Kde credential stuffing přehrává známé páry, spraying hádá: hrstka sezónních či výchozích hesel zkoušená proti tisícům účtů. Vzor vyměňuje hloubku za šířku — málo pokusů na účet, rozprostřených napříč adresářem a často napříč zdrojovou infrastrukturou, aby se vyhnul kontrolám rychlosti.
Detekce žije v agregaci: jednotlivá selhání jsou neviditelná, ale jeden zdroj selhávající napříč mnoha účty, nebo mnoho zdrojů selhávajících každý několikrát na účet, tvoří rozpoznatelný tvar. Obrana kombinuje eliminaci slabých a výchozích hesel, autentizaci odolnou vůči phishingu u vysoce hodnotných účtů, lockout a throttling vyladěné na vzory sprayingu a monitorování agregátní signatury.
Klíčové body
VzorMalé sady hesel zkoušené proti mnoha identitám, často federované či externě přístupné autentizační body, rozprostřené v čase a infrastruktuře, aby splývaly s normální mírou selhání.
Obranné kontrolyBlokujte slabá a prolomená hesla při nastavení i při přihlášení, vyžadujte MFA — kde riziko opravňuje, odolnou vůči phishingu — omezujte podle zdroje i cíle a alarmujte na vzory selhání napříč účty.
VyšetřováníKorelujte selhání autentizace podle zdroje a cíle v čase, hledejte úspěšné přihlášení mezi selháními a kontrolujte cesty služeb a starších protokolů, které MFA obcházejí.
Důležité omezeníSamotné omezení rychlosti nezastaví pomalý spraying a mezery v pokrytí MFA — starší protokoly, servisní účty, výjimky — jsou přesně místa, kde spraying uspěje. Nával selhání může být také artefaktem špatně nakonfigurovaného klienta nebo flotily zařízení s expirovanými přihlašovacími údaji, nikoli útok.