Wie funktioniert ein Brute-Force-Angriff?
Ein Brute-Force-Angriff beruht auf der Tatsache, dass der Angreifer – wenn ein Passwort existiert – in der Lage ist, es irgendwann zu erraten. Wenn ein Benutzer beispielsweise ein achtstelliges Kennwort hat, wird ein Angreifer, der jedes mögliche achtstellige Kennwort ausprobiert, schließlich über das richtige Kennwort stolpern. Die Haupteinschränkung von Brute-Force-Angriffen besteht darin, dass sie sehr zeitaufwändig sein können. Während automatisierte Brute-Force-Tools viele Passwörter pro Sekunde ausprobieren können, kann es Millionen von Jahren oder länger dauern, bis ein langes, zufälliges Passwort geknackt ist.
Vielen Passwörtern fehlt jedoch dieses Maß an Sicherheit, was Brute-Force zu einem praktikablen Angriffsvektor macht. Wenn es dem Angreifer gelingt, das richtige Passwort zu identifizieren, erhält er Zugriff auf das Konto des Benutzers und kann so Daten oder Geld stehlen, Systeme mit Malware infizieren oder andere böswillige Aktionen ausführen.
Arten von Brute-Force-Angriffen
Ein Brute-Force-Angriff besteht darin, verschiedene Passwörter zu erraten, bis der Angreifer das richtige identifiziert. Es gibt verschiedene Arten von Brute-Force-Angriffen, darunter:
- Einfacher Brute-Force-Angriff: Bei einem einfachen Brute-Force-Angriff prüft der Angreifer jeden möglichen Passwortkandidaten ausgiebig. Sie können zum Beispiel aaaaaaaa, aaaaaaaab usw. versuchen.
- Wörterbuchangriff: Ein Wörterbuchangriff basiert auf einer Liste gängiger Wörterbücher und kompromittierter Passwörter. Diese Passwörter werden oft auch einfachen Transformationen unterzogen, wie z. B. das Hinzufügen von Zahlen am Ende eines Wortes oder das Ersetzen von Sonderzeichen (@ for a usw.).
- Hybrider Brute-Force-Angriff: Ein hybrider Brute-Force-Angriff kombiniert einen Wörterbuchangriff und einen einfachen Brute-Force-Angriff. Der Angreifer versucht zunächst, das Kennwort des Benutzers mithilfe eines Wörterbuchs zu erraten, bevor er zu einem einfachen Brute-Force-Angriff übergeht, wenn dieser nicht erfolgreich ist.
- Umgekehrter Brute-Force-Angriff: Bei einem umgekehrten Brute-Force-Angriff beginnt der Angreifer mit einem bekannten oder gebräuchlichen Kennwort. Sie suchen dann nach Benutzernamen, die dieses Passwort verwenden.
- Credential-Stuffing-Angriff: Bei einem Credential Stuffing-Angriff versucht der Angreifer, die Anmeldeinformationen für eine Website auf anderen Websites zu kompromittieren. Dadurch wird versucht, die Wiederverwendung von Kennwörtern in verschiedenen Konten zu identifizieren.
So verhindern Sie Brute-Force-Passwortangriffe
Brute-Force-Angriffe zum Erraten von Passwörtern bergen das Risiko einer erfolgreichen Kontoübernahme. Einige Möglichkeiten, sich vor diesen Bedrohungen zu schützen, sind:
- Sichere Passwörter: Brute-Force-Passwortangriffe beruhen auf der Tatsache, dass ein Passwort innerhalb einer angemessenen Zeit erraten werden kann. Die Verwendung eines langen, zufälligen Passworts erhöht die Komplexität und den Zeitaufwand für einen Brute-Force-Angriff.
- Gesalzene Haschisch: Beim Salting wird jedes Passwort mit einem eindeutigen Zufallswert kombiniert, bevor es gehasht und gespeichert wird. Dadurch wird sichergestellt, dass identische Passwörter keine identischen Passwort-Hashes haben, wodurch sie schwerer zu erkennen und zu knacken sind.
- Begrenzung der Rate: Bei Online-Brute-Force-Angriffen werden Passwörter anhand einer Live-Anmeldeseite getestet. Umsetzung der Ratenbegrenzung — d. h. Wenn Sie nur eine bestimmte Anzahl von Login-Anfragen pro Minute zulassen, werden diese Angriffe langsamer und weniger effektiv.
- Kontosperrungen: Kontosperrungen verhindern den Zugriff auf das Konto eines Benutzers – selbst mit einem korrekten Kennwort – nach einer bestimmten Anzahl fehlgeschlagener Anmeldeversuche. Dies trägt dazu bei, Brute-Force-Angriffe abzuschrecken und ihre Erfolgswahrscheinlichkeit drastisch zu verringern, da ein Angreifer nur wenige Vermutungen hat, um das richtige Passwort zu finden.
- Zwei-Faktor-/Mehrstufige Authentifizierung (2FA/MFA): 2FA/MFA erfordert zwei oder mehr verschiedene Authentifizierungsfaktoren, um Zugriff auf das Konto eines Benutzers zu erhalten. Beispielsweise kann es bei MFA erforderlich sein, dass ein Angreifer sowohl ein Kennwort als auch ein Einmalkennwort (OTP) errät oder stiehlt, das von einer Authentifikator-App generiert wird.
- Verhaltensanalysen: Eine Organisation kann Verhaltensanalysen verwenden, um verdächtiges Verhalten im Zusammenhang mit Benutzerkonten zu identifizieren. Eine große Anzahl fehlgeschlagener Anmeldeversuche deutet beispielsweise auf einen versuchten Brute-Force-Angriff zum Erraten von Kennwörtern hin.
- IP-Sperrliste: Ein Angreifer kann auch explizit Datenverkehr von bestimmten, bekanntermaßen fehlerhaften IP-Adressen blockieren. Dies kann es für ein Botnet schwieriger machen, einen Brute-Force-Angriff zum Erraten von Passwörtern durchzuführen.
Abwehr des modernen Cyberangriffs
Die Cyber-Bedrohungslandschaft hat sich in den letzten Jahren rasant weiterentwickelt. Brute-Force-Angriffe sind zwar eine alte Bedrohung, aber die moderne Technologie macht sie effektiver als in der Vergangenheit. Infolgedessen hat ein Brute-Force-Angreifer eine höhere Chance, Zugriff auf das Konto eines Benutzers zu erhalten und Geld oder Daten zu stehlen.
Die Kontoübernahme ist jedoch nur ein Cyberangriff, mit dem Unternehmen konfrontiert sind. Weitere Informationen zur aktuellen Cyber-Bedrohungslandschaft finden Sie im Mid-Year Cybersicherheit Report 2023 von Check Point. Heute sind Unternehmen mit der fünften Generation von Cyberangriffen konfrontiert, die größer, ausgeklügelter und unauffälliger sind als je zuvor. Erfahren Sie mehr über den Schutz vor der Cyber-Bedrohung der Generation V mit Check Point.
Feedback