Техника на mitre.org

T1110.003: Распыление пароля

Чтобы получить действительные учетные данные, злоумышленники могут использовать один пароль или небольшой список часто используемых паролей, пробуя их на большом количестве учетных записей. При распылении паролей используется один пароль (например, "Password01") или небольшой список часто используемых паролей, которые могут соответствовать политике сложности паролей домена. Попытки входа в систему с этим паролем предпринимаются через множество различных учетных записей в сети, чтобы избежать ситуации блокировки учетных записей, которая обычно возникает при переборе множества паролей для одной учетной записи .

Как правило, для распыления паролей злоумышленники подключаются к службам управления через часто используемые порты. В числе прочих для этого часто используются следующие службы:

SSH (22/TCP)
Telnet (23/TCP)
FTP (21/TCP)
NetBIOS/SMB/Samba (139/TCP и 445/TCP)
LDAP (389/TCP)
Kerberos (88/TCP)
RDP / службы терминалов (3389/TCP)
HTTP / службы управления HTTP (80/TCP и 443/TCP)
MSSQL (1433/TCP)
Oracle (1521/TCP)
MySQL (3306/TCP)
VNC (5900/TCP)

Помимо служб управления, злоумышленники могут атаковать приложения, использующие единый вход (SSO), и облачные приложения, использующие протоколы федеративной аутентификации, а также почтовые приложения с внешним интерфейсом, такие как Microsoft 365.

В стандартных средах попытки подключения LDAP и Kerberos по SMB реже инициируют событие Windows "сбой входа" с идентификатором 4625.

Какие продукты Positive Technologies покрывают технику

Экспертиза MaxPatrol SIEM

bruteforce: PT-CR-3131: Windows_SSH_FTP_Spraying: Распыление пароля через службы SSH и FTP, установленные в качестве компонентов ОС Windows. Распыление пароля (password spraying) — это тип атаки методом перебора, в ходе которой злоумышленник перебирает наиболее популярные пароли последовательно для каждого пользователя, что позволяет избежать блокировки учетных записей атакуемых пользователей bruteforce: PT-CR-1337: OpenVPN_Password_Spraying: Распыление пароля в приложении OpenVPN. Распыление пароля (password spraying) — это тип атаки методом перебора, в ходе которой злоумышленник перебирает наиболее популярные пароли последовательно для каждого пользователя, что позволяет избежать блокировки учетных записей атакуемых пользователей bruteforce: PT-CR-1365: IIS_Password_Spraying: Распыление пароля на веб-сервере Internet Information Services. Распыление пароля (password spraying) — это тип атаки методом перебора, в ходе которой злоумышленник перебирает наиболее популярные пароли последовательно для каждого пользователя, что позволяет избежать блокировки учетных записей атакуемых пользователей bruteforce: PT-CR-2509: Exchange_Password_Spraying: Распыление пароля в Exchange. Распыление пароля (password spraying) — это тип атаки методом перебора, в ходе которой злоумышленник перебирает наиболее популярные пароли последовательно для каждого пользователя, что позволяет избежать блокировки учетных записей атакуемых пользователей bruteforce: PT-CR-3144: Possible_Pre2k_Machine_Account_Pasword_Guessing: Множество событий успешной аутентификации учетных записей компьютеров с одного узла. Это может быть признаком атаки на учетные записи компьютеров с установленным режимом обратной совместимости "pre-Windows 2000 computer" bruteforce: PT-CR-906: LyncSmash_Use: Подбор учетных записей пользователей Skype с помощью утилиты LyncSmash bruteforce: PT-CR-3133: Windows_Machine_Account_Password_Spraying: Распыление пароля для учетных записей компьютеров в Microsoft Active Directory, что может быть признаком атаки на учетные записи, для которых установлен режим обратной совместимости "pre-Windows 2000 computer". Распыление пароля (password spraying) — это тип атаки методом перебора, в ходе которой злоумышленник перебирает наиболее популярные пароли последовательно для каждого пользователя, что позволяет избежать блокировки учетных записей атакуемых пользователей bruteforce: PT-CR-1973: SSHGuard_Spraying: Распыление пароля. Распыление пароля (password spraying) — это тип атаки методом перебора, в ходе которой злоумышленник перебирает наиболее популярные пароли последовательно для каждого пользователя, что позволяет избежать блокировки учетных записей атакуемых пользователей bruteforce: PT-CR-992: Artifactory_Password_Spraying: Распыление пароля в системе хранения данных Artifactory. Распыление пароля (password spraying) — это тип атаки методом перебора, в ходе которой злоумышленник перебирает наиболее популярные пароли последовательно для каждого пользователя, что позволяет избежать блокировки учетных записей атакуемых пользователей bruteforce: PT-CR-3000: BAD_Password_Guessing: Модуль BAD обнаружил подбор пароля (password guessing) или распыление пароля (password spraying) bruteforce: PT-CR-1025: Unix_SSH_Password_Spraying: Распыление пароля через SSH-подключение. Распыление пароля (password spraying) — это тип атаки методом перебора, в ходе которой злоумышленник перебирает наиболее популярные пароли последовательно для каждого пользователя, что позволяет избежать блокировки учетных записей атакуемых пользователей bruteforce: PT-CR-887: Windows_Password_Spraying: Распыление пароля на узле Windows. Распыление пароля (password spraying) — это тип атаки методом перебора, в ходе которой злоумышленник перебирает наиболее популярные пароли последовательно для каждого пользователя, что позволяет избежать блокировки учетных записей атакуемых пользователей bruteforce: PT-CR-2704: Elasticsearch_Password_Spraying: Распыление пароля в базе данных Elasticsearch. Распыление пароля (password spraying) — это тип атаки методом перебора, в ходе которой злоумышленник перебирает наиболее популярные пароли последовательно для каждого пользователя, что позволяет избежать блокировки учетных записей атакуемых пользователей bruteforce: PT-CR-2575: IIS_Web_Application_Password_Spraying: Распыление пароля в веб-приложении веб-сервера IIS на узле Windows. Распыление пароля (password spraying) — это тип атаки методом перебора, в ходе которой злоумышленник перебирает наиболее популярные пароли последовательно для каждого пользователя, что позволяет избежать блокировки учетных записей атакуемых пользователей bruteforce: PT-CR-2122: Subrule_SSHGuard: Пользователь не смог войти в систему bruteforce: PT-CR-3136: Unix_FTP_Password_Spraying: Распыление пароля в службе FTP. Распыление пароля (password spraying) — это тип атаки методом перебора, в ходе которой злоумышленник перебирает наиболее популярные пароли последовательно для каждого пользователя, что позволяет избежать блокировки учетных записей атакуемых пользователей capabilities_logon: PT-CR-1707: CAP_Password_Spraying: Распыление пароля в различных приложениях. Распыление пароля (password spraying) — это тип атаки методом перебора, в ходе которой злоумышленник перебирает наиболее популярные пароли последовательно для каждого пользователя, что позволяет избежать блокировки учетных записей атакуемых пользователей active_directory_attacks: PT-CR-656: Failed_Access_With_Unknown_User: Пользователь не смог войти на узел под управлением ОС Windows от имени одной или нескольких отключенных или несуществующих учетных записей. Это может быть признаком перебора учетных записей или компрометации учетных данных sap_attack_detection: PT-CR-150: SAPASABAP_Bultin_Accounts_Probing: Попытки войти в систему под встроенными учетными записями

Способы обнаружения

ID	DS0002	Источник и компонент данных	Учетная запись пользователя: Аутентификация с помощью учетной записи	Описание	Отслеживайте случаи со множеством неудачных попыток аутентификации в различных учетных записях, так как это может указывать на попытки распыления пароля.

ID	DS0015	Источник и компонент данных	Журналы приложений: Содержимое журналов приложений	Описание	Отслеживайте ошибки входа существующих учетных записей в систему или приложения в журналах аутентификации. По возможности отслеживайте следующие события: контроллеры домена — аудит входа в систему (успех, отказ), событие с идентификатором 4625; контроллеры домена — аудит проверки подлинности Kerberos (успех, отказ), событие с идентификатором 4771; все системы — аудит входа в систему (успех, отказ), событие с идентификатором 4648.

ID	Источник и компонент данных	Описание
DS0002	Учетная запись пользователя: Аутентификация с помощью учетной записи	Отслеживайте случаи со множеством неудачных попыток аутентификации в различных учетных записях, так как это может указывать на попытки распыления пароля.
DS0015	Журналы приложений: Содержимое журналов приложений	Отслеживайте ошибки входа существующих учетных записей в систему или приложения в журналах аутентификации. По возможности отслеживайте следующие события: контроллеры домена — аудит входа в систему (успех, отказ), событие с идентификатором 4625; контроллеры домена — аудит проверки подлинности Kerberos (успех, отказ), событие с идентификатором 4771; все системы — аудит входа в систему (успех, отказ), событие с идентификатором 4648.

Меры противодействия

ID	M1032	Название	Многофакторная аутентификация	Описание	Используйте многофакторную аутентификацию. По возможности включите многофакторную аутентификацию на внешних сервисах.

ID	M1027	Название	Парольные политики	Описание	При создании политик паролей руководствуйтесь рекомендациями NIST .

ID	M1036	Название	Политики использования учетных записей	Описание	Установите политику блокировки учетных записей после определенного количества неудачных попыток входа в систему, чтобы предотвратить подбор паролей. Однако учтите, что слишком строгая политика может привести к отказу в обслуживании и сделать среду непригодной для использования, так как все учетные записи, к которым пытались подобрать пароль, будут заблокированы. Используйте политики условного доступа, чтобы блокировать вход с устройств, которые не соответствуют требованиям или имеют IP-адреса вне диапазонов, определенных для организации.

ID	Название	Описание
M1032	Многофакторная аутентификация	Используйте многофакторную аутентификацию. По возможности включите многофакторную аутентификацию на внешних сервисах.
M1027	Парольные политики	При создании политик паролей руководствуйтесь рекомендациями NIST .
M1036	Политики использования учетных записей	Установите политику блокировки учетных записей после определенного количества неудачных попыток входа в систему, чтобы предотвратить подбор паролей. Однако учтите, что слишком строгая политика может привести к отказу в обслуживании и сделать среду непригодной для использования, так как все учетные записи, к которым пытались подобрать пароль, будут заблокированы. Используйте политики условного доступа, чтобы блокировать вход с устройств, которые не соответствуют требованиям или имеют IP-адреса вне диапазонов, определенных для организации.