Wat is een brute force-aanval en hoe deze te voorkomen?

De kosten van een datalek zijn moeilijk te kwantificeren, maar naarmate meer en meer organisaties het slachtoffer worden van aanvallen, wordt de potentiële financiële impact duidelijker. IBM's laatste datalekkostenrapport wees uit dat de gemiddelde kosten van een datalek wereldwijd een recordhoogte van $ 0,35 miljoen bereiken in 2022.

Een veel voorkomende bedreiging in dit webtijdperk is een brute force-aanval. Een brute force aanval in de cybersecurity is een poging om een wachtwoord te achterhalen door systematisch alle mogelijke combinaties van letters, cijfers en symbolen uit te proberen totdat de juiste combinatie wordt gevonden. Niet alleen wachtwoorden kunnen het doelwit zijn van brute force-aanvallen: ook links en mappen, gebruikersnamen en e-mailadressen worden vaak aangevallen.

Soorten brute force-aanvallen:

Meestal zijn er 5 soorten brute force-aanvallen

Bij dit soort brute force-aanvallen proberen aanvallers meerdere wachtwoorden om een specifieke reeks identiteiten aan te vallen. Hier proberen hackers handmatig te raden of de methode van trial and error te gebruiken met betrekking tot de inloggegevens van de gebruiker zonder software te gebruiken, en daarom is deze methode tijdrovend en arbeidsintensief. Hackers proberen alle mogelijke tekens, cijfers en speciale tekens te genereren. Deze methode is alleen effectief voor korte krachten, maar verschrikkelijk voor iets langere.

Password spraying is een vorm van reverse brute force aanval waarbij de aanvaller brute force inlogt op de applicatie op basis van een lijst van gebruikersnamen met standaard wachtwoorden. Deze aanval wordt gewoonlijk gebruikt in gebieden waar de beheerder een standaardwachtwoord instelt voor de nieuwe gebruikers. Normaal gesproken proberen aanvallers de wachtwoorden te raden. Maar in tegenstelling tot een brute-force aanval, die zich richt op één account, zijn wachtwoordinjectieaanvallen in dit geval gericht op meerdere accounts tegelijk. Hier krijgen de aanvallers toegang tot een groot aantal accounts (gebruikersnamen) met een paar gemeenschappelijke wachtwoorden.

Van de naam zelf is het duidelijk - het gebruikt in feite een groot aantal vooraf gedefinieerde populaire uitdrukkingen of termen die normaal in een woordenboek voorkomen. Over het algemeen kan een goede wachtwoordlijst het slagingspercentage van aanvallers verbeteren, maar hier hebben ze vaak meerdere pogingen tegen potentiële doelwitten nodig. Het nadeel van dit soort aanvallen is dat het tijdrovend is en een lage waarschijnlijkheid heeft in vergelijking met nieuwere krachtige aanvalsmethoden.

Bij dit soort aanval combineren hackers een woordenboekaanvalmethode met een eenvoudige brute force-aanval. Normaal kennen hackers de gebruikersnaam, dus voeren zij een woordenboekaanval en eenvoudige brute-force methoden uit om de inlogcombinatie van het account te vinden. Hierbij worden veel voorkomende woorden uit een woordenboek gekozen en vervangen door willekeurige getallen of tekens. Deze gecombineerde aanpak is doeltreffender.

Een credential "stuffing"-aanval omvat het opvullen van wachtwoorden die zijn gekaapt of anderszins openbaar zijn gemaakt door cybercriminelen die worden gebruikt in inlogvelden van meerdere websites. Deze aanval is succesvol wanneer gebruikers dezelfde combinatie van gebruikersnaam en wachtwoord gebruiken of wachtwoorden hergebruiken voor verschillende sociale media-accounts en profielen. Gestolen inloggegevens worden verkocht en verhandeld tussen cybercriminelen op het dark web.

Een aanvaller kan het wachtwoord altijd vinden via een brute-force-aanval. Afhankelijk van de lengte en complexiteit van het wachtwoord, kunnen er biljoenen mogelijke combinaties zijn en daarom kan het jaren duren om de doelwachtwoorden te kraken.

Hoe een brute force-aanval te voorkomen:

Het succes van een brute force aanval wordt berekend aan de hand van de tijd die nodig is om een wachtwoord te kraken. Naarmate de lengte van het wachtwoord toeneemt, neemt de tijd die nodig is om het te kraken ook exponentieel toe. Geschat wordt dat 15 miljoen sleutelbedrijven 9 minuten per seconde nodig zouden hebben om een wachtwoord van zeven cijfers te kraken. Een wachtwoord van 13 cijfers zou meer dan 350.000 jaar duren.