Bescherm je organisatie tegen password spraying

Wat is password spraying

Password spraying is een type cyberaanval waarbij aanvallers proberen toegang te krijgen tot veel accounts door een beperkt aantal veelvoorkomende wachtwoorden tegen ieder account te testen. In plaats van honderden wachtwoorden op één account te proberen, gebruiken aanvallers een klein aantal populaire wachtwoorden en spuiten deze over veel gebruikersaccounts heen. Dit vermindert het risico op detectie door account lockouts en maakt de techniek effectief tegen grootschalige identiteitsdiefstal.

Hoe password spraying werkt in de praktijk

Bij een typische password spraying campagne verzamelt een aanvaller eerst gebruikersnamen via openbare bronnen, bedrijfswebsites of gefilterde datalekken. Vervolgens test de aanvaller een korte lijst van bekende wachtwoorden zoals "Password123" of "Welkom2021" tegen elk van die gebruikersnamen, vaak verspreid over lange tijd om rate limits te omzeilen. Door laag en langzaam te werk te gaan blijft de aanval onder de radars van eenvoudige detectiemechanismen.

Verschil met brute force aanvallen

Het belangrijkste verschil met traditionele brute force is de schaal en het tempo. Brute force richt zich meestal op één account en probeert vele combinaties totdat er een match is. Password spraying richt zich op veel accounts maar met weinig wachtwoorden per account. Daardoor worden veel beveiligingsmechanismen zoals account lockout en IP-blokkering vaak niet getriggerd, wat password spraying aantrekkelijk maakt voor dreigingen op lange termijn.

Waarom aanvallers password spraying kiezen

Aanvallers kiezen voor password spraying omdat het efficiënt en moeilijker te detecteren is. Organisaties die zwakke wachtwoordbeleid, weinig multi factor authenticatie en geen monitoring hebben, vormen de ideale doelen. Bovendien zijn cloudomgevingen en externe toegangspunten kwetsbaar omdat ze vaak gebruikersnamen en basisauthenticatie ondersteunen die aanvallers kunnen misbruiken.

Typische doelwitten van deze techniek

Veel voorkomende doelwitten zijn e mail en cloud accounts, accounts met beheerdersprivileges en externe VPN of remote access poorten. Ook accounts van hooggeprivilegieerde gebruikers binnen organisaties zijn bijzonder interessant. Publieke-facing services zoals webapplicaties en Office 365 omgevingen worden vaak doelwit omdat gebruikersnamen daar makkelijker te achterhalen zijn.

Technieken die aanvallers gebruiken

Aanvallers gebruiken vaak geautomatiseerde scripts en botnets die requests verspreiden over meerdere IP adressen en tijdsintervallen. Ze combineren password spraying soms met social engineering om wachtwoorden of extra context te achterhalen. Het gebruik van proxy's en TOR kan helpen om detectie te voorkomen en voorkomt dat verkeer direct aan één bron gelinkt wordt.

Waarschuwingssignalen opmerken

Organisaties kunnen tekenen van password spraying zien in aanmeldingslogs, zoals veel mislukte aanmeldingen met dezelfde wachtwoorden tegen verschillende accounts of ongewone geografische patronen. Ook een plotselinge stijging in foutieve authenticatiepogingen buiten kantooruren kan een indicator zijn. Monitoring van mislukte aanmeldingen gegroepeerd per wachtwoord kan helpen om aanvallen snel te identificeren.

Detectie en logging adviezen

Effectieve detectie vereist centrale logging van authenticatiepogingen en correlatie van mislukte pogingen per wachtwoord en per account. Gebruik Security Information and Event Management systemen en configureer alerts voor patronen die passen bij password spraying. Zie ook relevante richtlijnen zoals de verzameling over wachtwoordbeveiliging van de UK National Cyber Security Centre op https://www.ncsc.gov.uk/collection/passwords en de OWASP authenticatie richtlijnen op https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html.

Preventieve maatregelen voor organisaties

De beste verdedigingsmaatregelen zijn het afdwingen van sterke wachtwoordbeleid, het implementeren van multi factor authenticatie en het toepassen van risico gebaseerde toegangsregels. Rate limiting, account lockout op slimme wijze en detectie van anomalieën zijn essentieel. Overweeg ook het gebruik van passwordless methoden en single sign on om de afhankelijkheid van statische wachtwoorden te verminderen.

Beleid, training en vervolgacties

Naast technische maatregelen is gebruikersbewustzijn cruciaal. Train medewerkers in het herkennen van phishing en het belang van unieke, sterke wachtwoorden. Zorg voor een incidentrespons plan voor inbraakpogingen en evalueer periodiek logbestanden en toegangsregels. Door beleid, technologie en training te combineren verlaag je de kans op succesvolle password spraying aanvallen aanzienlijk.