O que é um ataque de força bruta?

Um ataque de força bruta é uma tentativa de descobrir uma senha testando sistematicamente combinações de letras, números e símbolos para contornar os controles de autenticação e autorização, muitas vezes utilizando um dicionário de palavras e táticas como a pulverização de senhas.

A lógica por trás dos ataques de força bruta — também chamados de quebra de senha — é muito simples: testar todas as combinações possíveis de senha. Por exemplo, se você usar um PIN de quatro dígitos como senha (código de acesso), acabará chegando à resposta correta ao testar todas as 10.000 combinações de "0000" a "9999". Seria difícil para uma pessoa fazer isso manualmente, mas é muito fácil com ferramentas automatizadas. Se for possível testar uma senha por segundo, a senha poderá ser descoberta em, no máximo, 10.000 segundos (cerca de 2 horas e 47 minutos). Embora os ataques de força bruta não sejam uma forma particularmente sofisticada de ataque cibernético, eles continuam sendo usados devido à sua eficácia contra senhas fracas e sistemas com pouca segurança, além de os kits de ferramentas automatizadas tornarem economicamente atraente para os invasores ampliar e executar esses ataques.

Tipos de ataques de força bruta

Os ataques de força bruta podem assumir diversas formas. Ataques simples de força bruta consistem em testar sistematicamente todas as combinações possíveis de números ou caracteres até encontrar a correta. Esse método pode consumir muito tempo e recursos, especialmente no caso de senhas ou frases-senha mais longas ou complexas.

Uma técnica mais direcionada é o ataque de dicionário, que se baseia em uma lista predefinida de possíveis senhas ou frases. Em vez de tentar todas as combinações possíveis de números ou caracteres, como em um ataque de força bruta tradicional, o invasor testa sistematicamente cada palavra ou frase de um dicionário até identificar a correta. Embora os ataques de dicionário sejam mais rápidos do que os ataques simples de força bruta, eles ainda podem falhar se a senha for suficientemente complexa, usar caracteres especiais ou não estiver incluída no dicionário utilizado. Além disso, usar um ataque de dicionário na mesma tela de login acionará rapidamente os controles de limitação de tentativas e bloqueio de conta.

Ataques híbridos de força bruta combinam elementos de ataques de dicionário e ataques simples de força bruta. Em um ataque híbrido, o invasor utiliza um conjunto de caracteres aleatórios, como em um ataque tradicional de força bruta, e também uma lista de palavras e frases comuns, como em um ataque de dicionário. Essa abordagem híbrida aumenta a probabilidade de sucesso ao explorar tanto as senhas comuns do dicionário quanto combinações de caracteres menos previsíveis.

Outra forma de ataque é o ataque de força bruta reversa. Em vez de tentar uma sequência de várias senhas para uma conta específica, os invasores testam senhas específicas que acreditam ser comumente usadas (como “password1234”) em um grande número de nomes de usuário de contas. Esse método parte do pressuposto de que pelo menos algumas das contas visadas usam a senha escolhida e tem menos probabilidade de acionar medidas de mitigação baseadas no número de tentativas de login malsucedidas.

Embora o preenchimento de credenciais geralmente não seja considerado uma forma de ataque de força bruta (o invasor já possui uma lista conhecida de nomes de usuário e senhas), ele também tem como objetivo obter acesso não autorizado a contas, muitas vezes seguido de sequestro de conta (ATO) e fraude. O preenchimento de credenciais utiliza scripts ou ferramentas automatizadas para testar rapidamente grandes conjuntos de credenciais comprometidas, como combinações de nome de usuário e senha obtidas em vazamentos de dados anteriores ou na dark web, em diversos formulários de login online. Embora o preenchimento de credenciais não envolva o teste exaustivo de todas as combinações possíveis, como ocorre nos ataques de força bruta, ele ainda é um método automatizado de tentativa de acesso não autorizado, o que o torna uma ameaça significativa à segurança. Ambos os tipos de ataque são considerados riscos importantes nos projetos OWASP Top 10 e OWASP Automated Threats.

Autenticação fraca ou comprometida é outra porta de entrada para invasores que realizam ataques de força bruta. Alguns sistemas de autenticação não implementam mecanismos de bloqueio ou limitação de tentativas, que restringem o número de tentativas de login em um determinado período. Sem essas proteções, os invasores podem tentar adivinhar senhas repetidamente e sem qualquer restrição, aumentando a probabilidade de sucesso de um ataque de força bruta.

Ataques de força bruta também podem ser usados para adivinhar IDs de sessão ou explorar vulnerabilidades nos mecanismos de gerenciamento de sessões a fim de obter ou sequestrar IDs de sessão válidos. Depois que um invasor obtém um ID de sessão válido, ele pode usá-lo para se passar pelo usuário autenticado e obter acesso não autorizado a recursos protegidos.

As motivações por trás dos ataques de força bruta

Os motivos que levam hackers a realizar ataques de força bruta podem variar bastante, mas geralmente envolvem obter acesso não autorizado a sistemas, redes ou contas para fins maliciosos.

Alguns motivos comuns incluem o ganho financeiro, como quando os invasores tentam roubar informações financeiras, como números de cartão de crédito ou credenciais bancárias, para cometer fraudes ou furtos. Eles também podem tentar obter acesso a informações de identificação pessoal (PII), propriedade intelectual ou dados comerciais confidenciais, que podem ser vendidos. Os invasores também podem obter acesso a contas pessoais para se passar por outras pessoas e realizar atividades fraudulentas.

Os criminosos também podem sequestrar sistemas para realizar outras formas de atividade maliciosa, como criar uma botnet, que é uma rede de dispositivos sob o controle de um invasor que coordena essas diversas fontes e lança ataques distribuídos de negação de serviço (DDoS).

O acesso não autorizado a sistemas e contas por meio de ataques de força bruta também pode disseminar malware ou spyware, ou ainda atingir sites com ataques que os infestam com textos e imagens obscenos ou ofensivos, ameaçando a reputação de uma empresa ou site. Os hackers também podem usar ataques de força bruta para explorar anúncios ou dados de atividade, valendo-se do acesso não autorizado para inserir anúncios de spam em sites a fim de obter comissões de publicidade ou redirecionar o tráfego de um site legítimo para um site malicioso com o objetivo de roubar credenciais ou fraudar usuários.

Como prevenir ataques de força bruta

Há várias maneiras de reduzir o risco de ataques de força bruta. A implementação de várias das medidas a seguir dificultará que invasores adivinhem senhas ou obtenham acesso não autorizado por meio de repetidas tentativas de login. Entre elas estão:

• Usar senhas fortes e complexas. Senhas fortes são a primeira linha de defesa contra o acesso não autorizado a sistemas e dados. Uma política de senhas bem definida ajuda a garantir que os usuários criem e mantenham senhas seguras, que incluam uma combinação de letras maiúsculas e minúsculas, números e caracteres especiais. Com ferramentas de quebra de senhas cada vez mais sofisticadas, frases-senha longas agora oferecem muito mais proteção do que senhas simples. As políticas devem proibir a reutilização de senhas, uma das principais causas de ataques de preenchimento de credenciais e invasão de contas.
• Uso da autenticação multifator (MFA). Além de inserir um nome de usuário e uma senha ou frase secreta, a MFA exige que o usuário forneça fatores adicionais para acessar um aplicativo, recurso, conta online ou outro serviço. Na prática, isso geralmente envolve inserir em um smartphone ou navegador um código de uso único recebido por e-mail ou SMS, ou fornecer dados biométricos, como impressão digital ou reconhecimento facial.
  
• Implementação de políticas de bloqueio de contas. Após um determinado número de tentativas de login malsucedidas, bloqueie as contas de usuário por um período específico ou até que sejam desbloqueadas manualmente por um administrador. Isso impede que invasores tentem adivinhar senhas repetidamente. A limitação de taxa também pode ser usada para restringir o número de solicitações de login provenientes de um único endereço IP ou de uma conta de usuário durante um período específico.
  
• Criptografia de dados confidenciais. Criptografar dados confidenciais em repouso e em trânsito garante que, mesmo que invasores obtenham acesso não autorizado a um sistema, eles não consigam ler os dados sem a chave de criptografia. Isso torna os ataques de força bruta menos eficazes, pois os invasores precisariam da chave de criptografia para descriptografar os dados.
  
• Manter o software atualizado. Certifique-se de que todos os softwares, incluindo sistemas operacionais, servidores web e aplicativos, recebam regularmente correções e atualizações para solucionar vulnerabilidades de segurança que possam ser exploradas por invasores.
  
• Implantação de soluções de gerenciamento de bots e firewalls de aplicações web. A implantação de soluções que impedem ataques automatizados pode proteger lógicas de negócios críticas contra abusos, incluindo ataques de força bruta.

Como a F5 lida com ataques de força bruta?

O OWASP (Open Worldwide Application Security Project) Projeto de Ameaças Automatizadas a Aplicações Web identifica ataques de força bruta como um tipo de ataque de quebra de credenciais (OAT-007). A F5 oferece soluções para lidar com muitos dos riscos automatizados identificados pelo OWASP.F5 Distributed Cloud Bot Defense impede bots e automações maliciosas para evitar ATO e as fraudes e os abusos decorrentes, que podem contornar as soluções existentes de gerenciamento de bots. Distributed Cloud Bot Defense oferece monitoramento e inteligência em tempo real, além de análise retrospectiva baseada em ML, para proteger as organizações contra ataques automatizados, inclusive aqueles que empregam técnicas de força bruta.

Soluções F5 Web Application Firewall (WAF) também bloqueiam e mitigam uma ampla variedade de riscos identificados pela OWASP. As soluções WAF da F5 combinam proteções baseadas em assinaturas e comportamento, incluindo inteligência contra ameaças da F5 Labs e segurança baseada em aprendizado de máquina, para acompanhar as ameaças emergentes. Para evitar ataques de força bruta, o WAF monitora o número de tentativas malsucedidas de acesso aos URLs de login configurados. Quando padrões de força bruta são detectados, a política do WAF os considera um ataque se a taxa de falhas de login aumentar significativamente ou se as falhas de login atingirem um limite máximo.

As soluções de WAF da F5 integram-se às soluções de defesa contra bots da F5 para oferecer uma mitigação robusta dos principais riscos de segurança, incluindo a exploração de vulnerabilidades e ataques automatizados de força bruta.