ブルートフォース攻撃の対策方法6選

ブルートフォース攻撃は、サイバー犯罪者が組織から認証情報を盗むために使用する最も一般的な方法の1つです。 組織は、ブルートフォース攻撃を防ぐために、強力でユニークなパスワードの使用を強制し、ビジネス向けパスワードマネージャーに導入し、従業員にMFAの有効化を要求し、ログイン試行の監視と制限を行い、パスワードレス認証を実施して、非アクティブなアカウントを削除する必要があります。

ここでは、ブルートフォース攻撃とは何か、組織がそれを防ぐための6つの方法、およびそれを検知する方法について、さらに詳しく説明します。

ブルートフォース攻撃とは？

ブルートフォース攻撃とは、ソフトウェアを使用し、試行錯誤しながら認証情報を推測するサイバー攻撃の一種です。 ソフトウェアは、一般的に使用される辞書の単語やフレーズ、または特定の文字と数字の組み合わせを入力し、一致するまで続けます。 ブルートフォース攻撃は、脆弱なパスワードや使い回しされたパスワードを使用するアカウントを簡単に侵害することができます。 一般的な種類のブルートフォース攻撃には、単純なブルートフォース、クレデンシャルスタッフィング、パスワードスプレー、辞書攻撃などがあります。

ブルートフォース攻撃を防ぐ6つの方法

多くの従業員は、業務用アカウントを「保護」するために、脆弱で覚えやすいパスワードを使用し、組織をブルートフォース攻撃の被害に遭うリスクに晒しています。 しかし、組織がブルートフォース攻撃のリスクを軽減できる6つの方法があります。

1. 強力でユニークなパスワードを強制する

ブルートフォース攻撃による組織のパスワード侵害を防ぐ最善の方法は、強力でユニークなパスワードの使用を強制することです。 強力なパスワードは、サイバー犯罪者が解読するのを困難にするために、長くて複雑なものである必要があります。 クレデンシャルスタッフィングが複数のアカウントを侵害するのを防ぐために、各アカウントにはそれぞれ固有のパスワードが必要とされるべきです。

また、組織は、業務用アカウントを保護するためにパスフレーズを使用するよう従業員に提案することもできます。 パスフレーズとは、パスワードとして使用されているランダムかつ無関係の単語からなる文字列です。 パスフレーズは長く、互いに、あるいはユーザーに無関係のランダムな単語を使用するため、ブルートフォースの手法は、それらの解読においてあまり効果的ではありません。

2. ビジネス向けパスワードマネージャーに導入する

ビジネス向けパスワードマネージャーは、組織とその従業員がすべてのパスワードを追跡、保存、共有、保護、管理できるようにするツールです。 パスワードは、各従業員が持つデジタルで暗号化されたボルトに保存され、強力なマスターパスワードでのみアクセスできます。 パスワードマネージャーは、脆弱なパスワードを特定し、従業員に内蔵のパスワードジェネレーターを使用して、それらを強化するよう促すことができます。 パスワードマネージャーを使用すると、管理者は従業員のパスワード慣行を監視し、すべてのアカウントに強力でユニークなパスワードの使用を強制できます。

3. 従業員にMFAの有効化を要求する

多要素認証は、ユーザーがアカウントにアクセスする際に複数の認証形式を提供することを要求するセキュリティプロトコルです。 MFAが有効になっている場合、ユーザーは生体認証や時間ベースのワンタイムパスワード（TOTP）などの別の認証要素と一緒にログイン認証情報を提供する必要があります。 MFAは、許可されたユーザーのみがアカウントにアクセスできることを保証することで、追加のセキュリティレイヤーを提供します。 たとえブルートフォース攻撃によってパスワードが侵害された場合でも、サイバー犯罪者は追加の認証要素を提供できないため、被害者のアカウントにアクセスすることができません。

4. ログイン試行の監視と制限

組織は、アカウントへのログイン試行を監視する必要があります。 ログインを試みているIPアドレスが認証されたユーザーのものであるか、ログイン試行回数が異常であるかどうかを確認するべきです。 これは、組織がブルートフォース攻撃の可能性を検知するのに役立ちます。 組織は、各ログイン試行の失敗の間にタイマーを設定し、サイバー犯罪者が情報を入力できる速度を制限し、組織に不審なアクティビティを警告することができます。 また、ログイン試行回数に制限を設けるべきです。 ログイン試行回数を制限することで、組織はサイバー犯罪者のソフトウェアが組織のアカウントの認証情報を推測するのをブロックできます。

5. 可能な限りパスワードレス認証を実施する

パスワードレス認証は、パスワードを使用せずに、個人の身元を確認する認証方法です。 代わりに、生体認証識別子、マジックリンク、またはパスキーを使用します。 パスワードレス認証ではパスワードを使用しないため、ブルートフォース攻撃やフィッシング攻撃に耐性があります。

6. 非アクティブなアカウントを削除する

組織は、サイバー犯罪者の潜在的なエントリーポイントの数を減らし、攻撃対象領域を縮小するために、非アクティブなアカウントを削除する必要があります。 サイバー犯罪者は、ブルートフォース攻撃を実行して、非アクティブなアカウントのログイン認証情報を推測し、組織のネットワークへの不正アクセスを取得しようとします。 非アクティブなアカウントは、できるだけ早く停止する必要があります。

ブルートフォース攻撃を見分ける方法

組織は、アカウントのログイン試行とアクティビティを監視し、ブルートフォース攻撃の試みを検知する必要があります。 ブルートフォース攻撃を検知するために組織が注意すべきことは、以下のとおりです。

• 異常な量のログイン試行の失敗回数
• 不審なIPアドレスからのログイン試行
• 同じIPアドレスからの複数のアカウントのログイン試行の失敗
• ログイン後の奇妙なアカウントアクティビティ

組織は、アカウントのログイン試行を監視し、サイバー犯罪者がパスワードを推測しようとしているかどうかを確認する必要があります。 組織が、不審なIPアドレスからの異常なログイン試行に気付いた場合、そのIPアドレスのログインの試みをブロックし、ブルートフォース攻撃の成功を妨げることができます。

組織が、ログイン後の奇妙なアカウントアクティビティに気付いた場合、サイバー犯罪者が組織のパスワードを推測し、ネットワークへの不正アクセスを取得している可能性があります。 組織は、そのアクティビティが不正ユーザーによるものであるかどうかを調査する必要があります。 そうである場合、組織は不正ユーザーのアクセスを削除し、そのアカウントへのパスワードを直ちに変更する必要があります。

まとめ：Keeper®を使用してブルートフォース攻撃を防ぐ

ブルートフォース攻撃は、脆弱なパスワードを悪用して、組織のアカウントやネットワークへの不正アクセスを取得します。 しかし、組織はパスワードマネージャーに導入することで、ブルートフォース攻撃を簡単に防ぐことができます。 パスワードマネージャーは、組織が強力でユニークなパスワードとMFAを使用してアカウントを保護するのに役立ちます。 一部のパスワードマネージャーは、組織がパスキーなどのパスワードレス認証を実装するのに役立ちます。Keeperパスワードマネージャーは、ゼロトラストセキュリティとゼロ知識暗号化を使用して、許可されたユーザーのみが組織のパスワードボルトにアクセスでき、他のユーザーはアクセスできないことを確実にします。 これは、従業員のパスワード慣行に対する完全な可視性、制御、セキュリティを組織に提供します。

まずは無料体験版をリクエストしてお試しください。

ビジネス版: 14日間の無料体験を試す