Was ist Passwort-Spraying?

Passwort-Spraying-Angriffe beinhalten das Ausprobieren mehrerer gängiger Passwörter über viele verschiedene Konten hinweg. Ein Angreifer könnte beispielsweise ‚passwort‘, ‚123456‘ und ähnliche gängige Passwörter bei jedem bekannten Konto innerhalb einer Organisation ausprobieren. Häufige Ziele sind Remote-Access-Tools (VPN, RDP usw.), Unternehmens-E-Mails (M365, Google Workspace) und andere öffentlich zugängliche Anmeldeportale.

Diese Taktik ist darauf ausgelegt, Verteidigungen zu umgehen, die nach einer großen Anzahl fehlgeschlagener Anmeldeversuche suchen, bevor sie ein Konto sperren. Wenn der Angriff erfolgreich ist, kann der Angreifer den unbefugten Zugriff nutzen, um auf sensible Daten zuzugreifen, Malware zu platzieren oder seine Präsenz in den Systemen der Organisation auszubauen.

Wichtige Highlights

• Passwort-Spraying versucht, einige wahrscheinliche Passwörter über viele Benutzernamen hinweg auszuprobieren.
• Die Taktik ist darauf ausgelegt, Sperrungen zu vermeiden und einfache pro-Konto-Erkennungen zu umgehen.
• Häufige Ziele sind Active Directory, Cloud-Identitätsplattformen, Microsoft 365, VPNs und andere Remote-Access-Dienste.
• Wiederholte Authentifizierungsfehler mit niedriger Frequenz über viele Konten hinweg sind ein zentrales Erkennungssignal.
• Eine starke Passwortpolitik, MFA und zentrale Authentifizierungsüberwachung können die Exposition verringern, aber keine einzelne Maßnahme eliminiert das Risiko.

Wie funktioniert Passwort-Spraying?

Passwort-Spraying beinhaltet, dass ein Angreifer eine Liste bekannter Benutzernamen abarbeitet und für jeden eine Liste gängiger Passwörter ausprobiert. Oft versuchen sie, ein Passwort nach dem anderen über alle Konten hinweg auszuprobieren, um mehrere fehlgeschlagene Anmeldeversuche für ein bestimmtes Konto innerhalb eines kurzen Zeitraums zu vermeiden. Diese Art von Angriff funktioniert, weil die Verwendung von gängigen, wiederverwendeten Passwörtern weit verbreitet ist.

Angreifer sammeln Benutzernamen und Konten

Passwort-Spraying-Angriffe nutzen die Tatsache aus, dass viele Unternehmen standardisierte Namenskonventionen haben, wie z.B. Vorname-Nachname. Angreifer könnten gängige Konventionen erraten oder eine bekannte E-Mail-Adresse verwenden, um Benutzernamen abzuleiten.

Eine Liste von Mitarbeiternamen kann aus öffentlich zugänglichen Quellen gesammelt werden. Beispielsweise können Unternehmenswebsites, LinkedIn-Profile und andere Seiten eine teilweise Liste von Mitarbeitern bereitstellen, die für diese Art von Angriff ausreichend ist.

Angreifer versuchen gängige Passwörter.

Es sei denn, sie verwenden einen Passwortmanager, müssen die Mitarbeiter in der Lage sein, sich an ihre Passwörter zu erinnern, und schwache, gängige Passwörter sind leichter zu merken. Häufige Beispiele sind saisonale Passwörter (Frühling26), thematische Passwörter von Organisationen und ähnliche Optionen.

Diese Arten von Angriffen nutzen die Wahrscheinlichkeit aus, dass Menschen ein schwaches, vorhersehbares Passwort wählen. Wenn eine Organisation keine strengen Passwortrichtlinien implementiert und durchsetzt, sind oft nur wenige Versuche pro Konto ausreichend, um Zugang zu erhalten.

Wie sich Passwort-Spraying von Brute-Force- und Credential-Stuffing-Angriffen unterscheidet.

Brute-Force-Angriffe umfassen einige verschiedene Techniken, einschließlich Passwort-Spraying und Credential Stuffing. Passwort-Spraying unterscheidet sich von einem traditionellen Brute-Force-Angriff, da es einige Passwörter für viele Benutzernamen verwendet, anstatt viele verschiedene Passwörter für ein bestimmtes Konto.

Credential Stuffing verwendet Passwörter, die in Datenpannen offengelegt wurden, und sucht nach wiederverwendeten Passwörtern über mehrere Konten hinweg. Passwort-Spraying testet schwache Passwörter und sucht nach der Verwendung gängiger Passwörter für ein Unternehmenskonto.

Was macht Passwort-Spraying schwerer zu erkennen?

Traditionelle Brute-Force- und Credential-Stuffing-Angriffe versuchen, ein bestimmtes Konto zu knacken, indem sie eine große Anzahl von fehlgeschlagenen Anmeldeversuchen für dieses Konto erzeugen. Im Gegensatz dazu führt Passwort-Spraying nur wenige fehlgeschlagene Anmeldeversuche für jedes angevisierte Konto ein.

Dies macht Passwort-Spraying schwieriger zu erkennen als diese anderen Angriffe. Einige fehlgeschlagene Anmeldungen könnten Benutzern zugeschrieben werden, die ihre Passwörter falsch eingeben, insbesondere wenn sie über einen längeren Zeitraum verteilt sind und eine Organisation ein einzelnes Konto isoliert betrachtet.

Häufige Ziele von Passwort-Spraying.

Passwort-Spraying-Angriffe zielen häufig auf öffentlich zugängliche Anmeldeportale ab, die eine große Anzahl von Benutzern bedienen. Häufige Beispiele sind:

• Remote-Zugriffstools (VPNs, RDP usw.)
• Identitätsanbieter
• Active Directory-Umgebungen

Da dieser Angriff für den ersten Zugriff verwendet wird, benötigt der Angreifer Anmeldeportale, die öffentlich zugänglich sind. Große Benutzerpopulationen erhöhen auch die Erfolgswahrscheinlichkeit, da ein Angreifer nur wenige Passwörter pro Ziel ausprobiert.

Active Directory-Umgebungen

Viele Organisationen nutzen Active Directory (AD) für das Identitätsmanagement, was bedeutet, dass sie viele gültige Unternehmenskonten enthalten. Angreifer können AD-verbundene Dienste und Kerberos-basierte Workflows als Ziele für ihre Passwort-Spraying-Angriffe nutzen.

Da AD das Identitätsmanagement zentralisiert, bietet ein einziges kompromittiertes Passwort umfassenden Zugriff auf Unternehmenssysteme und -anwendungen. Von dort aus können Angreifer remote auf Systeme zugreifen und versuchen, ihre Berechtigungen zu erhöhen oder lateral durch das Netzwerk zu bewegen.

VPN- und Remote-Zugangsportale

VPNs und andere Remote-Zugangsportale sind so konzipiert, dass sie einem Mitarbeiter den Remote-Zugriff auf eine Unternehmensumgebung ermöglichen. Wenn ein Angreifer das Passwort eines Mitarbeiters erraten kann, hat er den gleichen Zugriff.

Selbst wenn sie nicht erfolgreich sind, können Passwort-Spraying-Angriffe erhebliche Auswirkungen auf das Geschäft haben. Sie erzeugen Rauschen in den Authentifizierungsprotokollen, verursachen Benutzer-Sperren und belasten die Sicherheitsteams zusätzlich.

Signale, die helfen, Passwort-Spraying zu erkennen

Passwort-Spraying kann mithilfe von Datenquellen erkannt werden, die fehlgeschlagene Anmeldeversuche für Unternehmenskonten aufzeichnen. Diese könnten Protokolle und Warnungen von Unternehmens Identitäts- und Zugriffsmanagement (IAM) -Systemen und Remote-Zugangslösungen wie VPNs und RDP umfassen.

Angriffe zu identifizieren erfordert die Korrelation von Daten und die Identifizierung von Mustern über mehrere Benutzerkonten hinweg, da ein bestimmtes Konto möglicherweise nur wenige fehlgeschlagene Anmeldeversuche zeigt. Warnsignale beinhalten mehrere fehlgeschlagene Anmeldungen von verschiedenen Konten, die zeitlich gebündelt sind und möglicherweise aus verteilten und ungewöhnlichen Quellen stammen.

Verdächtige Authentifizierungsaktivitäten

Password-Spraying-Angriffe erzeugen eine große Anzahl von fehlgeschlagenen Anmeldeversuchen für jeden Erfolg. Diese Versuche haben wahrscheinlich ähnliche Zeitabstände, Quellinfrastrukturen und Benutzeragentenmuster.

Mehrere Fehler pro Konto

Bei dieser Art von Angriff sind einige Fehler pro Konto verdächtiger als eine große Anzahl von Fehlern bei einem bestimmten Konto. Das liegt daran, dass Angreifer nur einige Passwörter pro Konto ausprobieren, anstatt ein bestimmtes Passwort mit Brute-Force zu knacken. Sicherheitsteams sollten Daten über mehrere Konten hinweg korrelieren, um Angriffe zu identifizieren, die möglicherweise keinen Schwellenwert für eines von ihnen überschreiten.

Sicherheitskontrollen, die das Risiko von Password-Spraying verringern

Password-Spraying-Angriffe nutzen Benutzerkonten aus, die ausschließlich auf schwache Passwörter zur Authentifizierung angewiesen sind. Möglichkeiten, wie Organisationen dieses Risiko mindern können, sind:

• Starke Passwortrichtlinien und deren Durchsetzung
• Mehrfaktor-Authentifizierung
• Härtung exponierter Authentifizierungsdienste
• Überwachung und Alarmierung bei ungewöhnlichen Anmeldeaktivitäten

Starke Passwortrichtlinien 

Password-Sprayer versuchen, Konten mit schwachen, gängigen Passwörtern zu identifizieren und darauf zuzugreifen. Starke Passwortrichtlinien verringern die Wirksamkeit dieses Angriffs, indem sie die Mitarbeiter von diesen leicht zu erratenden Passwörtern abbringen. Diese Richtlinien sind jedoch nur nützlich, wenn sie durchgesetzt werden und nicht nur ein Dokument mit Passwortrichtlinien sind.

Mehrfaktor-Authentifizierung

Password-Sprayer verlassen sich darauf, dass ein kompromittiertes Passwort ausreicht, um Zugriff auf ein Konto zu erhalten. MFA erhöht die Schwierigkeit dieses Angriffs, indem sie den Angreifer zwingt, auch gültige MFA-Codes für jeden Versuch und die anschließende Nutzung des Kontos zu stehlen. Obwohl MFA die Bedrohung nicht beseitigt, macht es den Angriff viel schwieriger durchzuführen.

Sichere Konfigurationen und Überwachung 

Öffentlich zugängliche Authentifizierungsdienste sind ein häufiges Ziel für Passwort-Spraying, da jeder diese Dienste nutzen kann, um Passwörter zu testen. Die Implementierung sicherer Konfigurationen und die Überwachung helfen, die Bedrohung zu verringern, indem wiederholte fehlgeschlagene Anmeldungen, die ein Kennzeichen dieser Angriffstechnik sind, markiert oder blockiert werden.

Warum Passwort-Spraying weiterhin funktioniert

Passwort-Spraying funktioniert weiterhin, weil Menschen häufig schwache oder vorhersehbare Passwörter wählen, um sich daran zu erinnern, wie sie sich in ihre Konten einloggen. Da Unternehmen eine große Anzahl von Konten mit vorhersehbaren Benutzernamen haben, können Angreifer die Tatsache ausnutzen, dass mindestens ein Konto wahrscheinlich mit einem schwachen Passwort gesichert ist. Öffentlich zugängliche Authentifizierungsportale geben Angreifern die Möglichkeit, potenzielle Passwörter zu testen, und unvollständige Sichtbarkeit verringert das Risiko, dass Organisationen diese verteilten Angriffe erkennen, bevor es zu spät ist.

Warum Passwort-Spraying für die Identitätssicherheit wichtig ist

Passwort-Spraying ist ein Brute-Force-Angriff, der darauf ausgelegt ist, Schwellenwerte und andere Methoden zur Identifizierung von Passwort-Ratenangriffen basierend auf wiederholten Anmeldefehlern zu umgehen. Solange schwache Passwörter verbreitet und als sicher für Unternehmenskonten angesehen werden, wird dieser Angriff weiterhin funktionieren.

Organisationen benötigen umfassende Sichtbarkeit in die Authentifizierung und ein Verständnis für gängige Angriffsvektoren und -muster. Darüber hinaus benötigen Unternehmen eine starke Authentifizierungssicherheit, wie z.B. MFA und starke Passwortrichtlinien oder passwortlosen Login.

FAQ

Was ist Passwort-Spraying in einfachen Worten?

Passwort-Spraying versucht, einige gängige Passwörter über viele verschiedene Benutzerkonten hinweg auszuprobieren. Dieser Angriff maximiert die Wahrscheinlichkeit, dass mindestens ein Konto ein erratbares Passwort hat, und umgeht schwellenbasierte Methoden zur Erkennung von Passwort-Ratenangriffen.

Ist Passwort-Spraying eine Art von Brute-Force-Angriff?

Ja, Passwort-Spraying ist eine besondere Art von Brute-Force-Passwort-Ratenangriff. Statt jedoch viele Passwörter für ein bestimmtes Konto auszuprobieren, werden einige verschiedene Passwörter über viele verschiedene Konten hinweg getestet.

Wie unterscheidet sich Passwort-Spraying von Credential Stuffing?

Passwort-Spraying versucht, einige gängige Passwörter über viele verschiedene Konten hinweg auszuprobieren, wobei schwache Passwortnutzung gezielt wird. Credential Stuffing verwendet Benutzername/Passwort-Paare aus Passwortverletzungen, um von der Wiederverwendung von Anmeldeinformationen zu profitieren.

Kann MFA Passwort-Spraying verhindern?

MFA verringert das Risiko von Passwort-Spraying, da es Angreifer zwingt, einen zusätzlichen Authentifizierungsfaktor zu stehlen, um Passwörter zu erraten und auf kompromittierte Konten zuzugreifen. Es ist jedoch nicht perfekt, da viele gängige Formen von MFA überwunden werden können, was die Überwachung und Reaktion auf die Sicherheit der Authentifizierung weiterhin wichtig macht.

Worauf sollten Teams beim Passwort-Spraying achten?

Die Erkennung von Passwort-Spraying erfordert die Überwachung und Korrelation ungewöhnlicher Anmeldeaktivitäten über viele Konten hinweg. Diese Angriffe führen zu einem Anstieg der insgesamt fehlgeschlagenen Anmeldungen, mit einigen fehlgeschlagenen Versuchen für jedes der vielen Konten.