什么是暴力破解攻击？
理解暴力破解攻击
暴力破解是一种网络攻击方法，恶意分子通过反复尝试随机组合字符，直到任何一个字符被验证并获得账户访问权限，从而破解登录凭证。黑客在没有数据或漏洞可用时，会使用暴力破解。这是网络攻击中最慢且效率最低的一种。尽管暴力破解攻击看似简单，但未能防御可能导致严重的安全隐患。如果成功，这些攻击可能为更严重的威胁铺平道路，如勒索软件攻击和凭证盗窃。
暴力破解攻击能造成什么伤害？
随着硬件和软件的改进，暴力破解攻击显著增加，能够在几秒钟内处理数百万个凭证。暴力破解的复杂性不足并不意味着它总是失败。这种攻击可以用来利用密码较短的较弱网站或账户。
花费数小时访问一个凭证似乎不算什么。然而，如果被黑的那个账户是拥有敏感数据访问权限并有编辑或删除权限的特权账户，其他账户就不必暴力破解，且他们的访问权限也可以被被劫持的特权账户控制。这是数据泄露的初始阶段，随后将提供实施其他攻击（如凭证填充和密码喷射）所需的信息。
虽然暴力破解攻击本身不会给组织带来巨大损失，但它们会为其他网络攻击创造机会。随着安全漏洞每年让组织损失大量资金，关闭任何可能导致漏洞的漏洞变得尤为重要。
暴力破解攻击是如何运作的？
暴力破解攻击基于穷尽的反复试验原则。攻击者使用自动化软件或脚本，生成大量连续的密码或加密密钥猜测。这些猜测通常从最简单的组合开始，逐渐增加复杂度，直到找到正确的密码或密钥，从而让攻击者能够访问账户。
暴力破解攻击有哪些类型？
随机猜测用户凭证的过程不切实际，且会对执行暴力破解的系统造成严重影响。如果攻击者掌握更多数据，这种情况可以被简化。根据攻击者所使用的数据类型，暴力破解攻击可以分为四种不同类型。
词典攻击：如果攻击者有一组人们常用的短语，他们可以先使用这组短语，而不是依赖随机的计算机生成字符串。由于人们倾向于使用容易记住的密码，这也是缩小凭证范围的简单方法。
密码喷洒：常用的密码如“password1234”也更有可能成为攻击者所需的凭证。
凭证破解：在某些情况下，最近在重大数据泄露中泄露的凭证可以被利用。考虑到它们的相关性，它们比那些较旧且已被淘汰的常见密码更有可能被广泛使用。
凭据填充攻击：若攻击者成功破解了用户在某一服务上的凭据，便会尝试在其他服务中复用这些凭据。这是因为人们通常只记得一组固定的账号信息，且倾向于在所有账号中重复使用相同密码。通过这种攻击方式，攻击者只要在一个服务上登录成功，就可能同时攻陷多个其他系统，从而扩大单次数据泄露的影响范围。
抵御暴力破解攻击的最佳防护方法是什么？
用户如何才能防范暴力破解攻击？
您可以通过实施以下措施防止账户被暴力破解：
（1）使用复杂密码：
鼓励或强制使用长度足够、复杂度高、不易被猜测的密码，密码应同时包含大小写字母、数字和特殊字符。例如：一个包含数字的 6 位密码，大约有 20 亿种组合，密码破解集群仅需一天即可破解。若将密码长度增加到 12 位，组合数将呈指数级增长至约 475 万亿种，同样的破解集群需要大约 750 万年才能破解。
（2）采用多因素认证：
多因素认证（MFA）通过要求用户在访问账户或系统前提供多种验证方式，增加了额外的安全层。即使密码被泄露，MFA也有助于降低未经授权访问的风险。
使用密码管理器：密码管理工具可以为所有在线账户创建并保存强大且独立的登录信息，最大限度地减少重复使用相同密码的可能性。此外，它们还能协助管理和自动填写密码，防止用户使用弱密码或常用密码。
组织如何保护用户免受暴力破解攻击？
组织可以采取一些措施，以保护其服务和企业账户免受暴力破解攻击的影响：
（1）实施速率限制与 IP 黑名单：
通过配置速率限制，限制单个 IP 地址在指定时间内的登录尝试次数，可有效防范自动化登录攻击。可将此类 IP 加入黑名单，使其后续无法再次发起登录尝试。
（2）使用 CAPTCHA 拦截脚本与机器人：
在登录界面启用验证码，可有效拦截用于暴力破解的自动化脚本与机器人，大幅提高攻击者的攻击成本，使其攻击不再具备可行性。
（3）监控并分析登录行为：
定期监控并分析日志中的异常登录模式，例如短时间内来自同一 IP、同一地区或针对同一目标账户的大量失败登录。
（4）为特权账户强制启用多因素认证（MFA）：
对特权账户强制启用 MFA，可确保即便其凭据在重大数据泄露事件中被泄露，账户依然安全。若无法为所有用户启用 MFA，至少应优先保护管理员账户，防止其被入侵后影响整个组织。
（5）实施账户锁定策略与渐进式延迟：
配置系统在登录失败达到指定次数后自动锁定用户账户，并启用延迟机制，迫使攻击者转移目标。此举可防止攻击者无限制猜解密码，并有效减缓攻击进度。
使用 ADSelfService Plus 防止暴力破解攻击
为了加强对暴力破解和其他网络威胁的防御，可以考虑实施ManageEngine ADSelfService Plus，这是一款具备自适应多重身份验证和强大密码策略执行器的身份安全解决方案。它集成了用户、设备和应用的多重身份验证，提供额外的安全层，显著降低未经授权访问的风险。通过实施强而细致的密码策略、启用端点多重身份验证（MFA）以及作为安全密码管理器，ADSelfService Plus可以帮助你的组织抵御这些网络攻击，同时保持整个流程的用户友好性。此外，还可结合 “我是否被泄露”（Have I Been Pwned）平台，确保用户不使用已泄露的密码。
常见问题（FAQs）
- ADSelfService Plus 能否实现员工密码的自助重置与解锁？
可以。ADSelfService Plus支持员工在密码过期、忘记密码或账户被锁定时，通过预设的验证方式（短信、邮箱、密保问题、MFA等）自主完成密码重置和账户解锁，无需IT管理员人工介入，大幅减少IT部门的日常运维工作量，同时避免因密码问题影响员工办公效率。
- ADSelfService Plus 如何与企业现有AD域环境做集成？
ADSelfService Plus可无缝对接企业Active Directory（AD）、Azure AD、Exchange Server等域环境，无需对现有域架构做修改，通过简单的配置即可实现域账户的密码策略统一管控、自助密码管理、MFA认证等功能，同时同步域账户的所有操作日志，实现域环境身份安全的一体化管理。
- ADSelfService Plus 支持哪些类型的多因素认证（MFA）方式？
ADSelfService Plus提供十余种MFA认证方式，包括短信验证码、邮箱验证码、硬件令牌、软件令牌、生物识别（指纹/人脸）、二维码扫码、推送通知、安全问题、YubiKey等，支持根据企业场景自定义认证策略，可对不同用户、不同应用设置差异化的MFA验证组合，兼顾安全性与易用性。
