ブルートフォース攻撃とは？

ブルートフォース攻撃は、ハッカーがソフトウェアを使用してさまざまなパスワードの組み合わせを体系的にテストし、許可なくアカウントにアクセスするサイバー攻撃です。

攻撃者は高度な技術やスキルを使用するのではなく、計算能力に頼ってパスワードを繰り返し推測するため、「ブルートフォース」と呼ばれます。 

ブルートフォース攻撃の用途

ブルートフォース攻撃は、システムの脆弱性を悪用して金銭的な利益や情報収集、戦略的なメリットを得ることを目的としています。Google によると、このアプローチは依然としてクラウドプラットフォームをターゲットとする攻撃の中で最も一般的な手法です。例えば、AhnLab Security Emergency Response Center (ASEC) の調査によると、ブルートフォース攻撃はサーバーを標的とし、Mirai や P2Pinfect などのマルウェアやボットネットを使用してシステムに侵入します。 

攻撃者がブルートフォース攻撃を採用する最も一般的な理由を以下にまとめました。

• 金銭目的の悪用 : アクセスを得た後、攻撃者は資金を盗むために金融データや銀行口座の認証情報、顧客のクレジットカード情報を探し求めることがよくあります。調査によると、侵害の89%が金銭目的であることが報告されています。 

• 知的財産の取得 : テクノロジー、製薬、研究などに従事する組織は、企業秘密の取得を狙う攻撃の対象となることがよくあります。攻撃者はソースコードや化学式、設計図など、組織が所有する貴重な資産を盗み、違法な市場で販売しようとします。

• 競合企業に関する情報の取得 : 企業がハッキングを利用して競合企業をスパイし、競争上の優位性をもたらす機密情報を盗もうとすることもあります。例えば、新製品の計画や今後の戦略を入手することで、オリジナル製品よりも先に類似製品を市場に投入できる可能性があります。

• 政治的操作 : 選挙中に政党のデータベースに侵入することで、有権者の情報が洩れる可能性があり、リークや虚偽の情報を通じて世論に影響を与えるために漏えいした情報が利用される可能性があります。

• サイバー犯罪エコシステムの発展 : 犯罪グループは、個人情報を盗んでオンラインで販売し、個人情報の盗難を奨励するほか、違法行為のためにハッキングされたシステムへのアクセスを提供します。

• ハクティビズム : 活動家ハッカーは、倫理的または政治的に問題があるとみなした組織をターゲットに機密文書を盗み、組織にダメージをもたらす情報をリークすると脅迫します。

ブルートフォース攻撃の種類

ブルートフォース攻撃にはさまざまな形態があり、これらの自動化された攻撃の形態は進化し続けています。一般に、これらの手法は量の多さと高い確率に依存します。さまざまな種類のブルートフォース攻撃を認識することが、効果的な防御戦略を実装する上で不可欠です。

以下は、注意すべき一般的な種類の一部です。

• クレデンシャルスタッフィング : ハッカーは、過去のデータ侵害で盗まれたユーザー名やメールアドレス、パスワードの膨大なリストを悪用します。これは、クレデンシャルスタッフィングと呼ばれる一般的な手法のひとつです。78%の人が複数のアカウントを保護するのに同じパスワードを利用しています。そこで悪意のあるアクターは自動化されたプログラムを使用し、取得した認証情報で他のプラットフォームのアカウントにログインできるかどうかを迅速にテストします。

• 辞書攻撃 : サイバー犯罪者はパスワードを解読するために、複数の言語で一般的な辞書の単語を無限に組み合わせるソフトウェアをよく使用します。

• ハイブリッド攻撃 : これらは異なる種類を組み合わせた高度なメソッドです。例えば、ハッカーは辞書攻撃のブループリントと数字や特殊文字の配列を、実際の漏洩したパスワードと共に組み合わせ、精度を高めることができます。

• レインボーテーブル攻撃 : 攻撃者は事前に計算されたパスワードのハッシュ値を使用してパスワードの発見プロセスを高速化します。侵害されたデータベースのコピーを攻撃対象のシステムと照合し、一致するパスワードを見つけてアクセスのロックを解除することで、攻撃を加速させ、追跡を困難にします。

• マスク攻撃 : このタイプの攻撃は、部分的な情報と共に既知のパスワードの構造パターンと複雑さの要件を悪用することに重点を置いています。例えば、パスワードの最初の数文字列が分かっている場合、ハッカーはアルゴリズムを使用して残りの文字を推測します。

• 分散型攻撃 : 大規模な計算ノードが数千ものデバイス間で連携し、ブルートフォースの容量を増大させ、攻撃を加速させます。

ボットネットワーク、クレデンシャルスタッフィング、DDoS 攻撃の違い

サイバーセキュリティには多くの専門用語や難解な用語が使われますが、システムを効果的に防御するには、サイバー攻撃のメソッドの違いを細かく理解することが重要です。ブルートフォース攻撃ではパスワードの推測が行われますが、クレデンシャルスタッフィングやボットネット、DDoS などのサイバー脅威にはそれぞれ独特の特徴があります。これらの一般的な脅威について詳しく見てみましょう。

クレデンシャルスタッフィング

クレデンシャルスタッフィングは、アカウント所有者が複数のプラットフォームで同じ認証情報を使用するという一般的な慣行を利用し、漏洩したユーザー名とパスワードの組み合わせを使って複数サイトでログイン試行を自動的に行います。過去の侵害で盗まれた膨大な数の認証情報を利用できるため、アカウント乗っ取りにおいて非常に大きな効果を発揮し、ブルートフォース攻撃の推測プロセスとは異なり、最小限の計算能力しか必要としません。

ボットネット

ボットネットは、ハッカーがマルウェアを通じて密かにコントロールする、コンピューターやスマートフォンなどの感染したデバイスのネットワークを使用します。ボットネットは、侵害されたデバイスの計算能力と帯域幅を組み合わせ、自動化されたエクスプロイトや攻撃を大規模に実行します。ハッカーにとって、これらは高価な機器をレンタルするよりもコスト効率の高い代替手段です。

分散型サービス妨害攻撃 (DDoS)

DDoS 攻撃は、ジャンクトラフィックを大量に送信してシステムに過負荷をかけ、システムの動作を遅くしたり停止させたりします。攻撃者は、コントロール下にある多数のデバイスを使用して帯域幅を圧迫し、リソースを使用できない状態にしてサービスの可用性を妨害します。

まとめると、ブルートフォース攻撃はパスワードの推測に特化している一方、クレデンシャルスタッフィング攻撃は過去のデータ漏洩を悪用し、ボットネットは侵害されたデバイス集団を結成し、DDoS 攻撃はシステムに過負荷をかけることでシステムを麻痺させます。

ブルートフォース攻撃からビジネスを守る方法

サイバーセキュリティには、技術的な防御機能とレジリエンスを中心とするプロアクティブな防御戦略が必要です。ブルートフォース攻撃を効果的に防止するには、不正アクセスの試行を検出して阻止する多層防御システムを確立する必要があります。

以下はブルートフォース攻撃を防ぐための主な方法の一部です。

1. 高度な認証プロトコルを実装する

パスワードによる基本的なアクセス制御から、適応型リスク分析機能を備えた多要素認証にアップグレードします。このアプローチでは、ユーザーや社員が、携帯電話に送信されたワンタイムコードの入力や生体認証などの追加ステップを完了して本人確認をする必要があります。このような追加対策により、アカウントへのブルートフォース攻撃が非常に困難になります。

2. インテリジェントなパスワードポリシーを作成する

パスワードの複雑な要件、有効期限およびローテーションポリシーを組み合わせた強力なパスワードプロトコルを適用します。一元化された ID 管理プラットフォームを使用して一般的に攻撃に使用されるパスワードをブラックリストに登録し、長さと文字の種類の最低基準を設定します。AI 駆動型ツールを適用し、弱いパスワードや再利用されたパスワードを識別して対処します。

3. 洗練されたレート制限メカニズムを設計する

同じ IP アドレスまたは範囲から繰り返し行われるログイン試行の失敗をブロックするためにアクセス制御を実装します。これにより、正当なユーザーによるアクセスを許可しつつ、パスワードを推測しようとする継続的な試みから保護できます。有効なアカウントが意図せずロックアウトされないように、適切に設定する必要があります。

4. リアルタイムの脅威インテリジェンスを統合する

セキュリティインフラストラクチャをグローバルな脅威モニタリングプラットフォームに接続し、悪意のある IP アドレスや侵害された認証情報、攻撃手法に関する最新情報を入手します。また、分析システムを自動化してネットワークとアカウントを監視し、ブルートフォース攻撃の兆候を早期に検出します。

5. ネットワークセグメンテーションを最適化する

システムとデータアクセスを戦略的にコンパートメント化することで、認証情報が侵害されても被害を最小限に抑えられます。社員に最小限レベルのアクセス権を付与すると同時に、VPN や外部からのエントリポイントを制限します。 

特定の場所のユーザーにサービスを提供する場合は、ジオブロックを使用し、攻撃者が他の国からサイトやアプリにアクセスするのを防ぐことができます。

6. 定期的にペネトレーションテストを実施する

エシカルハッカーが、ブルートフォース攻撃やその他のサイバー脅威のシミュレーションを使用して組織の防御を突破しようとすることを許可します。このようなペネトレーションテストにより脆弱性が明らかになり、サイバーセキュリティを継続的に強化できます。

7. 行動分析に投資する

データアクセス、アプリケーション、地理的な移動に関する一般的なユーザーの行動パターンをプロファイルします。機械学習アルゴリズムによって、認証情報の不正使用を示唆する異常な動作を自動的に検出し、疑わしいセッションを事前に終了できます。

ブルートフォース攻撃に対する Fastly の包括的なセキュリティ対策

膨大な計算能力を駆使してパスワードの解読やシステムへのアクセスを執拗に試みるブルートフォースサイバー攻撃の規模と複雑さは増すばかりです。 

Fastly のセキュリティソリューションは、Webサイトやアプリに多層防御を迅速にデプロイできるように設計された統合セキュリティ ツールのスイートを提供し、ブルートフォース攻撃から効果的に保護します。以下は、Fastly のセキュリティソリューションに含まれる主なメリットの詳細です。

• 次世代 Web アプリケーションファイアウォール (WAF) : Fastly の Next-Gen WAF は、受信した Web トラフィックを監視してフィルタリングし、ブルートフォース攻撃の試行に関連する疑わしいアクティビティを自動的にブロックします。また、新たな脅威もすぐに可視化できます。

• DDoS 対策 : Fastly のソリューションは、サーバーに到達する前に悪意のあるトラフィックを吸収してフィルタリングすることで、分散型ブルートフォース攻撃から保護します。

• レート制限 : この機能は、設定された時間枠内に単一のユーザーまたは IP アドレスが送信できるリクエストを迅速に制限し、自動化されたブルートフォース攻撃の防止に役立ちます。

• エッジセキュリティ : Fastly プラットフォームは攻撃元の近くに防御を実装し、遅延を最小限に抑えながら脅威を効果的にブロックします。

• TLS/HTTPS の強制 : Fastly は暗号化された通信チャネルを使用することで、ブルートフォース攻撃中のデータ傍受や認証情報の盗聴を防ぎます。

Fastly のセキュリティツールスイートの無料デモをリクエストして実際に効果を確認し、ブルートフォース攻撃を受ける前に阻止してください。