パスワードスプレー攻撃とは｜ロックアウトだけでは見落とす理由

パスワードスプレーは、多くのアカウントへ少数のよくあるパスワードを試す手口です。一つのアカウントに大量の候補を試す攻撃と比べ、個々の失敗回数が少ないため、アカウント単位のロックアウトだけでは見落とす場合があります。失敗の総数だけでなく、複数の利用者に広がる分布を確認します。

対策は認証方式の改善、弱いパスワードの防止、試行の制御、監視を組み合わせます。一つの接続元だけを止めても、経路が分散している場合は十分ではありません。ロックアウトを厳しくするだけでは正規利用者を締め出すリスクもあるので、攻撃への対処と業務の利用を両方評価します。

失敗が広く発生しただけで攻撃と確定しません。認証基盤の障害や設定変更でも似た現象が起きるため、時刻、方式、成功の有無を照合します。

似た名称でも、何を使って認証を試すかが違います。スプレーは少数のよくある候補を多数のアカウントへ試す手口です。一方、クレデンシャルスタッフィングは、別のサービスなどから漏えいしたIDとパスワードの組を、使い回しのあるサービスへ再利用する手口です。「多数のアカウントで失敗した」という件数だけでは、どちらかを確定できません。

例えば、パスワード変更後に複数端末のアプリが古い情報で再接続すると、多数の認証失敗が生じることもあります。時刻・認証方式・失敗理由・接続元・変更作業の有無を照合し、攻撃という仮説と、設定や障害という仮説を分けます。失敗が少ないから安全、成功があったから侵害、のどちらにも飛躍しないでください。

調査のために入力パスワードやアクセストークンをログへ残す必要はありません。秘密の値を保存せず、必要なイベント情報を組織の規程と権限に従って照合します。漏えいした組の再利用への備えはクレデンシャルスタッフィング対策へ。ここでは、スプレーを見落とさない監視の単位に絞って次のケースを読みます。

監視は利用者ごと、接続元ごと、全体の時間帯ごとなど複数の見方を用意します。誤検知や正規利用への影響も含め、検知ルールを見直します。

失敗件数の増加と、確認された侵害を分けて記録します。アカウントの復旧にも本人確認と組織の手順が必要です。

監視の期間を極端に短くすると、ゆっくり分散した試行を見落とす場合があります。短い集中と長い期間の広がりを、正常利用の特徴と比べます。特定の地域や接続元を一律に悪いと決めず、認証の方式、失敗理由、成功した操作を合わせて調べます。

閾値を変更する試験では、正規利用の失敗も含めます。パスワードの変更直後やアプリの古い認証が大量の失敗を生むこともあるため、攻撃への対処と不具合の是正を分けます。検知した現象と原因の判断を記録上も区別します。

サイバーセキュリティの学習ガイドで、このテーマを認証・端末とアクセス管理の中に位置付けてください。関連する前提はクレデンシャルスタッフィング対策、セキュリティアラートのトリアージで確認できます。

資格対策との接点は情報・サイバーセキュリティ管理士の概要へ。用語を理解した後は登録不要の無料お試し20問で、別の状況でも判断できるか確かめてください。記事のテーマを全て公式の出題項目とする説明ではありません。