今天，密碼依然是許多組織整體網(wǎng)絡(luò)安全防御中最薄弱的環(huán)節(jié)之一，同時也是最熱門的攻擊對象之一，根據(jù)卡巴斯基的報告，2021年三季度密碼竊取惡意軟件的攻擊激增了45%，針對個人用戶的攻擊數(shù)量也增長了近30%。為了幫助企業(yè)和個人更好地保護(hù)密碼安全，以下我們整理了十大主流密碼攻擊及其防護(hù)措施（其中一些存在分類上的交集或從屬關(guān)系）：
大密碼攻擊
---------------------------------------------------------------------------------------------------------------------
（及主要緩解措施）
以下是企業(yè)最常遭遇的十大密碼攻擊和緩解措施，有效和針對性的緩解措施可以大大減少攻擊受損和關(guān)鍵業(yè)務(wù)數(shù)據(jù)的丟失和泄露。
1. 暴力攻擊
2. 字典攻擊
3. 密碼噴灑
4. 憑證填充
5. 網(wǎng)絡(luò)釣魚
6. 鍵盤記錄器攻擊
7. 社會工程攻擊
8. 重設(shè)密碼
9. 物理盜竊
10. 密碼重用
暴力攻擊指黑客使用大量常見或泄露密碼進(jìn)行大量訪問嘗試的簡單粗暴的密碼攻擊。即使是使用當(dāng)今的高性能CPU能力的“游戲PC”級的計算機(jī)也可以每秒“猜測”數(shù)十億個密碼。
緩解措施：
帳戶鎖定、密碼長度要求（長度超過20個字符）、阻止使用增量密碼和常見組合，以及泄露密碼防護(hù)、自定義字典和MFA（多因素認(rèn)證）。
字典攻擊是暴力攻擊的一種，在破解密碼或密鑰時，逐一嘗試用戶自定義詞典中的可能密碼（單詞或短語）的攻擊方式。與暴力破解的區(qū)別是，暴力破解會逐一嘗試所有可能的組合密碼，而字典式攻擊會使用一個預(yù)先定義好的單詞列表（可能的密碼）。
緩解措施：
密碼長度/密碼超過20個字符，阻止增量/常見模式密碼，泄露密碼防護(hù)，自定義字典，MFA。
窮舉攻擊是固定好用戶名，利用多個密碼嘗試驗證。與窮舉攻擊相反，密碼噴灑攻擊是固定好密碼，嘗試多個用戶名進(jìn)行驗證。密碼噴灑使用一個或數(shù)個通用密碼“碰撞”許多不同的帳戶，這種方法可以避免（多次密碼嘗試后的）帳戶鎖定閾值，許多組織將賬戶密碼的錯誤嘗試次數(shù)限制在3到5次。
通過每次只嘗試少于鎖定閾值的一個密碼，攻擊者可以在整個組織中嘗試多個密碼，而不會被Active Directory中的默認(rèn)保護(hù)機(jī)制阻止。密碼噴灑攻擊者通常會選擇最終用戶常用的密碼、或使用已在網(wǎng)上泄露的密碼。
緩解措施：
密碼長度超過20個字符，阻止增量/常見模式弱密碼，泄露密碼防護(hù)，自定義字典，MFA。
憑證填充（Credential Stuffing）是一種自動黑客攻擊，也就是我們習(xí)慣稱的“撞庫”,利用從一項服務(wù)數(shù)據(jù)泄露中獲得的登錄憑據(jù)嘗試登錄到另一個不相關(guān)的服務(wù)。憑借高達(dá)2%的成功率，憑證填充自動程序占全球需多大型網(wǎng)站所有登錄流量的90%以上，并且產(chǎn)生大量二手?jǐn)?shù)據(jù)泄露。
緩解措施：
阻止增量/常見模式弱密碼、泄露密碼防護(hù)/自定義字典、MFA、帳戶鎖定
網(wǎng)絡(luò)釣魚是一種古老的攻擊，已經(jīng)有幾十年歷史，但至今仍然非常有效，非常主流。網(wǎng)絡(luò)釣魚攻擊通過欺詐手段操縱人們執(zhí)行操作或泄露機(jī)密信息，通常通過電子郵件進(jìn)行實施。例如，攻擊者偽裝成合法組織或服務(wù)，以誘使用戶泄露帳戶信息。
最常見的網(wǎng)絡(luò)釣魚策略是“緊急恐嚇”，釣魚電子郵件中可能包含諸如“緊急，您的帳戶已被黑客入侵”之類的措辭。攻擊者利用最終用戶的恐慌情緒，讓用戶在“保護(hù)信息”時泄露信息。
緩解措施：
網(wǎng)絡(luò)安全意識培訓(xùn)、MFA、配置電子郵件橫幅、郵件服務(wù)器配置（DKIM、SPF等）
鍵盤記錄器攻擊用于記錄用戶在鍵盤上輸入的敏感信息，例如帳戶信息。鍵盤攻擊涉及軟件和硬件。例如，間諜軟件可以記錄鍵盤敲擊以竊取各種敏感數(shù)據(jù)，從密碼到信用卡號碼。如果攻擊者可以物理訪問最終用戶的計算機(jī)，則可以將物理硬件設(shè)備與鍵盤關(guān)聯(lián)以記錄輸入的擊鍵。
緩解措施：
安全意識培訓(xùn)、最新的惡意軟件保護(hù)、惡意URL保護(hù)、MFA、阻止未知USB設(shè)備、密碼管理器、對關(guān)鍵業(yè)務(wù)環(huán)境的安全物理訪問。
社會工程包括一系列惡意活動，以操縱人們執(zhí)行操作或泄露機(jī)密信息，包括網(wǎng)絡(luò)釣魚、語音釣魚、社交媒體、誘餌和跟蹤等。例如，網(wǎng)絡(luò)釣魚攻擊是一種社會工程攻擊形式，攻擊者會誘騙您向他們提供敏感信息，例如密碼、銀行信息或?qū)δ挠嬎銠C(jī)或移動設(shè)備的控制權(quán)。
緩解措施：
安全意識培訓(xùn)、安全的MFA方法（例如不使用安全問題）
密碼重置攻擊是一種經(jīng)典的社會工程攻擊技術(shù)，攻擊者假冒受害者致電服務(wù)臺請求重置密碼。黑客只需要說服服務(wù)臺工作人員向他們提供新密碼，而不是試圖猜測或破解它。大型企業(yè)的服務(wù)臺員工可能并不認(rèn)識所有員工，因此尤其危險。疫情期間隨著更多員工轉(zhuǎn)向混合或完全遠(yuǎn)程工作模式，重置攻擊也變得越來越普遍——因為驗證最終用戶并不像親自打招呼那么簡單。多項研究表明，密碼重置中間人攻擊非常簡單有效。
緩解措施：
服務(wù)臺的驗證/MFA、安全意識培訓(xùn)、使用MFA的自助密碼重置(SSPR)
寫下密碼是一種常見且非常危險的活動。貼在顯示器上的“寫有主密碼的便利貼”很容易成為一次重大數(shù)據(jù)泄露事件的誘因。在密碼管理中強(qiáng)制執(zhí)行復(fù)雜性要求可能會導(dǎo)致用戶將其寫下來。對于少量需要記憶的密碼，可選擇使用密碼短語組合的方式。如果您的最終用戶正在為關(guān)鍵業(yè)務(wù)系統(tǒng)使用多個密碼，請使用密碼管理器?？傊@示器或桌子上的“物理密碼”是大忌。
緩解措施：
安全意識培訓(xùn)、使用密碼短語和密碼管理器
密碼重用是數(shù)據(jù)泄露的主要原因之一。研究發(fā)現(xiàn)，超過70%的員工在工作中重復(fù)使用密碼。在個人和公司帳戶之間共享密碼會使您的網(wǎng)絡(luò)容易受到帳戶攻擊。如果您注冊的愛好者論壇被黑客入侵，并且您在公司帳戶中使用相同的密碼，您的密碼最終會出現(xiàn)在暗網(wǎng)上，公司系統(tǒng)也因此變得脆弱。
緩解措施：
安全意識培訓(xùn)、密碼短語、密碼管理器、泄露密碼防護(hù)、自定義字典、阻止增量、日常模式密碼。
