総当たり攻撃(ブルートフォース攻撃)と辞書攻撃は、ログイン画面に対してパスワードを機械的に次々と入力し、たまたま一致するものを見つけて侵入しようとする手口です。特別な脆弱性を突くわけではなく、ログインの仕組みをそのまま利用するため、どの組織にも起こりうる基本的なリスクといえます。不正アクセスの経路全体は不正アクセスの基本で整理していますので、本記事ではパスワードを機械的に試されるという一点に絞って、仕組みと現実的な対策を解説します。
総当たり攻撃と辞書攻撃の違い
総当たり攻撃は、文字の組み合わせを順番に、あるいはランダムに機械的に試していく方法です。理屈のうえではいつか正解にたどり着きますが、パスワードが長く、使われる文字の種類が多いほど、試さなければならない組み合わせが増え、攻撃側の手間も大きくなります。
一方の辞書攻撃は、よく使われる単語や、過去に多く使われてきたパスワードの候補を先に試す方法です。人が覚えやすいパスワードを選びがちであることを利用しており、当たる場合は短時間で当たります。実際の攻撃では、候補リストを優先しつつ機械的な組み合わせも併用する形が多く、両者は明確に分かれているわけではありません。パスワードの決め方そのものはパスワードポリシーの設計で扱っています。
リスト型攻撃との違い
よく混同されるのがリスト型攻撃(クレデンシャルスタッフィング)です。リスト型は、どこかから流出した正しいIDとパスワードの組み合わせをそのまま試すため、失敗が少なく、成功に至るまでが早いという性質があります。
対して総当たり攻撃や辞書攻撃は、圧倒的に多くの失敗を伴います。裏を返せば、ログインの失敗が短時間に大量に記録されるため、記録を見ていれば気づける余地があるということです。ログの見方はログイン履歴の異常確認で解説しています。
どこが狙われやすいのか
機械的な試行は、社外のネットワークから到達できる入口に対して行われます。具体的には、インターネットに公開されたログイン画面、リモートアクセスのための経路、そして管理用に用意された入口です。サーバーの特権アカウントのように権限が大きいものは、当たったときの影響も大きくなります。
注意したいのは、社内からしか使えないと考えていた経路が、設定や機器の入れ替えの結果として外から見える状態になっている場合があることです。VPN機器の脆弱性と同様に、まず何が外に開いているかを把握することが出発点になります。
対策と、それぞれの限界
よく挙げられる対策には、それぞれ効く範囲と効かない範囲があります。組み合わせて考える必要があります。
- パスワードを長くする — 試さなければならない組み合わせが増えるため、機械的な試行に対しては有効です。ただし、他のサービスと同じものを使い回している場合や、すでに流出している場合には効果がありません
- 連続して失敗したら一時的にロックする — 試行を続けられなくするため有効です。一方で、正規の利用者が締め出されて業務が止まる副作用があり、逆にわざと失敗を繰り返して大量のロックを発生させ、業務を妨害される可能性もあります
- 社外から到達できる入口を減らす — 攻撃そのものが届かなくなるため、効果が最も大きい対策です
- 認証を複数の要素にする — パスワードが当たっても、それだけではログインできない状態になります(多要素認証の基本)
ロックアウト設定を決めるときの考え方
アカウントロックアウトは、厳しくすればするほど安全になるという単純なものではありません。失敗の許容回数を少なくしすぎると、入力ミスや保存済みパスワードの不整合で頻繁にロックがかかり、問い合わせ対応と業務停止が増えます。逆に緩すぎれば、試行を止める効果が薄くなります。
現実的なのは、対象によって条件を分ける考え方です。一般の利用者には解除までの待ち時間を短めにして業務への影響を抑え、権限の大きい管理者アカウントには厳しい条件を設定する、といった形です。あわせて、ロックが発生した記録を誰が確認するのかを決めておかないと、設定しただけで気づけない状態になります。Windows環境での認証強化はWindowsログインの2要素認証も参考になります。
優先順位をどう置くか
まず取り組むべきは、社外から到達できる入口の把握と、必要のないものを閉じることです。届かない攻撃は成立しません。次に、残さざるを得ない入口の認証を強化し、パスワード以外の要素を加えます。ロックアウトや失敗記録の確認は、これらを補うものとして位置づけます。
パスワードの強度規定だけに頼る形は避けたほうがよいでしょう。強度を上げても、使い回しや流出には効かないためです。複数の対策を、それぞれ効く範囲を理解したうえで重ねることが、機械的な試行への現実的な備えになります。
いまの運用を棚卸ししてみる
機械的な試行にどこまで備えられているかは、社外に開いている入口の数と、認証の仕組みによって変わります。applippliの無料棚卸しでは、10問・約3分で、自社の認証やアカウント管理の対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。気になる点があれば、そこから対策の優先順位を整理してみてください。