What Is a Brute Force Attack?

ブルートフォース攻撃の仕組み

ブルートフォース攻撃は、パスワードが存在する場合、攻撃者が最終的にそれを推測できるという事実に依存しています。 たとえば、ユーザーが 8 文字のパスワードを持っている場合、攻撃者は 8 文字のパスワードをすべて試しても、最終的に正しいパスワードにたどり着きます。 ブルートフォース攻撃の主な制限は、実行に非常に時間がかかることです。 自動化されたブルートフォースツールは毎秒多くのパスワードを試すことができますが、長いランダムなパスワードは解読に数百万年以上かかる可能性があります。

しかし、多くのパスワードにはこのレベルのセキュリティがないため、ブルートフォース攻撃が実行可能な攻撃ベクトルとなっています。 攻撃者が正しいパスワードの特定に成功すると、ユーザーのアカウントにアクセスできるようになり、データや金銭を盗んだり、システムをマルウェアに感染させたり、その他の悪意のある行為を実行したりすることが可能になります。

ブルートフォースパスワード攻撃を防ぐ方法

ブルートフォースパスワード推測攻撃は、アカウントの乗っ取りが成功するリスクをもたらします。 これらの脅威から保護する方法には、次のようなものがあります。

• 強力なパスワード: ブルートフォースパスワード攻撃は、妥当な時間内にパスワードを推測できるという事実に依存しています。 長くてランダムなパスワードを使用すると、ブルートフォース攻撃に必要な複雑さと時間が増します。
• 塩漬けハッシュ: ソルトでは、各パスワードを一意のランダム値と組み合わせてから、ハッシュ化して保存します。 これにより、同一のパスワードが同一のパスワードハッシュを持たないようにし、検出と解読をより困難にすることができます。
• レート制限: オンラインブルートフォース攻撃では、ライブログインページに対してパスワードをテストします。 レート制限の実装 — つまり、 毎分特定の数のログイン要求のみを許可すると、これらの攻撃は遅くなり、効果が低下します。
• アカウントのロックアウト: アカウントロックアウトは、ログイン試行に一定回数失敗すると、正しいパスワードを使用していても、ユーザーのアカウントにアクセスできなくなります。 これは、ブルートフォース攻撃の動機付けに役立ち、攻撃者は正しいパスワードを見つけるために数回推測するだけなので、成功の可能性を劇的に減らします。
• 2 要素/多要素認証 (2FA/MFA): 2FA/MFA では、ユーザーのアカウントにアクセスするために 2 つ以上の異なる認証要素が必要です。 たとえば、 MFA では、認証アプリによって生成されたパスワードとワンタイムパスワード (OTP) の両方を推測または盗むことを攻撃者に要求する場合があります。
• 行動分析: 組織は、行動分析を使用して、ユーザー アカウントに関連する疑わしい動作を特定できます。 たとえば、ログイン試行の失敗が大量にある場合は、ブルートフォースパスワード推測攻撃が試みられたことを示します。
• IP ブロックリスト: 攻撃者は、特定の既知の不正な IP アドレスからのトラフィックを明示的にブロックすることもできます。 これにより、ボットネットがブルートフォースパスワード推測攻撃を実行することがより困難になる可能性があります。