Что такое брутфорс

Чтобы защитить IT-систему от взлома, нужно знать основные приёмы хакеров. В этой статье мы разберём один из распространённых методов кибератаки.

Брутфорс-атака: что это

Таким образом, атака brute force — это взлом системы с целью получить доступ к защищённым данным.

Классификация brute force

Существует несколько видов атак:

• взлом ПК;
• взлом электронной почты;
• взлом учётных записей;
• взлом сайта.

Атака может быть направлена как на частное лицо, так и на организацию.

Атака на ПК

Это вид персонального взлома: хакер пытается подобрать пароль пользователя, чтобы получить доступ к личным данным и управлению компьютером. Для этого применяют программное обеспечение и мошеннические схемы получения информации. Например, злоумышленник в телефонном разговоре или онлайн-общении с жертвой кибератаки может выяснить следующие данные:

• кличку домашнего животного;
• дату рождения и другие значимые числовые комбинации;
• имена детей и родственников.

Полученные сведения помогают при взломе, особенно если в качестве пароля используются полные слова со смыслом: например, Ivan2007 или Ivan_Petrov. В этом случае речь идёт о «словарной атаке», когда для брутфорса применяются словари.

Атака на электронную почту

Киберпреступники пытаются взломать электронный почтовый ящик пользователя, чтобы получить доступ к его учётной записи и информации в письмах. Для этого используются уязвимости в почтовом сервисе или фишинг.

Атака на учётные записи

Одна из разновидностей brute force — брут-чек. Как выглядит схема:

• при регистрации в соцсетях и на онлайн-ресурсах пользователи указывают email;
• на указанный email приходят логин и пароль для доступа к аккаунту;
• хакеры с помощью специального ПО находят такие письма в почте пользователей;
• ПО выдаёт перечень логинов и паролей, по которым хакеры могут войти в аккаунты.

Взлом учётных записей грозит потерей аккаунта, утечкой личной переписки и конфиденциальной информации. Допустим, пользователь хранит в почте или чате в соцсетях следующие данные:

• фотографию паспорта;
• реквизиты банковской карты;
• пароли к 1C, CRM и другим рабочим программам.

В результате атаки brute force все эти данные попадают в руки мошенников, что может привести к финансовым и репутационным потерям.

Атака на сайт

Метод основан на поиске уязвимостей веб-сайта. Цель атаки — получить доступ к домену, базе подписчиков и бизнес-данным.

Часто сайты взламывают для рассылки рекламы: мошенники используют домен, чтобы почтовые сервисы не опознали письма как спам. Также хакеры могут требовать деньги за восстановление доступов, шантажировать владельца сайта удалением данных и совершать другие противоправные действия.

Защита от брутфорс-атак

Взлом аккаунтов и подбор паролей является киберпреступлением. Последствия брутфорсных атак — штраф или лишение свободы до семи лет (статья УК РФ 272 «Неправомерный доступ к компьютерной информации»).

Однако для предотвращения преступлений нужно заботиться о кибербезопасности самостоятельно:

• пользователи должны ответственно подходить к хранению персональных данных;
• компании — внедрять инструменты для защиты бизнеса от киберугроз.

Разберём несколько способов повышения цифровой безопасности на разных уровнях.

Надёжные пароли

Чем сложнее пароль, тем сложнее его подобрать. По статистике, 77% взломанных паролей содержат менее восьми символов. Добавление знаков препинания и специальных символов значительно затрудняет брутфорс. Поэтому рекомендуется использовать пароли от восьми знаков, состоящие из букв, цифр и спецсимволов.

Двухфакторная аутентификация

Способ основан на многоэтапной проверке пользователя. Для подтверждения личности используется не только пароль, но и дополнительный фактор, например:

• код из СМС или email;
• пуш-уведомление;
• токен.

Двухфакторная аутентификация делает атаку сложнее и повышает уровень защиты данных.

Биометрия

Вместо пароля можно использовать метод идентификации с помощью биометрических данных. Например, для входа в приложение или разблокировки телефона нужно отсканировать палец или использовать систему распознавания лиц.

При этом не стоит полностью полагаться на биометрию. Уже появились системы подбора изображений отпечатков, которые позволяют разблокировать смартфоны на iOS и Android без сканирования пальца владельца. Поэтому защита доступа к смартфону не освобождает от необходимости ставить пароли на почту, мессенджеры, банковские приложения.

Защита приложений

На уровне разработчиков сайтов и приложений можно ограничить количество попыток ввода пароля. Например, после трёх неудачных попыток система блокирует возможность входа на несколько минут или часов.

Данный метод не является панацеей от кибератак, но даёт возможность вовремя выявить угрозу и оповестить пользователя о попытке взлома.

Обучение пользователей

Чтобы предотвратить утечку данных на корпоративном уровне, важно обеспечить соблюдение правил информационной безопасности на уровне конечных пользователей. Для этого нужно научить сотрудников использовать надёжные пароли, распознавать спам и фишинг.

Защита бизнеса

На уровне администратора можно запретить сотрудникам совершать действия, способные привести к кибератаке. Например, в целях безопасности многие компании отключают возможность установки сторонних приложений на рабочие компьютеры и другие устройства, подключённые к корпоративной сети.

Также некоторые организации закрывают доступы к онлайн-ресурсам, разрешая пользоваться только сайтами, необходимыми для работы. А в почтовом клиенте можно настроить принудительное обновление пароля через каждые два или три месяца.

Чтобы обеспечить комплексную защиту компании, нужно применять набор инструментов с учётом отраслевой специфики. Такую возможность предоставляют решения для защиты бизнеса от киберугроз. Преимущества продуктов:

• помогают выстроить полную защиту от цифровых рисков;
• соответствуют требованиям законодательства по работе с персональными данными;
• подбираются индивидуально в зависимости от масштаба бизнеса, ниши и задач.

Использование надёжного ПО

Часто для брутфорс-атаки нужна уязвимость. Чем сложнее IT-структура, чем больше программных продуктов использует компания, тем выше риски утечки данных или взлома. Поэтому важно выбирать ПО с высокой защитой от киберугроз. Например, продукты для бизнеса от Сбера созданы в соответствии с банковскими стандартами безопасности и отвечают мировым требованиям к защите данных.

Категории из этой статьи:

Продукты для бизнеса