什么是密码喷洒？

密码喷洒（或密码喷洒攻击）是指攻击者使用常见密码试图访问一个域上的多个帐户。攻击者可以使用常见弱密码列表（例如 123456 或 password1）在一次攻击中访问数百个帐户。

网络犯罪分子一次即可访问多个帐户，使其能够访问企业或个人帐户及个人信息。如果网络犯罪分子仅进入您企业三分之一的帐户，他们将可以访问：

密码喷洒与帐密填充

另一种常见的攻击是撞库。撞库不是循环使用常见密码，而是利用了这样一个事实，即有些人可能会在不同的帐户中使用相同的登录凭据，并将其“填充”至不同系统的登录门户。这些密码是经过完全验证的凭据（通常是用户名 + 密码），并且经常是在其他系统的数据泄露中被盗。

与撞库不同，密码喷洒攻击通常使用喷洒工具包（软件工具或单个程序的集合）从目录或公开来源中收集用户名开始。该工具包用于通过一些命令夺取用户名，然后喷洒常见密码列表，以试图侵入帐户。

及早检测到密码喷洒攻击可以给您足够的时间做出反应并保护您的帐户。方法如下。

MFA/2FA: 使用多步验证保护帐户允许您要求提供另一组凭据来访问您的帐户，并在新设备尝试访问时进行通知。

黑暗网络监视： 使用黑暗网络监视服务保护您的数据，并在您的任何凭据被泄露时收到通知。BreachWatch^® 可监视黑暗网络中是否有被入侵帐户，并立即提醒您以便您采取措施保护自己的在线身份。

密切关注以下登录：连续输入错误用户名通常是攻击的迹象。应确保您的 IT 团队密切关注公司登录信息，并在连续输入错误用户名时收到通知。

监视帐户锁定、身份验证尝试或登录失败情况的增加：密码喷洒有危险，但并非总会成功。确保在发生登录失败时您收到通知。监视登录失败的模式。一两次连续登录失败可能并不总会引起警觉，但来自不同帐户的几次登录失败值得注意。

使用多步验证：如前所述，这要求提供额外的凭据才能登录到您的帐户，并在有人尝试登录时通知您。多样化的两步验证/多步验证要求可以增加一层额外的安全保护。例如，不要仅使用基于时间的一次性密码 (TOTP)。对于某些敏感帐户可以尝试使用生物识别技术。

不要使用常见密码：一些最常见的密码包括 password、love 等词语和顺序数字。为每个帐户创建唯一的复杂密码，并且不要重复使用密码。密码管理程序可以帮助您生成更高强度的唯一密码，安全地进行存储，并可将其集成至第三方身份验证软件。

采取以下措施以确保您的企业和员工受到保护：

为公司门户站点实施多步验证和安全问题
使用 CAPTCHA 防止机器人使用被盗的凭据登录帐户
为团队使用更新后的 VPN 来隐藏 IP 地址，使攻击者更难缩小企业的确切 IP 地址范围。
在您的公司制定严格的网络安全政策，重点是为每个帐户创建复杂的唯一密码。
在全公司范围内对所有员工进行有关密码喷洒危险、其他网络安全威胁以及更好密码需求的教育。包括有关如何创建更好密码、识别威胁以及如果您认为您的帐户已被泄露该怎么办的信息。

由于经常滥用常见密码，从而增加了密码喷洒的危险性。超过 65% 的互联网用户在他们的多个或全部帐户中重复使用密码。您可以看到为什么密码喷洒会如此有效——只需要少数人使用糟糕的密码就可以危及整个企业。