Qu'est-ce que le Password Spraying, et comment pouvez-vous détecter et bloquer les attaques ?

En 2019, un vol de données chez Citrix a ébranlé le monde de la cybersécurité. Les attaquants ont dérobé des documents d'affaires d'un lecteur réseau partagé et d'un lecteur associé à un outil basé sur le web utilisé dans la pratique de conseil de Citrix. Les pirates ont obtenu cet accès à l'infrastructure informatique de Citrix grâce à une attaque par pulvérisation de mots de passe, une technique qui exploite les mots de passe faibles, menant à des critiques selon lesquelles le géant du logiciel a inutilement compromis ses clients en ne parvenant pas à établir une stratégie de mot de passe solide.

Citrix est loin d'être la seule entreprise à ne pas assurer en matière de sécurité des mots de passe. Lorsqu'une équipe de recherche sur les menaces a analysé tous les comptes d'utilisateurs Microsoft au début de 2019, ils ont découvert que 44 millions d'utilisateurs utilisaient les mêmes noms d'utilisateur et mots de passe qui avaient déjà été divulgués en ligne suite à des violations de sécurité dans d'autres services en ligne. Cette tendance est alarmante, car le 2020 Data Breach Investigations Report révèle que plus de 80 pour cent des violations liées au piratage impliquent soit des identifiants volés (ou perdus) soit des attaques par force brute.

Les attaques par pulvérisation de mots de passe ne peuvent pas être prévenues, mais elles peuvent être détectées et même arrêtées dans leur élan. Dans cet article, nous expliquons comment ce type d'attaque se déroule, comment vous pouvez repérer les attaques en cours et comment vous pouvez atténuer votre risque de devenir la prochaine victime.

Qu'est-ce qu'une attaque par pulvérisation de mots de passe ?

Les attaques par force brute typiques ciblent un seul compte, testant plusieurs mots de passe pour essayer d'obtenir l'accès. Les protocoles modernes de cybersécurité peuvent détecter cette activité suspecte et verrouiller un compte lorsqu'il y a trop de tentatives de connexion échouées sur une courte période.

Le password spraying inverse la stratégie conventionnelle en essayant de se connecter à plusieurs comptes d'utilisateurs avec de nombreux mots de passe courants. Essayer un seul mot de passe sur de nombreux comptes différents avant de tenter un autre mot de passe sur les mêmes comptes contourne les protocoles de verrouillage normaux, permettant à l'attaquant de continuer à essayer de plus en plus de mots de passe.

Malheureusement, les attaques par pulvérisation de mots de passe sont souvent couronnées de succès car de nombreux utilisateurs ne respectent pas les password best practices. En fait, les 200 mots de passe les plus courants divulgués lors des data breaches en 2019 comprenaient des combinaisons de chiffres évidentes telles que « 12345 », des prénoms féminins courants, et le mot « password » lui-même. Tout attaquant qui cible un nombre suffisamment grand d'utilisateurs et qui travaille avec une banque assez importante de mots de passe communs finira par pouvoir compromettre certains comptes.

Bien que jeter un large filet soit susceptible de rapporter au moins quelques succès, les pirates d'aujourd'hui comptent sur une approche plus précise. Ils visent des utilisateurs qui utilisent l'authentification à connexion unique (SSO), espérant deviner des identifiants qui leur donneront accès à plusieurs systèmes ou applications. Ils ciblent également couramment des utilisateurs qui utilisent des services et applications cloud utilisant l'authentification fédérée. Cette méthode peut permettre aux attaquants de se déplacer latéralement, puisque l'authentification fédérée peut aider à masquer le trafic malveillant.

Une fois qu'un compte a été compromis lors d'une attaque par pulvérisation de mots de passe, la victime peut subir une perte temporaire ou permanente d'informations sensibles. Pour les organisations, une attaque réussie pourrait également signifier des opérations perturbées, des pertes de revenus significatives et des dommages à la réputation.

Comment détecter une attaque par pulvérisation de mots de passe

Bien que les contre-mesures conventionnelles ne détectent pas automatiquement les attaques par pulvérisation de mots de passe, il existe plusieurs indicateurs fiables à rechercher. Le plus évident est un nombre élevé de tentatives d'authentification, en particulier des tentatives échouées en raison de mots de passe incorrects, sur une courte période de temps. Naturellement, un indicateur étroitement lié est une augmentation soudaine des verrouillages de compte.

Dans de nombreux cas, l'attaque par force brute de mots de passe conduit à une augmentation soudaine des tentatives de connexion impliquant des portails SSO ou des applications cloud. Les parties malveillantes peuvent utiliser des outils automatisés pour tenter des milliers de connexions dans un court laps de temps. Souvent, ces tentatives proviennent d'une seule adresse IP ou d'un seul appareil.

Comment atténuer le risque de devenir victime d'une attaque par pulvérisation de mots de passe

Alors qu'il est crucial de pouvoir détecter rapidement les attaques réussies, permettre aux attaquants un accès même bref aux données sensibles peut s'avérer dévastateur. Une stratégie de cybersécurité solide nécessite une approche globale et proactive qui assure une protection multicouche pour bloquer autant d'attaques que possible. Assurez-vous de suivre ces meilleures pratiques :

• Exigez une authentification multi-facteurs pour tous les utilisateurs.
• Assurez-vous que tous les mots de passe respectent les directives du National Institute of Standards and Technology (NIST).
• Établissez des politiques solides pour la réinitialisation des mots de passe après le verrouillage des comptes.
• Développez une stratégie de mot de passe défendable pour les comptes partagés.
• Menez régulièrement des formations pour les utilisateurs afin de garantir que tous comprennent la menace du password spraying et comment ils peuvent créer et maintenir des mots de passe sécurisés.

Comment les solutions Netwrix peuvent aider

La meilleure façon de défendre votre organisation contre les attaques par pulvérisation de mots de passe est d'investir dans un outil de sécurité informatique qui peut détecter et bloquer de manière fiable ces attaques avec un audit complet, des alertes et des rapports.

Netwrix Auditor peut vous alerter sur une grande variété d'activités suspectes, y compris des événements qui indiquent une attaque par pulvérisation de mots de passe, afin que vous puissiez réagir immédiatement pour protéger vos systèmes et vos données. De plus, il offre des fonctions d'audit et de reporting puissantes. Les caractéristiques principales incluent :

• Audit et alertes d'Active Directory. Netwrix Auditor suit les connexions Active Directory et autres activités des utilisateurs, y compris toutes les tentatives de connexion réussies et échouées. Vous pouvez configurer des alertes sur les activités que vous considérez comme suspectes, y compris des actions uniques comme un utilisateur obtenant des privilèges d'administrateur ou une séquence d'actions dans un laps de temps spécifié, tel que plus de 4 tentatives de connexion échouées en 1 minute. Vous pouvez également examiner facilement l'historique complet des connexions de n'importe quel utilisateur.
• Analyse comportementale des utilisateurs. Une vue consolidée des activités inhabituelles et le classement des acteurs à risque facilite la détection précoce des comptes compromis et des initiés malveillants, afin que vous puissiez agir pour éviter les problèmes de sécurité
• Analyse du comportement des utilisateurs et des angles morts. Repérez les acteurs malveillants qui se faufilent dans votre environnement en examinant facilement l'activité des utilisateurs en dehors des heures normales, les tentatives de connexion de plusieurs utilisateurs à partir d'un seul point de terminaison et les tentatives de connexion d'un seul utilisateur à partir de plusieurs points de terminaison.

Netwrix Auditor vous aide également à renforcer votre posture de sécurité afin que vous soyez moins vulnérable aux attaques par pulvérisation de mots de passe dès le départ. En particulier, vous pouvez :

• Appliquez les meilleures pratiques de password policy avec une visibilité complète sur les paramètres de politique et des alertes sur les modifications.
• Suivez les Azure AD password resets pour maintenir une sécurité renforcée dans le cloud.
• Découvrez et sécurisez les comptes qui ne nécessitent pas de mot de passe ou dont les mots de passe sont configurés pour ne jamais expirer.
• Identifiez et désactivez les comptes inactifs avant qu'ils ne puissent être exploités par des attaquants.

En bref, avec Netwrix Auditor, il est possible de détecter rapidement les acteurs malveillants — et de les bloquer de manière proactive avant qu'ils n'accèdent à votre réseau.