検知と対策
DHSは、パスワードスプレー攻撃が従来のブルートフォース攻撃に比べて“low-and-slow”とはいえ、攻撃規模はそれなり大きいとして、以下の兆候が攻撃の検知につながると解説する。
- SSOポータルやウェブアプリケーションへのログイン試行が急激かつ大規模に増加している
- 単一のIPアドレスおよびコンピュータ（ユーザーエージェント名など）から複数のアカウントに対するログイン試行が連続的に発生している
- アカウントへのログイン試行が普段とは異なる場所から行われている
- 攻撃が2時間以上継続している
パスワードスプレー攻撃への対策としてDHSやJPCERT/CCでは、有効な場合に多要素認証を適切な形で利用し、推測されやすい文字列のパスワードの利用や異なる場所でのパスワードの使い回しを止めることを挙げる。
特にシステム側では、ユーザーがパスワードを忘れてしまった場合の回復手順やアカウントロック機能を適切に設定し、ソルトやハッシュ、ストレッチングなどの方法を使ってパスワード情報を適切に保管することが重要とし、JPCERT/CCは新年度で不要になったり、無効になったりしたユーザーアカウントの確認と削除も推奨している。
マイクロソフトもパスワードスプレー攻撃に関する詳しい対策情報をブログで提供している。
