What Is a Brute Force Attack?
Um ataque de força bruta é um tipo de ataque de controle de conta. Ele usa tentativa e erro para tentar adivinhar senhas ou outros segredos que concederiam acesso a conteúdo restrito.
Em um ataque de força bruta, o invasor tenta cada valor possível para uma senha ou outro segredo na tentativa de identificar o valor correto. Esses ataques têm garantia de sucesso, mas podem ser inviabilizados pelo uso de senhas fortes ou pela implementação da autenticação multifatorial (MFA).
Como funciona um ataque de força bruta?
Um ataque de força bruta se baseia no fato de que, se uma senha existir, o invasor poderá adivinhá-la eventualmente. Por exemplo, se um usuário tiver uma senha de oito caracteres, um invasor que tentar todas as senhas possíveis de oito caracteres acabará encontrando a senha correta. A principal limitação dos ataques de força bruta é que eles podem consumir muito tempo para serem executados. Embora as ferramentas automatizadas de força bruta possam tentar muitas senhas por segundo, uma senha longa e aleatória pode levar milhões de anos ou mais para ser descoberta.
No entanto, muitas senhas não têm esse nível de segurança, o que torna a força bruta um vetor de ataque viável. Se o invasor identificar com êxito a senha correta, ele terá acesso à conta do usuário, o que lhe permitirá roubar dados ou dinheiro, infectar sistemas com malware ou realizar outras ações mal-intencionadas.
Tipos de ataques de força bruta
Um ataque de força bruta é definido pelo ato de tentar adivinhar várias senhas até que o invasor identifique a correta. Existem alguns tipos diferentes de ataques de força bruta, incluindo:
- Ataque de força bruta simples: Em um ataque de força bruta simples, o invasor verifica exaustivamente todas as senhas candidatas possíveis. Por exemplo, eles podem tentar aaaaaaaa, aaaaaaaab, etc.
- Ataque de dicionário: Um ataque de dicionário funciona com base em uma lista de palavras comuns do dicionário e senhas violadas. Essas senhas também são frequentemente submetidas a transformações simples, como a adição de números no final de uma palavra ou a substituição de caracteres especiais (@ por a, etc.).
- Ataque híbrido de força bruta: Um ataque de força bruta híbrido combina um ataque de dicionário e um ataque de força bruta simples. O invasor primeiro tenta adivinhar a senha do usuário usando um dicionário antes de passar para um simples ataque de força bruta, caso não tenha êxito.
- Ataque reverso de força bruta: Em um ataque de força bruta reversa, o invasor começa com uma senha conhecida ou comum. Em seguida, eles procuram por nomes de usuário que estejam usando essa senha.
- Ataque de Credential Stuffing: Em um ataque de credential stuffing, o invasor tenta usar as credenciais violadas de um site em outros sites. Isso tenta identificar a reutilização de senhas em várias contas diferentes.
Como evitar ataques de força bruta a senhas
Os ataques de adivinhação de senhas por força bruta apresentam o risco de controle bem-sucedido da conta. Algumas maneiras de se proteger contra essas ameaças incluem:
- Senhas fortes: Os ataques de força bruta a senhas se baseiam no fato de que uma senha pode ser adivinhada em um período razoável de tempo. O uso de uma senha longa e aleatória aumenta a complexidade e o tempo necessário para um ataque de força bruta.
- Hashes salgados: A salga envolve a combinação de cada senha com um valor aleatório exclusivo antes de fazer o hash e armazená-la. Isso ajuda a garantir que senhas idênticas não tenham hashes de senha idênticos, tornando-as mais difíceis de detectar e decifrar.
- Limitação de taxa: Os ataques de força bruta on-line envolvem o teste de senhas em uma página de login ativa. Implementação de limitação de taxa - ou seja, o permitindo apenas um determinado número de solicitações de login por minuto - torna esses ataques mais lentos e menos eficazes.
- Bloqueios de conta: Os bloqueios de conta impedem o acesso à conta de um usuário - mesmo com uma senha correta - após um determinado número de tentativas de login com falha. Isso ajuda a desestimular os ataques de força bruta e reduz drasticamente a probabilidade de sucesso, pois o invasor tem apenas algumas tentativas para encontrar a senha correta.
- Two-Factor/Autenticação multifatorial (2FA/MFA): 2FA/MFA requer dois ou mais fatores de autenticação diferentes para obter acesso à conta de um usuário. Por exemplo, a MFA pode exigir que um invasor adivinhe ou roube tanto uma senha quanto uma senha de uso único (OTP) gerada por um aplicativo autenticador.
- Análise comportamental: Uma organização pode usar a análise comportamental para identificar comportamentos suspeitos relacionados a contas de usuários. Por exemplo, um grande volume de tentativas de login com falha indica uma tentativa de ataque de adivinhação de senha por força bruta.
- Lista de bloqueio de IP: Um invasor também pode bloquear explicitamente o tráfego de determinados endereços IP sabidamente ruins. Isso pode tornar mais difícil para um botnet realizar um ataque de força bruta para adivinhar a senha.
Defesa contra o ataque cibernético moderno
O cenário de ameaças cibernéticas evoluiu rapidamente nos últimos anos. Embora os ataques de força bruta sejam uma ameaça antiga, a tecnologia moderna os torna mais eficazes do que eram no passado. Como resultado, um invasor de força bruta tem mais chances de obter acesso à conta de um usuário e roubar dinheiro ou dados.
No entanto, o sequestro de contas é apenas um dos ataques cibernéticos que as organizações enfrentam. Para obter mais informações sobre o cenário atual de ameaças cibernéticas, consulte o Relatório de Cibersegurança Semestral 2023 da Check Point. Atualmente, as organizações enfrentam a quinta geração de ataques cibernéticos, que são maiores, mais sofisticados e mais furtivos do que nunca. Saiba mais sobre a proteção contra a ameaça cibernética da geração V com a Check Point.
