Un mot de passe, plusieurs portes : détecter un password spraying
Le défi
Le SSO de Veltro a enregistré une minute discrète juste après huit heures : une seule adresse a tenté de se connecter sous l'identité d'une longue liste de membres du personnel différents, un essai chacun, avant de passer au suivant. Ce n'est pas quelqu'un qui s'acharne sur un seul compte jusqu'à ce qu'il cède : c'est quelqu'un qui teste sur tout le monde un mot de passe qu'il possède déjà, sachant que la plupart ne correspondront pas, mais que celui d'une personne correspondra. Presque toutes ces tentatives ont échoué. Une seule a réussi. Trouvez le compte qui leur a ouvert la porte.
Ce que tu vas apprendre
- Distinguer le password spraying (en largeur) du brute force (en profondeur)
- Filtrer un SIEM par adresse source pour isoler les tentatives d'un seul acteur
- Reconnaître une source unique qui touche de nombreux noms d'utilisateur distincts comme le signal d'un spray
- Distinguer un simple nouvel essai après échec d'une attaque
- Lister les défenses : limites par source, MFA, interdiction des mots de passe compromis
Compétences testées
Prérequis
- Lire des événements de log tabulaires
- Ce que signifie un succès ou un échec de connexion
Comment ça marche
Le brute force devine de nombreux mots de passe sur un seul compte et déclenche vite un verrouillage. Le password spraying inverse la logique : on prend un mot de passe susceptible d'être utilisé quelque part, et on l'essaie une seule fois sur une longue liste de comptes. Aucun compte ne voit plus d'un échec, donc les verrouillages par compte ne se déclenchent jamais.
Le signal passe de la profondeur à la largeur. Au lieu d'un seul nom d'utilisateur avec de nombreux échecs, on voit une même adresse source parcourir de nombreux noms d'utilisateur différents dans une fenêtre très courte, presque tous en échec, avec de temps en temps un succès là où un compte utilisait justement ce mot de passe.
Lire le log par source plutôt que par compte rend le pattern évident.
Erreurs fréquentes
- Chercher de nombreux échecs sur un seul compte. C'est du brute force ; un spray montre un échec par compte sur de nombreux comptes.
- Signaler
s.radev. Cette personne échoue une fois puis réussit depuis sa propre adresse : un nouvel essai normal, pas la source du spray. - Répondre avec l'IP de l'attaquant. La question demande quel compte a été compromis, pas la source.
- Passer à côté du succès unique. Dans la rafale, neuf échouent et un seul réussit ; cet utilisateur est la réponse.
Comment s'en protéger
Détecter la largeur et supprimer la victoire facile.
- Limiter le débit et alerter par adresse source, pas seulement par compte, et signaler toute source unique qui tente de nombreux noms d'utilisateur distincts dans une fenêtre courte.
- Exiger l'authentification multifacteur pour qu'un mot de passe correct ne suffise pas à donner l'accès.
- Interdire les mots de passe faibles, partagés ou connus pour avoir fuité, qui sont ce qui permet à un seul essai de spray d'aboutir.
- Verrouiller ou renforcer l'authentification des comptes qui réussissent à se connecter depuis une adresse vue en échec sur de nombreux autres comptes.