Dois Logins Distantes Demais: Detecção de Impossible Travel
O desafio
Todos os logins no painel da Brightmoor desta manhã tiveram sucesso, cada um com a senha correta e nenhuma falha para chamar a atenção. Esse é o problema: uma senha roubada gera um sucesso perfeitamente limpo. A única coisa que um login válido não consegue forjar é estar em dois lugares ao mesmo tempo. Uma conta fez login a partir da cidade habitual e, poucos minutos depois, do outro lado do mundo, e depois voltou. Leia o log de login e indique a conta comprometida.
O que você vai aprender
- Explicar por que uma senha roubada gera apenas sucessos limpos
- Usar a geolocalização ao longo do tempo, e não sucesso/falha, como sinal
- Identificar uma conta cuja cidade salta uma distância inviável em minutos
- Separar as sessões do usuário real das sessões do atacante intercaladas
- Listar as defesas: MFA, alertas de impossible travel, vínculo de sessão
Habilidades testadas
Pré-requisitos
- Leitura de eventos de log em formato de tabela
- Noções de geografia mundial
Como funciona
Quando um atacante tem uma senha válida, os logins dele têm sucesso exatamente como os do dono. Contar falhas ou bloqueios não encontra nada, porque não há nenhum.
O que uma credencial válida não consegue falsificar é a localização. A mesma conta não pode entrar a partir de duas cidades a milhares de quilômetros de distância em questão de minutos. Correlacionar as localizações de logins sucessivos de cada conta com o tempo entre eles revela uma distância que nenhuma viagem real conseguiria cobrir.
Aqui, uma conta alterna entre a cidade de origem e uma cidade do outro lado do mundo, com minutos de diferença. Essas sessões distantes são o atacante, intercalado com o usuário legítimo que nunca saiu de casa.
Erros comuns
- Procurar por logins com falha. Todas as linhas tiveram sucesso; o ataque se esconde em sucessos limpos.
- Marcar uma conta que simplesmente tem outra cidade de origem. Estar em Accra ou Lisboa é normal; saltar entre cidades com minutos de diferença não é.
- Responder com a cidade ou o IP do atacante. A pergunta pede qual conta foi comprometida.
- Não perceber a intercalação. O usuário real continua trabalhando de casa entre as sessões do atacante, e por isso as duas cidades aparecem para a mesma conta.
Como se proteger
Faça com que a senha sozinha não seja suficiente e fique de olho em sessões que se teletransportam.
- Exija autenticação multifator, para que uma senha roubada não dê acesso.
- Execute detecção de impossible travel: sinalize ou exija nova verificação quando logins sucessivos de uma conta excederem a velocidade de deslocamento viável.
- Vincule as sessões a sinais de dispositivo e de rede, para que uma sessão existente não possa ser retomada a partir de um novo país, e gere alerta no primeiro login vindo de um novo país.