不正なアカウントにアクセスするために最も一般的に使用される2つの方法は、（a）ブルートフォース攻撃^{(Brute Force Attack)}と（b）パスワードスプレー攻撃^{(Password Spray Attack)}です。ブルートフォース攻撃^{(Brute Force Attacks)}については前に説明しました。この記事では、パスワードスプレー攻撃^{(Password Spray Attack)}とは何か、およびそのような攻撃から身を守る方法に焦点を当てています。

パスワードスプレー攻撃の定義

パスワードスプレー攻撃は、^{(Password Spray Attack)}ブルートフォース攻撃^{(Brute Force Attack)}の正反対です。ブルートフォース^{(Brute Force)}攻撃では、ハッカーは脆弱なIDを選択し、パスワードが入力されることを期待して次々にパスワードを入力します。基本的^(Basically)に、ブルートフォース^{(Brute Force)}は1つのIDに適用される多くのパスワードです。

パスワードスプレー^{(Password Spray)}攻撃では、1つのパスワードが複数のユーザーID^(IDs)に適用されるため、少なくとも1つのユーザーIDが危険にさらされます。パスワードスプレー^{(Password Spray)}攻撃の場合、ハッカーはソーシャルエンジニアリングやその他のフィッシング手法を使用して複数のユーザーID^{(social engineering)}を収集^{(phishing methods)}します^(IDs)。これらのユーザーの少なくとも1人が、12345678や[電子メールで保護された]^{([email protected])}などの単純なパスワードを使用していることがよくあります。この脆弱性（または強力なパスワードの作成^{(create strong passwords)}方法に関する情報の欠如）は、パスワードスプレー攻撃^{(Password Spray Attacks)}で悪用されます。

パスワードスプレー攻撃^{(Password Spray Attack)}では、ハッカーは収集したすべてのユーザーID^(IDs)に慎重に作成されたパスワードを適用します。運が良ければ、ハッカーは1つのアカウントにアクセスして、そこからコンピュータネットワークにさらに侵入する可能性があります。

したがって、パスワードスプレー攻撃は、組織内の複数のユーザーアカウントに同じパスワードを適用して、それらのアカウントの1つへの不正アクセスを保護することとして定義できます。^{(Password Spray Attack can thus be defined as applying the same password to multiple user accounts in an organization to secure unauthorized access to one of those accounts.)}

ブルートフォース攻撃^{(Brute Force Attack)}とパスワードスプレー攻撃^{(Password Spray Attack)}

ブルートフォース攻撃^{(Brute Force Attacks)}の問題は、異なるパスワードで一定回数試行した後、システムがロックダウンされる可能性があることです。たとえば、3回の試行のみを受け入れるようにサーバーを設定した場合、ログインが行われているシステムをロックダウンすると、システムは3つの無効なパスワードエントリのみをロックダウンします。3回許可する組織もあれば、最大10回の無効な試行を許可する組織もあります。最近、多くのWebサイトがこのロック方法を使用しています。システムのロックダウンにより管理者に攻撃について警告するため、この予防措置はブルートフォース攻撃の問題です。^{(Brute Force Attacks)}

これを回避するために、ユーザーID^(IDs)を収集し、それらに推定パスワードを適用するというアイデアが作成されました。パスワードスプレー攻撃^{(Password Spray Attack)}でも、ハッカーは特定の予防策を講じています。たとえば、すべてのユーザーアカウントにpassword1を適用しようとした場合、最初のラウンドが終了した直後にそれらのアカウントにpassword2の適用を開始することはありません。彼らはハッキングの試みの間に少なくとも30分の期間を残します。

パスワードスプレー攻撃^{(Password Spray Attacks)}からの保護

ブルートフォース攻撃^{(Brute Force Attack)}とパスワードスプレー^{(Password Spray)}攻撃はどちらも、関連するセキュリティポリシーが設定されていれば、途中で停止できます。30分のギャップを省略した場合、そのための対策が講じられていると、システムは再びロックダウンします。2つのユーザーアカウントのログイン間に時間差を追加するなど、他の特定のことも適用できます。ほんの一瞬の場合は、2つのユーザーアカウントがログインするタイミングを増やします。このようなポリシーは、データベースで読み取り/書き込み操作が行われないように、サーバーをシャットダウンまたはロックダウンできる管理者に警告するのに役立ちます。

パスワードスプレー攻撃^{(Password Spray Attacks)}から組織を保護するための最初のことは、ソーシャルエンジニアリング攻撃の種類、フィッシング攻撃、およびパスワードの重要性について従業員を教育することです。そうすれば、従業員は自分のアカウントに予測可能なパスワードを使用しなくなります。もう1つの方法は、管理者がユーザーに強力なパスワードを提供し、ユーザーがパスワードを書き留めてコンピューターに貼り付けないように注意する必要があることを説明することです。

組織システムの脆弱性を特定するのに役立つ方法がいくつかあります。たとえば、Office 365 Enterpriseを使用している場合、 ^(Enterprise)Attack Simulatorを実行して、従業員のいずれかが弱いパスワードを使用しているかどうかを知ることができます。

次を読む^{(Read next)}：ドメインフロンティング^{(Domain Fronting)}とは何ですか？

Password Spray Attack Definition and Defending yourself

The two most commonlу used methods to gаin aсcеss to unauthorized accounts are (a) Brute Force Attack, and (b) Password Spray Attack. We have explained Brute Force Attacks earlier. This article focuses on Password Spray Attack – what it is and how to protect yourself from such attacks.

Password Spray Attack Definition

Password Spray Attack is quite the opposite of Brute Force Attack. In Brute Force attacks, hackers choose a vulnerable ID and enter passwords one after another hoping some password might let them in. Basically, Brute Force is many passwords applied to just one ID.

Coming to Password Spray attacks, there is one password applied to multiple user IDs so that at least one of the user ID is compromised. For Password Spray attacks, hackers collect multiple user IDs using social engineering or other phishing methods. It often happens that at least one of those users is using a simple password like 12345678 or even [email protected]. This vulnerability (or lack of info on how to create strong passwords) is exploited in Password Spray Attacks.

In a Password Spray Attack, the hacker would apply a carefully constructed password for all the user IDs he or she has collected. If lucky, the hacker might gain access to one account from where s/he can further penetrate into the computer network.

Password Spray Attack can thus be defined as applying the same password to multiple user accounts in an organization to secure unauthorized access to one of those accounts.

Brute Force Attack vs Password Spray Attack

The problem with Brute Force Attacks is that systems can be locked down after a certain number of attempts with different passwords. For example, if you set up the server to accept only three attempts otherwise lock down the system where login is taking place, the system will lock down for just three invalid password entries. Some organizations allow three while others allow up to ten invalid attempts. Many websites use this locking method these days. This precaution is a problem with Brute Force Attacks as the system lockdown will alert the administrators about the attack.

To circumvent that, the idea of collecting user IDs and applying probable passwords to them was created. With Password Spray Attack too, certain precautions are practiced by the hackers. For example, if they tried to apply password1 to all the user accounts, they will not start applying password2 to those accounts soon after finishing the first round. They’ll leave a period of at least 30 minutes among hacking attempts.

Protecting against Password Spray Attacks

Both Brute Force Attack and Password Spray attacks can be stopped midway provided that there are related security policies in place. The 30 min gap if left out, the system will again lock down if a provision is made for that. Certain other things also can be applied, like adding time difference between logins on two user accounts. If it is a fraction of a second, increase timing for two user accounts to log in. Such policies help in alerting the administers who can then shut down the servers or lock them down so that no read-write operation happens on databases.

The first thing to protect your organization from Password Spray Attacks is to educate your employees about the types of social engineering attacks, phishing attacks, and the importance of passwords. That way employees won’t use any predictable passwords for their accounts. Another method is admins providing the users with strong passwords, explaining the need to be cautious so that they don’t note down the passwords and stick it to their computers.

There are some methods that help in identifying the vulnerabilities in your organizational systems. For example, if you are using Office 365 Enterprise, you can run Attack Simulator to know if any of your employees are using a weak password.

Read next: What is Domain Fronting?

Related posts

• この機能にはリムーバブルメディアが必要です - Passwordリセットエラーが必要です

• Microsoft Account and Local AccountのPassword Expiration Dateを設定します

• ドットの代わりにTextでBrowser showを保存する方法

• LessPassは無料のPassword Generator and Managerです

• Bitwarden Review：Windows PCのための無料Open Source Password Manager

• Ophcrack LiveCD Free Download：Recover Windowsパスワード

• ランダムなパスワードを作成するための無料secure online password generator

• KeeWebはオープンソースのCross-Platform Password Manager softwareです

• ExcelにRandom Strong Passwordを生成する方法

• Edge browserで有効とManage Passwords & Form-fill

• Outlook Windows 10にパスワードを保存しない

• Google Passwords Managerあなたはあなたのパスワードに安全にアクセスできるようにします

• Zoho Vault Password Manager Free Version & Chrome＆Firefox extension

• Recover Mailクライアントからのパスワード：Mail Password Decryptor

• Windows 10 PC用Trend Micro Password Manager

• 避けるべき最も一般的なパスワードのトップ10

• Windows PCでパスワードをChromeに保存した管理、edit and view

• Brute Force Attacks - Definition and Prevention

• Microsoft EdgeでReveal Password buttonを有効または無効にする方法

• Reset Windows Password Recover MY Password Home Free