Tools und Prävention Vorsicht vor Brute-Force-Angriffen!

Bei einem Brute-Force-Angriff beabsichtigen Hacker, die Anmeldedaten zu entschlüsseln. Üblicherweise sind solche Angriffe gegen Admin-Bereiche und Datenbanken gerichtet, um Zugang zu passwortgeschützten Daten zu erhalten. Welche Schutzmaßnahmen bieten sich an?

Im Vergleich zu anderen Techniken, die von Angreifern verwendet werden, benötigen Brute-Force-Angriffe keine Schwachstellen auf einer Website, um zu funktionieren. Stattdessen hängt der Erfolg dieser Angriffe davon ab, dass die User über keine sicheren Anmeldedaten verfügen. Die Leichtigkeit und Einfachheit dieser Taktik sind der Grund, warum sie bei Hackern nach wie vor sehr beliebt ist. Mit den jüngsten Verbesserungen im Bereich der Website-Sicherheit haben Brute-Force-Angriffe ihre vordersten Plätze als bevorzugte Angriffsmethode verloren.

Funktionsweise eines Brute-Force-Angriffs

Brute-Force-Angriffe setzen Trial-and-Error-Methoden ein, um alle möglichen Kombinationen aus Passwörtern, Verschlüsselungen oder beliebigen Anmeldedaten zu erhalten. Es wird „Brute Force“ genannt, weil der Hacker wiederholte und „brachiale“ Versuche unternimmt, um sich unbefugten Zutritt auf ein System oder Gerät zu verschaffen. Obwohl das überraschend simpel erscheint, sind Brute-Force-Angriffe auch heute noch leider recht erfolgreich.

Dafür verwenden Hacker meist Anwendungen und Programme als Tools. Mithilfe dieser Tools lassen sich Passwort-Kombinationen automatisieren, um Authentifizierungssysteme zu umgehen. Andere Vorgehensweisen zielen beispielsweise auf das Erraten von Sitzungs-IDs ab, um Zugriff auf Webanwendungen zu erhalten. Am häufigsten nutzen Hacker jedoch Bots. Cyber-Kriminelle verwenden in der Regel auch Listen gestohlener Zugangsdaten, die aktuell durch vorhergehende Hacks erlangt oder über das Dark Web erworben wurden. Diese Bots erledigen dann die ganze Arbeit und greifen Websites systematisch mit den gestohlenen Zugangsdaten an.

Varianten der Brute-Force-Angriffe

In der Folge sind die häufigsten Varianten von Brute-Force-Angriffen skizziert:

Einfacher Brute-Force-Angriff: Bei dieser Variante versuchen Hacker, ein Passwort ohne die Hilfe von Skripten oder Automatisierung zu entschlüsseln. Damit lassen sich schwache Passwörter und PINs innerhalb Sekunden knacken.

Wörterbuch-Angriff: Ein unbekanntes Passwort wird mithilfe einer Passwörterliste ermittelt. Hacker verwenden diese Variante, wenn man davon ausgehen kann, dass das Passwort aus einer sinnvollen Zeichenkombination besteht. Dies ist erfahrungsgemäß meistens der Fall.

Hybrider Angriff: Häufig verwenden User eine Kombination aus für sie wichtigen Zahlen und Wörtern (Geburtstage, Jahrestage, Namen etc.) für ihre Passwörter. Ein hybrider Angriff kombiniert einen einfachen Brute-Force-Angriff und einen Wörterbuch-Angriff, um die oben erwähnte gemischte Anmelde-Kombination zu entschlüsseln.

Credential Stuffing: Gestohlene Zugangsdaten werden verkauft und zwischen Cyberkriminellen im Darknet ausgetauscht. Credential Stuffing nutzt die Tatsache aus, dass User gerne auf verschiedenen Systemen denselben Benutzernamen und dieselben Passwörter verwenden. Hacker verwenden dann diese zuvor bekannten Kombinationen aus Benutzername und Passwort, um sich bei Benutzerkonten auf vielen Websites anzumelden, bis sie auf ein Konto treffen, das funktioniert.

Umgekehrter Brute-Force-Angriff: Diese Variante beginnt mit einem öffentlich bekannten oder geleakten Passwort. Anschließend verwendet der Hacker die Automatisierung, um nach einem passenden Benutzernamen, einer Kontonummer oder einem Schlüssel zu suchen.

Rainbow-Table-Angriff: Ein Rainbow-Table-Angriff ist ein Angriff, bei dem ein Hacker eine Rainbow-Hash-Tabelle verwendet, um die in einer Datenbank gespeicherten Passwörter zu knacken. Dabei handelt es sich um eine vorberechnete Nachschlagtabelle, zur Umkehrung von kryptografische Hash-Funktionen.

Password Spraying: Während herkömmliche Brute-Force-Angriffe nur darauf abzielen, Passwörter für einzelne Konten zu knacken, verfolgt das sogenannte Password Spraying einen umgekehrten Ansatz, indem eine einzige Passwort-Kombination auf mehrere Konten angewendet wird. Die Variante zielt besonders auf Opfer ab, die Single-Sign-On (SSO) und Cloud-basierte Anwendungen nutzen, die auf Verbund-Anmeldungen angewiesen sind. SSO ermöglicht einem einzelnen Authentifizierungsnachweis den Zugriff auf verschiedene Systeme innerhalb einer einzelnen Organisation.

Verhinderung von Brute-Force-Angriffen

Mithilfe folgender bewährter Methoden lassen sich Brute-Force-Angriffe vermeiden:

Sichere Passwörter: Die Einhaltung strenger Richtlinien für Passwörter ist der einfachste und effektivste Weg, Brute-Force-Angriffe zu vermeiden. Beim Erstellen eines Passworts ist folgendes zu beachten: Keine persönlichen Daten wie Geburtstag, Namen oder E-Mail-Adressen. Niemals Passwörter für Konten – ganz oder auch nur teilweise – recyceln! Es sollten immer einzigartige Passwort-Kombinationen für jedes Online-Konnto verwendet werden. Rund ein Drittel der recycelten oder geänderten Passwörter können oft schon mit etwa zehn Versuchen geknackt werden. Ein Passwort ist idealerweise mindestens 15 Zeichen lang und enthält einen Mix aus Zahlen, Symbole sowie Groß- und Kleinbuchstaben als zufällige Zeichenfolgen.

Anmeldeversuche begrenzen: In der Regel erlauben die meisten Websites, insbesondere wenn sie auf WordPress laufen, unbegrenzte Anmeldeversuche. Website-Administratoren können Plug-ins verwenden, um die möglichen Anmeldeversuche auf einer Website zu begrenzen, und damit Brute-Force-Angriffe zu blockieren. Mit solchen Plug-ins lässt sich die Anzahl der Logins vorgeben, die ein Besucher nutzen darf. Sobald sie die Anzahl der Versuche überschreiten, werden ihre IP-Adressen für eine beträchtliche Zeit von der Website gesperrt.

IP-Adressen überwachen: Anmeldeversuche können auch auf jeweilige Benutzer beschränkt werden, die von einer bestimmten IP-Adresse oder einem Bereich kommen. Dies ist besonders dann relevant, wenn eine hybride Arbeitsumgebung vorliegt bzw. die meisten der Mitarbeiter remote arbeiten. Zudem sind Warnungen einzurichten, wenn Anmeldeversuche von anomalen IP-Adressen erfolgen. Ferner ist es sicherzustellen, dass diese blockiert werden.

Zwei-Faktor-Authentifizierung (2FA): Mit dieser Maßnahme wird eine zusätzliche Sicherheitsebene hinzugefügt. Eine 2FA verlangt von einem User, dass er seine Identität validiert, wenn er sich bei einem Konto anmeldet, bevor ihm der Zugriff gewährt wird. Das heißt, bevor ein Zugriff auf ein Konto erteilt wird, muss der User einen Code eingeben, der an die Handynummer gesendet wird, um die Identität zu überprüfen.

CAPTCHAs: Ein CAPTCHA steht für „Completely Automated Public Turing test to tell Computers and Humans Apart“. Da CAPTCHAs für automatisierte Computerprogramme große Herausforderungen darstellen, die von ihnen nur schwer auszuführen sind, aber für Menschen sehr einfach sind, sind sie eine probate Methode, um Roboter abzuwehren.

Eindeutige Anmelde-URLs: Das Erstellen eindeutiger Anmelde-URLs für verschiedene Benutzergruppen ist ein weiterer herausfordernder und zeitaufwändiger Schritt für einen Hacker.

Web Application Firewalls (WAFs): Web Application Firewalls bieten einen angemessenen Schutz vor Brute-Force-Angriffen. Abgesehen von Brute-Force-Angriffen, können WAFs Denial-of-Service-Angriffe (DOS) verhindern, die Server-Ressourcen erschöpfen, und Schwachstellen-Scan-Tools blockieren, die ein Netzwerk auf Schwachstellen untersuchen.

(ID:49201081)