Erkennen von Brute - Force Angriffen
Im Rahmen eines samstäglichen Kaffeehaus Aufenthaltes und der Info meines Providers OVH, dass aktuell ein DDOS Angriff auf meinen vServer stattfindet habe ich mir mal ein paar Gedanken gemacht, wie man einen - doch ähnlich gearteten - Brute Force Angriff erkennen könnte.
- Wie verhält sich ein Normaler Nutzer:
- Durch Überwachung von Mustern wie Anmeldezeiten, IP-Adressen und geografischen Standorten könnten Anomalien erkannt werden, die auf einen Brute-Force-Angriff hinweisen.
- IP-Überwachung:
- Überwache die Anzahl der Anmeldeversuche von einer einzelnen IP-Adresse. Ein ungewöhnlich hoher Versuchsaufkommen könnte auf einen Brute-Force-Angriff hinweisen.
- Zeitliche Musteranalyse:
- Analysiere zeitliche Muster der Anmeldeversuche, um plötzliche Anstiege zu ungewöhnlichen Zeiten zu identifizieren. Braucht ein Nutzer normalerweise im Schnitt 3 - 8 Sekunden um sich anzumelden (Eingabe von Nutzername und Passwort) und auf einmal wird mehrfach versucht, Logins im Subsecondbereich durchzuführen, kannst du davon ausgehen dass hier etwas nicht sitmmt.
- CAPTCHA oder ReCaptcha:
- Implementiere CAPTCHA- oder ReCaptcha-Mechanismen, um automatisierte Angriffe zu verhindern.
- IP-Blacklisting:
- Implementiere eine IP-Blacklist und aktualisiere sie basierend auf verdächtigen Aktivitäten. Spamhouse ist eine gute Anlaufstelle, um eine stetig aktualisierte Liste zu erhalten.
- Benutzeragenten-Analyse:
- Überwache die Benutzeragenteninformationen in den Anfragen. Ein auffälliges Muster von Benutzeragenten könnte auf einen automatisierten Angriff hinweisen. Beachte jedoch dass es ein leichtes ist, den Benutzeragenten zu spoofen.
- GeoIP-Filterung:
- Überprüfe die geografische Herkunft der Anmeldeversuche. Plötzliche Anmeldeversuche aus ungewöhnlichen Orten könnten auf einen Angriff hinweisen.
- Passwortrichtlinien:
- Überwache die Einhaltung von Passwortrichtlinien. Eine große Anzahl von Anmeldeversuchen mit offensichtlich schwachen Passwörtern könnte auf einen Brute-Force-Angriff hinweisen.
- Überwachung von Logdateien:
- Analysiere Logdateien in Echtzeit, um verdächtige Muster zu identifizieren. Die Erkennung von Mustern, die von herkömmlichen Überwachungstools möglicherweise übersehen werden, könnte durchgeführt werden.