VS waarschuwt voor lastig te detecteren bruteforce-aanvallen
Het Computer Emergency Readiness Team van de Amerikaanse overheid (US-CERT) waarschuwt organisaties voor lastig te detecteren bruteforce-aanvallen die tegen organisaties in zowel de VS als daarbuiten worden ingezet. Bij een typische bruteforce-aanval probeert een aanvaller in hoog tempo allerlei wachtwoorden om zo toegang tot een account te krijgen.
Dit kan er echter voor zorgen dat het account tijdelijk wordt geblokkeerd. Volgens het US-CERT is het algemeen beleid om een account na een bepaald aantal mislukte pogingen in een bepaalde tijd tijdelijk te blokkeren. Bij bruteforce-aanvallen die van "password spraying" gebruikmaken, ook bekend als de "low and slow" methode, probeert een aanvaller één wachtwoord tegen een groot aantal accounts, voordat er een tweede wachtwoord wordt gebruikt. Door deze techniek voorkomt de aanvaller dat een account wordt geblokkeerd en de aanval opgemerkt.
Voor het uitvoeren van dergelijke aanvallen voeren de aanvallers verschillende voorbereidende stappen uit. Zo worden social engineering en online onderzoek uitgevoerd om organisaties en accounts te identificeren die via password spraying worden aanvallen. Bij de aanval maakt men vervolgens gebruik van eenvoudig te raden wachtwoorden en publiek beschikbare tools. Zodra er een account is gehackt wordt de adreslijst gedownload en wordt de aanval tegen meerdere accounts uitgebreid.
Organisaties kunnen password spraying herkennen aan een groot aantal inlogpogingen op hun SSO-portal of webapplicatie die van een enkel ip-adres afkomstig zijn. Andere aanwijzingen zijn inlogpogingen van medewerkers afkomstig van afwijkende ip-adressen. Om de aanvallen tegen adviseert US-CERT het gebruik van multifactor-authenticatie en het controleren van het wachtwoordbeleid.
Aanvallers zullen, om een kans te maken binnen redelijke tijd een werkend wachtwoord te vinden, vanaf vele hosts tegelijk moeten werken. Dat is toch een stuk lastiger.
Aanvallers zullen, om een kans te maken binnen redelijke tijd een werkend wachtwoord te vinden, vanaf vele hosts tegelijk moeten werken. Dat is toch een stuk lastiger.
Als je goed leest, is dat dus niet het geval. Fail2ban blokkeerd alleen als er in een korte tijd veel foute inlogpogingen geweest zijn. Deze aanval die hier besproken wordt, zit een behoorlijke tijd tussen de ene en de andere poging waardoor fail2ban hem niet blokkeerd !
Aanvallers zullen, om een kans te maken binnen redelijke tijd een werkend wachtwoord te vinden, vanaf vele hosts tegelijk moeten werken. Dat is toch een stuk lastiger.
Als je goed leest, is dat dus niet het geval. Fail2ban blokkeerd alleen als er in een korte tijd veel foute inlogpogingen geweest zijn. Deze aanval die hier besproken wordt, zit een behoorlijke tijd tussen de ene en de andere poging waardoor fail2ban hem niet blokkeerd !
Mijn SSH accepteert alleen keys van known IP's. Brute force attacks hebben erg veel zin (not).
Als je goed leest, is dat dus niet het geval. Fail2ban blokkeerd alleen als er in een korte tijd veel foute inlogpogingen geweest zijn. Deze aanval die hier besproken wordt, zit een behoorlijke tijd tussen de ene en de andere poging waardoor fail2ban hem niet blokkeerd !
Volgens mij kan je bij fail2ban gewoon een tijdsperiode definieren.
SSH kan je afregelen per user / src-IP. Zelfs met GeoIP! Mail / HTTP kan dat ook. Transmission (torrent client) doet ook ACL's op basis van netmask. Etc. etc. etc. Waar wil je een voorbeeldje van? :-)
SSH kan je afregelen per user / src-IP. Zelfs met GeoIP! Mail / HTTP kan dat ook. Transmission (torrent client) doet ook ACL's op basis van netmask. Etc. etc. etc. Waar wil je een voorbeeldje van? :-)
Fail2ban kan ook client ip's een bad reputation toedelen en langere tijd geblokkeerd houden ;)
SSH kan je afregelen per user / src-IP. Zelfs met GeoIP! Mail / HTTP kan dat ook. Transmission (torrent client) doet ook ACL's op basis van netmask. Etc. etc. etc. Waar wil je een voorbeeldje van? :-)
Fail2ban kan ook client ip's een bad reputation toedelen en langere tijd geblokkeerd houden ;)
Fail2ban heeft jails op basis van filters en actions.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
