# Czym jest atak brute-force?
> Atak brute-force (atak siłowy) to wielokrotne testowanie kandydackich wartości lub kombinacji poświadczeń w celu uzyskania dostępu lub odzyskania sekretu.
- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/brute-force-attack/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu
## Treść
W uwierzytelnianiu kandydaci mogą być sprawdzani online przez usługę lub offline względem przechwyconych weryfikatorów haseł albo zaszyfrowanego materiału. Termin jest pojęciem zbiorczym dla strategii takich jak skupione zgadywanie haseł, password spraying i credential stuffing — choć ich źródła kandydatów i rozkłady kont różnią się.
Próby online tworzą zdarzenia weryfikatora i mogą być rozproszone, by uniknąć prostych progów. Próby offline następują po uzyskaniu chronionego materiału i nie tworzą błędnych logowań, więc zabezpieczenia i dowody różnią się.
### Najważniejsze punkty
- **Wzorce kandydatów:** Wielu kandydatów może być testowanych względem jednego konta, mały zbiór kandydatów względem wielu kont albo ujawnione pary poświadczeń względem innych usług; każdy wzorzec zmienia detekcję i ryzyko blokady.
- **Dowody:** Koreluj niepowodzenia i sukcesy między kontami, źródłami, urządzeniami, usługami i czasem, sprawdzając też odkrywanie kont, kradzież weryfikatorów haseł, nadużycie odtwarzania i aktywność po udanym logowaniu.
- **Redukcja ryzyka:** Stosuj uwierzytelnianie wieloskładnikowe (MFA) odporne na phishing tam, gdzie właściwe, odrzucaj skompromitowane hasła, chroń przechowywane weryfikatory odpowiednim haszowaniem haseł, ograniczaj tempo prób i projektuj odtwarzanie oraz alarmowanie pod nadużycia.
- **Istotne ograniczenie:** Limity tempa i blokady kont nie zatrzymują ataków offline i mogą być omijane przez próby o niskim tempie lub rozproszone. Zbyt agresywna blokada może też odmawiać usługi legalnym użytkownikom, a udane logowanie nie ujawnia, jak poświadczenie zostało zdobyte.
### Powiązane terminy
[Credential stuffing]() · [Dane logowania]() · [Uwierzytelnianie]() · [Przejęcie konta (ATO)]() · [Atak oparty na tożsamości]() · [Password spraying]()
### Źródła
[MITRE ATT&CK T1110: Brute Force](https://attack.mitre.org/techniques/T1110/) · [NIST SP 800-63B-4: Authentication and Authenticator Management](https://pages.nist.gov/800-63-4/sp800-63b.html) · [OWASP Authentication Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html)
## Budujmy skuteczniejszą cyberobronę razem
Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.
[Skontaktuj się z Yellow Cube]()
## Źródło i zakres informacji
Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.