U autentizace mohou být kandidáti testováni online u služby nebo offline vůči zachyceným ověřovatelům hesel či šifrovanému materiálu. Pojem je zastřešující pro strategie jako soustředěné hádání hesel, password spraying a credential stuffing, ačkoli se jejich zdroje kandidátů a distribuce účtů liší.
Online pokusy vytvářejí události ověřovatele a mohou být distribuovány, aby se vyhnuly jednoduchým prahům. Offline pokusy nastávají po získání chráněného materiálu a nevytvářejí selhání přihlášení, takže ochrana a důkazy se liší.
Klíčové body
Vzory kandidátůMnoho kandidátů může být testováno vůči jednomu účtu, malá sada kandidátů napříč mnoha účty, nebo exponované páry přihlašovacích údajů vůči jiným službám; každý vzor mění riziko detekce a lockoutu.
DůkazyKorelujte selhání a úspěchy napříč účty, zdroji, zařízeními, službami a časem, při kontrole objevování účtů, krádeže ověřovatelů hesel, zneužití obnovy a aktivity po úspěšném přihlášení.
Snížení rizikaKde je vhodné, používejte vícefaktorovou autentizaci (MFA) odolnou vůči phishingu, odmítejte kompromitovaná hesla, chraňte uložené ověřovatele vhodným hašováním hesel, omezujte rychlost pokusů a navrhujte obnovu a upozornění proti zneužití.
Důležité omezeníOmezení rychlosti a lockouty účtů nezastaví offline útoky a mohou být obcházeny pokusy s nízkou rychlostí či distribuovanými. Příliš agresivní lockout může také odepřít službu legitimním uživatelům, zatímco úspěšné přihlášení neodhalí, jak byl přihlašovací údaj získán.