui kredensial curian, dan menggunakannya untuk penipuan atau serangan lanjutan.

Autentikasi Multifaktor (MFA)

Metode keamanan yang mewajibkan dua atau lebih bukti identitas yang saling independen sebelum memberikan akses ke akun atau sistem.

Kurangi risiko manusia Anda

Claro mengukur dan menurunkan risiko yang dijelaskan istilah-istilah ini, dalam bahasa Inggris dan Bahasa Indonesia.

Minta demo