ブルートフォースアタックとは何か、その仕組みは？
by
最終更新日:
読書時間 5 分
テクノロジーの進化に伴い サイバーセキュリティの脅威 は、より複雑で高度なものになっています。このような脅威のひとつに、ハッカーがターゲットのアカウントやシステムに不正にアクセスするために使用するブルートフォースアタックという手法があります。ブルートフォースアタックは、これまで 複数の著名なデータ侵害を担当したそのため、個人や組織にとって重大な関心事となっています。
この記事では、ブルートフォースアタックの世界に飛び込みます。ブルートフォースアタックとは何か、どのように機能するのか、そして自分自身とシステムを守るためにどのような手段を講じることができるのか、探ってみましょう。
主なポイント
- ブルートフォース攻撃は、正しい認証情報が見つかるまで、ありとあらゆる認証情報の組み合わせを系統的に試行する。
- ブルートフォース攻撃には、単純なブルートフォース攻撃、クレデンシャル・スタッフィング、辞書攻撃、ハイブリッド攻撃、逆ブルートフォース攻撃など、さまざまな種類がある。
- 大文字と小文字、数字、記号を組み合わせた強力でユニークなパスワードを使用することは、総当たり攻撃から身を守るために不可欠です。
- 二要素認証を導入することで、セキュリティのレイヤーが追加され、攻撃者は正しいパスワードでもアクセスすることが難しくなる。
- アカウントの活動を監視し、ログイン試行を制限することで、不正アクセスを検出し、ブルートフォース攻撃の成功を防ぐことができる。
ブルートフォースアタックの定義
ブルートフォースアタックは サイバー攻撃の種類これは、認証情報（通常はユーザー名とパスワード）のあらゆる可能な組み合わせを、正しいものが見つかるまで試すことを意味します。攻撃者は、ターゲットのアカウントやシステムに不正にアクセスすることを目的としています。 ~ソース
この攻撃は通常自動化されており、攻撃者は専用のツールやソフトウェアを使用して、多くの潜在的なパスワードやその他の認証情報を生成することができます。
この方法は、攻撃者が対象のパスワードの予備知識を持たず、パスワードが容易に推測できない場合によく使われる。
ブルートフォース攻撃は、オンラインアカウント、電子メールアカウント、サーバー、モバイルデバイスなど、認証が必要なあらゆるシステムをターゲットにすることができます。
PowerDMARCでセキュリティを簡素化！
ブルートフォースアタックとは？
ブルートフォース攻撃では、攻撃者は標的のシステムやアカウントへのアクセスを許可する正しい認証情報を見つけるまで、あらゆる可能な文字の組み合わせを体系的に試します。
ブルートフォース攻撃は、通常、自動化されており、ソフトウェアまたは専用ツールによって実行される。攻撃者は、異なる辞書、単語リスト、またはアルゴリズムを使用して、多くの潜在的なパスワードまたはその他の認証情報を生成することができます。
ブルートフォースアタックはどのように動作するのか？
ブルートフォース攻撃は、通常、攻撃者が潜在的なユーザー名や電子メールアドレスのリストを取得することから始まります。次に、専用のツールやソフトウェアを使用して、パスワードやその他の認証情報の候補のリストを生成します。
攻撃に使用されるソフトウェアやツールは、その後、正しいパスワードが見つかるまで、ユーザー名とパスワードのあらゆる可能な組み合わせを体系的に試します。このプロセスは、特にパスワードが長く複雑な場合、長い時間を要することがあります。
総当たり攻撃でパスワードを解読するのにかかる時間は、パスワードの複雑さ、暗号化の強度、攻撃者のコンピュータやネットワークの速度など、いくつかの要因に左右されます。
例えば、大文字、小文字、数字、記号の組み合わせで構成される強力なパスワードは、ブルートフォース攻撃で解読するのに数ヶ月から数年かかることもあります。
ブルートフォースアタックの種類
ブルートフォース攻撃は、系統的に異なる組み合わせを試すことによって、正しい認証情報を決定することを目的としています。ブルートフォースアタックに成功すると、被害組織にとって非常に大きなコストと時間を要することになります。
ブルートフォースアタックには、いくつかの種類があります。
シンプルなブルートフォースアタック
単純なブルートフォース攻撃は、可能な限りのパスワードを実行し、それが機能するかどうかをチェックするものです。
この種の攻撃の主な利点は、非常に高速であることです。しかし、多くのシステムでは、試行回数が制限されているため、非常に効果がないこともあります。
さらに、パスワードの中には、どのコンピューターシステムでも合理的な時間で処理するには長すぎるものがあります。
クレデンシャルスタッフィング
クレデンシャル・スタッフィングとは、パスワードの推測の一種で、過去の侵入やデータ漏洩から収集した有効なユーザー名とパスワードのリストを使用するものである。
攻撃者は、Pastebinなどのウェブサイトでユーザー名とパスワードを検索することで、これらのリストを使用して、これらの認証情報がまだ有効である可能性のある他のサイトのアカウントにアクセスすることができます。
辞書ブルートフォース攻撃
攻撃者は、辞書を使用してパスワードを探します。攻撃者は最も人気のあるパスワードを使用し、ターゲットのWebサイトでそれを試します。これは多くのトラフィックを発生させるので、検出と防止が非常に簡単です。
ハイブリッドブルートフォースアタック
ハイブリッドブルートフォース攻撃は、複数の方法を同時に使用するもので、例えば、パスワードの推測を行いながら、その際に入手した電子鍵を使用しようとするものです。 ソーシャルエンジニアリングまたは フィッシング を攻撃する。
逆ブルートフォースアタック
逆ブルートフォース攻撃とは、ハッカーがターゲットの生活や活動について知っていることに基づいてパスワードを推測しようとすることです。
例えば、あなたがカラフルな靴下が好きだと知っていたら、「Socks123」や「ColorfulFeet」といったパスワードを攻撃してくるかもしれない。この例は遊びのように見えますが、個人的な嗜好とは関係のない、予測不可能で強力なパスワードを使うことの重要性を強調しています。
ブルートフォースアタックから守る
パスワードのハッキングといえば、ブルートフォースアタックが一般的ですが、そこから身を守る方法があります。
ブルートフォースアタックから身を守るための方法をご紹介します。
強力なパスワードの使用
すべてのアカウントに、強力でユニークなパスワードを使用する。強力なパスワードは12文字で、大文字、小文字、数字、記号を組み合わせてください。
二要素認証の有効化
二要素認証は、携帯電話やアプリに送信されるコードなど、第二の認証形式を要求することで、お客様のアカウントにさらなるセキュリティ層を追加します。これにより、たとえパスワードを知られたとしても、攻撃者がアカウントにアクセスすることがより困難になります。
関連する読み方 メール多要素認証
ログイン試行回数を制限する
ウェブサイトやシステムでのログイン試行回数を制限することができ、ブルートフォースアタックを防ぐことができます。何度か不正なログインを試行した後、アカウントをロックしたり、IPアドレスをブロックすることができます。
アカウントアクティビティの監視
アカウントのアクティビティを定期的に監視することで、不正なアクセスの試みを発見することができます。アラートを設定することで、いつもと違う場所や時間帯にログインを試みるなど、いつもと違う行動があった場合に通知することができます。
ソフトウェアを常に最新の状態に保つ
オペレーティングシステム、ウェブブラウザ、ウイルス対策ソフトウェアなど、すべてのソフトウェアが最新であることを確認する。ソフトウェアのアップデートには、既知の脆弱性から保護するためのセキュリティパッチが含まれていることが多い。
キャプチャーを利用する
自動化された攻撃を防ぐために、ログインページにキャプチャーを追加することができます。キャプチャは、一連の数字や文字を入力するなどの簡単なタスクを完了することによって、ユーザーが人間であることを証明することを要求します。
IPブロッキングの実施
IPブロッキングを実施することで、同じIPアドレスからの複数のログイン試行を防ぐことができます。これは、単一のIPアドレスを使用して実行されるブルートフォース攻撃を防止するのに役立ちます。
まとめ
ブルートフォースアタックとは、敵があらゆる可能な組み合わせや順列を試して、正しい答えや鍵を見つける攻撃のことです。
したがって、ブルートフォース攻撃から身を守るための最も重要な2つのステップは、考えられる限り最も強力なパスワードを使用し、訪問するサイトごとにユニークなものにすること、無料のプロキシサーバーで自分のIPアドレスを隠そうとしないことです。
攻撃者があなたについて持っている情報が少なければ少ないほど、あなたのパスワードを推測するのは難しくなります。
ドメインとメールセキュリティのエキスパートPowerDMARC
AhonaはPowerDMARCのマーケティングマネージャーで、サイバーセキュリティのトピックについて5年以上の執筆経験があり、ドメインと電子メールのセキュリティを専門としている。ジャーナリズムとコミュニケーションの卒業後学位を取得し、2019年からセキュリティ分野でキャリアを固めている。
最新記事 by Ahona Rudra(全て見る)
