Tam, gdzie credential stuffing odtwarza znane pary, spraying zgaduje: garść sezonowych lub domyślnych haseł próbowanych przeciwko tysiącom kont. Wzorzec zamienia głębokość na szerokość — mało prób na konto, rozłożonych po katalogu i często po infrastrukturze źródłowej, by uniknąć kontroli tempa.
Detekcja żyje w agregacji: pojedyncze niepowodzenia są niewidoczne, ale jedno źródło zawodzące na wielu kontach albo wiele źródeł zawodzących po kilka razy na koncie tworzy rozpoznawalny kształt. Obrona łączy eliminację słabych i domyślnych haseł, uwierzytelnianie odporne na phishing dla kont wysokiej wartości, blokady i dławienie dostrojone do wzorców sprayingu oraz monitoring sygnatury zbiorczej.
Najważniejsze punkty
WzorzecMałe zbiory haseł próbowane względem wielu tożsamości, często punktów uwierzytelniania federacyjnych lub skierowanych na zewnątrz, rozłożone w czasie i infrastrukturze, by zlewać się z normalnymi wskaźnikami niepowodzeń.
Kontrole obronneBlokuj słabe i naruszone hasła przy ustawianiu i ponownie przy logowaniu, wymagaj MFA — odpornego na phishing tam, gdzie ryzyko uzasadnia — dław wg źródła i celu oraz alarmuj o wzorcach niepowodzeń międzykontowych.
DochodzenieKoreluj niepowodzenia uwierzytelniania według źródła i celu w czasie, szukaj udanego logowania pośród niepowodzeń i sprawdzaj ścieżki usług oraz protokołów starszych, które omijają MFA.
Istotne ograniczenieSamo ograniczanie tempa nie zatrzymuje sprayingu wolnego i niskiego, a luki w pokryciu MFA — starsze protokoły, konta serwisowe, wyjątki — są dokładnie tam, gdzie spraying odnosi sukces. Seria niepowodzeń może też być artefaktem błędnie skonfigurowanego klienta lub floty urządzeń z wygasłymi poświadczeniami, a nie atakiem.