دو روش متداول برای دسترسی به حساب‌های غیرمجاز عبارتند از (الف) حمله Brute Force^{(Brute Force Attack)} و (ب) حمله اسپری رمز عبور^{(Password Spray Attack)} . ما حملات Brute Force^{(Brute Force Attacks)} را قبلا توضیح داده ایم. این مقاله بر روی Password Spray Attack تمرکز دارد - چیست و چگونه از خود در برابر چنین حملات محافظت کنید.

تعریف حمله اسپری رمز عبور

Password Spray Attack کاملاً برعکس حمله Brute Force^{(Brute Force Attack)} است. در حملات Brute ^(Basically)Force^{(Brute Force)} ، هکرها یک شناسه آسیب‌پذیر را انتخاب می‌کنند و رمزهای عبور را یکی پس از دیگری وارد^{(Brute Force)} می‌کنند به این امید که ممکن است رمز عبور اجازه ورود به آن‌ها را بدهد .

در مورد حملات Password Spray ، یک رمز عبور برای چندین شناسه^(IDs) کاربری اعمال می شود تا حداقل یکی از شناسه های کاربری در معرض خطر قرار گیرد. برای حملات Password Spray ، هکرها چندین شناسه^(IDs) کاربری را با استفاده از مهندسی اجتماعی^{(social engineering)} یا سایر روش‌های فیشینگ^{(phishing methods)} جمع‌آوری می‌کنند. اغلب اتفاق می افتد که حداقل یکی از آن کاربران از یک رمز عبور ساده مانند 12345678 یا حتی [email protected] استفاده می کند. این آسیب پذیری (یا کمبود اطلاعات در مورد نحوه ایجاد رمزهای عبور قوی^{(create strong passwords)} ) در Password Spray Attacks مورد سوء استفاده قرار می گیرد .

در یک حمله اسپری رمز عبور^{(Password Spray Attack)} ، هکر یک رمز عبور با دقت ساخته شده برای تمام شناسه های^(IDs) کاربری که جمع آوری کرده است اعمال می کند. اگر خوش شانس باشد، هکر ممکن است به یک حساب دسترسی پیدا کند که از آنجا می تواند بیشتر به شبکه کامپیوتری نفوذ کند.

بنابراین، Password Spray Attack می تواند به عنوان اعمال رمز عبور یکسان برای چندین حساب کاربری در یک سازمان برای ایمن کردن دسترسی غیرمجاز به یکی از آن حساب ها تعریف شود.^{(Password Spray Attack can thus be defined as applying the same password to multiple user accounts in an organization to secure unauthorized access to one of those accounts.)}

حمله Brute Force^{(Brute Force Attack)} vs Password Spray Attack

مشکل Brute Force Attacks این است که سیستم ها را می توان پس از تعداد مشخصی از تلاش ها با رمزهای عبور مختلف قفل کرد. به عنوان مثال، اگر سرور را طوری تنظیم کنید که فقط سه بار تلاش را بپذیرد، در غیر این صورت سیستمی را که در آن ورود انجام می شود قفل کنید، سیستم فقط برای سه ورودی نامعتبر رمز عبور قفل می شود. برخی از سازمان‌ها سه مورد را مجاز می‌دانند در حالی که برخی دیگر تا ده تلاش نامعتبر را مجاز می‌دانند. این روزها بسیاری از وب سایت ها از این روش قفل استفاده می کنند. این اقدام احتیاطی یک مشکل در حملات Brute Force^{(Brute Force Attacks)} است زیرا قفل سیستم به مدیران در مورد حمله هشدار می دهد.

برای دور زدن آن، ایده جمع آوری شناسه های^(IDs) کاربری و اعمال رمزهای عبور احتمالی برای آنها ایجاد شد. با Password Spray Attack نیز، اقدامات احتیاطی خاصی توسط هکرها انجام می شود. به عنوان مثال، اگر آنها سعی کردند رمز عبور 1 را برای همه حساب های کاربری اعمال کنند، بلافاصله پس از پایان دور اول، استفاده از رمز عبور2 را برای آن حساب ها آغاز نخواهند کرد. آنها حداقل 30 دقیقه در میان تلاش های هک باقی می گذارند.

محافظت در برابر حملات اسپری رمز عبور^{(Password Spray Attacks)}

هر دو حملات Brute Force Attack^{(Brute Force Attack)} و Password Spray را می توان در میانه راه متوقف کرد، مشروط بر اینکه سیاست های امنیتی مرتبط وجود داشته باشد. اگر فاصله 30 دقیقه ای کنار گذاشته شود، سیستم دوباره قفل می شود اگر برای آن پیش بینی شود. برخی موارد دیگر نیز می توانند اعمال شوند، مانند اضافه کردن اختلاف زمانی بین ورود به سیستم در دو حساب کاربری. اگر کسری از ثانیه است، زمان ورود دو حساب کاربری را افزایش دهید. چنین خط‌مشی‌هایی به مدیران هشدار می‌دهند که می‌توانند سرورها را خاموش کنند یا آنها را قفل کنند تا عملیات خواندن و نوشتن در پایگاه‌های داده انجام نشود.

اولین چیزی که برای محافظت از سازمان در برابر حملات اسپری رمز عبور^{(Password Spray Attacks)} ، آموزش کارکنان خود در مورد انواع حملات مهندسی اجتماعی، حملات فیشینگ و اهمیت رمزهای عبور است. به این ترتیب کارمندان از هیچ رمز عبور قابل پیش بینی برای حساب های خود استفاده نخواهند کرد. روش دیگر این است که ادمین ها پسوردهای قوی را در اختیار کاربران قرار می دهند و نیاز به احتیاط را توضیح می دهند تا پسوردها را یادداشت نکنند و آن را به رایانه خود نچسبانند.

روش هایی وجود دارد که به شناسایی آسیب پذیری های سیستم های سازمانی شما کمک می کند. برای مثال، اگر از Office 365 Enterprise استفاده می‌کنید، می‌توانید Attack Simulator را اجرا کنید تا بدانید که آیا یکی از کارمندان شما از رمز عبور ضعیف استفاده می‌کند یا خیر.

در ادامه بخوانید^{(Read next)} : Domain Fronting چیست؟

Password Spray Attack Definition and Defending yourself

The two most commonly usеd methods to gain access to unauthorized aсcounts are (a) Βrute Force Attack, and (b) Paѕsword Spray Attack. We have еxрlained Brute Force Attacks earlier. This article focuses on Password Spray Attack – what it is and how to protect yourself from such attacks.

Password Spray Attack Definition

Password Spray Attack is quite the opposite of Brute Force Attack. In Brute Force attacks, hackers choose a vulnerable ID and enter passwords one after another hoping some password might let them in. Basically, Brute Force is many passwords applied to just one ID.

Coming to Password Spray attacks, there is one password applied to multiple user IDs so that at least one of the user ID is compromised. For Password Spray attacks, hackers collect multiple user IDs using social engineering or other phishing methods. It often happens that at least one of those users is using a simple password like 12345678 or even [email protected]. This vulnerability (or lack of info on how to create strong passwords) is exploited in Password Spray Attacks.

In a Password Spray Attack, the hacker would apply a carefully constructed password for all the user IDs he or she has collected. If lucky, the hacker might gain access to one account from where s/he can further penetrate into the computer network.

Password Spray Attack can thus be defined as applying the same password to multiple user accounts in an organization to secure unauthorized access to one of those accounts.

Brute Force Attack vs Password Spray Attack

The problem with Brute Force Attacks is that systems can be locked down after a certain number of attempts with different passwords. For example, if you set up the server to accept only three attempts otherwise lock down the system where login is taking place, the system will lock down for just three invalid password entries. Some organizations allow three while others allow up to ten invalid attempts. Many websites use this locking method these days. This precaution is a problem with Brute Force Attacks as the system lockdown will alert the administrators about the attack.

To circumvent that, the idea of collecting user IDs and applying probable passwords to them was created. With Password Spray Attack too, certain precautions are practiced by the hackers. For example, if they tried to apply password1 to all the user accounts, they will not start applying password2 to those accounts soon after finishing the first round. They’ll leave a period of at least 30 minutes among hacking attempts.

Protecting against Password Spray Attacks

Both Brute Force Attack and Password Spray attacks can be stopped midway provided that there are related security policies in place. The 30 min gap if left out, the system will again lock down if a provision is made for that. Certain other things also can be applied, like adding time difference between logins on two user accounts. If it is a fraction of a second, increase timing for two user accounts to log in. Such policies help in alerting the administers who can then shut down the servers or lock them down so that no read-write operation happens on databases.

The first thing to protect your organization from Password Spray Attacks is to educate your employees about the types of social engineering attacks, phishing attacks, and the importance of passwords. That way employees won’t use any predictable passwords for their accounts. Another method is admins providing the users with strong passwords, explaining the need to be cautious so that they don’t note down the passwords and stick it to their computers.

There are some methods that help in identifying the vulnerabilities in your organizational systems. For example, if you are using Office 365 Enterprise, you can run Attack Simulator to know if any of your employees are using a weak password.

Read next: What is Domain Fronting?

Related posts

• این ویژگی نیاز به رسانه های جداشدنی - خطا تنظیم مجدد Password

• تنظیم یک Password Expiration Date برای Microsoft Account and Local Account

• چگونه به Browser show در Text به جای ذخیره Password از نقاط

• LessPass Password Generator and Manager رایگان است

• Bitwarden Review: رایگان Open Source Password Manager FREE Windows PC

• SafeInCloud Password Manager همزمان با Cloud حساب Database

• Password Security Scanner: Analyze و بررسی قدرت رمز عبور خود را

• KeeWeb منبع باز Cross-Platform Password Manager software است

• 10 کلمه عبور رایج برای جلوگیری از

• Key Password Manager واقعی برای Windows PC، Android and iPhone

• Best Free Online Password Managers - آیا آنها بی خطر است؟

• کاربران را مجبور به تغییر Account Password در Login بعدی در Windows 10

• Trend Micro Password Manager برای Windows 10 PC

• بازیابی از دست رفته یا فراموش شده Outlook PST Password با ابزار بازیابی رایگان

• چگونه برای صادرات LastPass کلمه عبور به CSV

• نحوه تولید Random Strong Password در Excel

• Outlook رمز عبور را در Windows 10 صرفه جویی نمی کند

• Recover کلمه عبور از Mail مشتریان: Mail Password Decryptor

• Forgot Windows Administrator Password Offline NT Password

• چگونه به حرکت Microsoft Authenticator به یک گوشی جدید