Was ist ein Brute-Force-Angriff?

Brute-Force-Angriffe können verschiedene Formen annehmen. Bei einfachen Brute-Force-Angriffen werden systematisch alle möglichen Zahlen- oder Buchstabenkombinationen ausprobiert, bis die richtige gefunden ist. Diese Methode kann zeit- und ressourcenintensiv sein, insbesondere bei längeren oder komplexeren Passwörtern oder Passphrasen.

Eine gezieltere Technik ist der Wörterbuchangriff, der auf einer vordefinierten Liste möglicher Passwörter oder Phrasen basiert. Anstatt wie bei einem herkömmlichen Brute-Force-Angriff jede mögliche Zahlen- oder Buchstabenkombination auszuprobieren, probiert der Angreifer systematisch jedes Wort oder jede Phrase in einem Wörterbuch aus, bis er die richtige gefunden hat. Wörterbuchangriffe sind zwar schneller als einfache Brute-Force-Angriffe, sie können jedoch immer noch fehlschlagen, wenn das Kennwort komplex genug ist, Sonderzeichen verwendet oder nicht im verwendeten Wörterbuch enthalten ist. Darüber hinaus werden durch einen Wörterbuchangriff auf dieselbe Anmeldeaufforderung schnell Ratenbegrenzungs- und Kontosperrungskontrollen ausgelöst.

Hybride Brute-Force-Angriffe kombinieren Elemente sowohl von Wörterbuchangriffen als auch von einfachen Brute-Force-Angriffen. Bei einem hybriden Angriff verwendet der Angreifer eine Reihe von zufälligen Zeichen wie bei einem herkömmlichen Brute-Force-Angriff und außerdem eine Liste mit gängigen Wörtern und Ausdrücken wie bei einem Wörterbuchangriff. Dieser hybride Ansatz erhöht die Erfolgswahrscheinlichkeit, indem sowohl gängige Passwörter aus dem Wörterbuch als auch weniger vorhersehbare Zeichenkombinationen genutzt werden.

Eine andere Angriffsform ist der umgekehrte Brute-Force-Angriff. Anstatt für ein bestimmtes Konto eine Reihe verschiedener Passwörter auszuprobieren, verwenden Angreifer für eine große Anzahl von Kontobenutzernamen bestimmte Passwörter, von denen sie annehmen, dass sie häufig verwendet werden (z. B. „passwort1234“). Diese Methode basiert auf der Annahme, dass zumindest einige der Zielkonten das gewählte Kennwort verwenden, und löst aufgrund der Anzahl fehlgeschlagener Anmeldeversuche mit geringerer Wahrscheinlichkeit Abwehrmaßnahmen aus.

Während Anmeldeinformations-Stuffing wird im Allgemeinen nicht als eine Form von Brute-Force-Angriff betrachtet (dem Angreifer ist bereits eine Liste mit Benutzernamen und Passwörtern bekannt), das gleiche Ziel besteht jedoch darin, unbefugten Zugriff auf Konten zu erlangen, worauf häufig eine Kontoübernahme (Account Takeover, ATO) und Betrug folgt. Beim Credential Stuffing werden automatisierte Skripte oder Tools verwendet, um schnell große Mengen kompromittierter Anmeldeinformationen, wie etwa aus früheren Datendiebstählen oder dem Darknet stammende Benutzername/Passwort-Kombinationen, auf verschiedene Online-Anmeldeformulare anzuwenden. Obwohl beim Credential Stuffing im Gegensatz zu Brute-Force-Angriffen keine umfassenden Tests aller möglichen Kombinationen durchgeführt werden, handelt es sich dennoch um eine automatisierte Methode zum Versuch eines unbefugten Zugriffs und stellt somit ein erhebliches Sicherheitsrisiko dar. Beide Angriffsarten gelten in den Projekten OWASP Top 10 und OWASP Automated Threats als größte Risiken.

Eine schwache oder fehlerhafte Authentifizierung ist ein weiteres Einfallstor für Brute-Force-Angreifer. Einige Authentifizierungssysteme implementieren keine Sperr- oder Drosselungsmechanismen, die die Anzahl der Anmeldeversuche innerhalb eines bestimmten Zeitraums begrenzen. Ohne diese Sicherheitsvorkehrungen können Angreifer wiederholt und ohne Einschränkungen versuchen, Passwörter zu erraten, wodurch die Wahrscheinlichkeit eines erfolgreichen Brute-Force-Angriffs steigt.

Brute-Force-Angriffe können auch eingesetzt werden, um Sitzungs-IDs zu erraten oder Schwachstellen in Sitzungsverwaltungsmechanismen auszunutzen, um gültige Sitzungs-IDs zu erlangen oder zu kapern. Sobald ein Angreifer eine gültige Sitzungs-ID erhält, kann er diese verwenden, um sich als authentifizierter Benutzer auszugeben und unbefugten Zugriff auf geschützte Ressourcen zu erlangen.

Die Motive, die Hacker zu Brute-Force-Angriffen bewegen, können sehr unterschiedlich sein. Im Allgemeinen geht es jedoch darum, sich zu böswilligen Zwecken unbefugten Zugriff auf Systeme, Netzwerke oder Konten zu verschaffen.

Zu den häufigsten Motiven gehört finanzieller Gewinn, wenn Angreifer beispielsweise versuchen, finanzielle Informationen wie Kreditkartennummern oder Bankdaten zu stehlen, um Betrug oder Diebstahl zu begehen. Ihr Ziel kann auch der Zugriff auf personenbezogene Daten (PII), geistiges Eigentum oder vertrauliche Geschäftsdaten sein, die verkauft werden können. Angreifer können sich außerdem Zugriff auf persönliche Konten verschaffen, um sich als andere Personen auszugeben und betrügerische Aktivitäten durchzuführen.

Kriminelle können Systeme auch für andere Formen böswilliger Aktivitäten kapern, etwa durch die Organisation eines Botnetzes, also eines Netzwerks von Geräten unter der Kontrolle eines Angreifers, der diese verschiedenen Quellen koordiniert und Distributed-Denial-of-Service-Angriffe (DDoS) startet.

Durch den unbefugten Zugriff auf Systeme und Konten mittels Brute-Force-Angriffen können zudem Schadsoftware oder Spyware verbreitet werden. Auch Angriffe auf Websites können dazu führen, dass diese mit obszönen oder anstößigen Texten und Bildern infiziert werden, wodurch der Ruf eines Unternehmens oder einer Website gefährdet wird. Hacker können außerdem Brute-Force-Angriffe nutzen, um Anzeigen oder Aktivitätsdaten auszunutzen. Sie können sich den unbefugten Zugriff zunutze machen, um Spam-Anzeigen auf Websites zu platzieren und so Werbeprovisionen zu erhalten oder den Datenverkehr von einer bestimmten Website auf eine bösartige Website umzuleiten und so Anmeldeinformationen zu stehlen oder Nutzer zu betrügen. 

Das OWASP- Projekt (Open Worldwide Application Security Project) „Automated Threats to Web Applications“ identifiziert Brute-Force-Angriffe als eine Art von Credential-Cracking-Angriff (OAT-007) . F5 bietet Lösungen zum Umgang mit vielen der automatisierten Risiken von OWASP. F5 Distributed Cloud Bot Defense schreckt Bots und bösartige Automatisierung ab, um ATO und den daraus resultierenden Betrug und Missbrauch zu verhindern, der vorhandene Bot-Management-Lösungen umgehen kann. Distributed Cloud Bot Defense bietet Echtzeitüberwachung und -informationen sowie ML-basierte Retrospektivanalysen, um Unternehmen vor automatisierten Angriffen zu schützen, einschließlich solcher, die Brute-Force-Techniken einsetzen.

Darüber hinaus blockieren und mindern die F5 Web Application Firewall (WAF)-Lösungen ein breites Spektrum an Risiken, die von OWASP identifiziert wurden. F5 WAF-Lösungen kombinieren Signatur- und Verhaltensschutz, einschließlich Bedrohungsinformationen von F5 Labs und ML-basierter Sicherheit, um mit neuen Bedrohungen Schritt zu halten. Um Brute-Force-Angriffe zu verhindern, verfolgt WAF die Anzahl der fehlgeschlagenen Versuche, die konfigurierten Anmelde-URLs zu erreichen. Wenn Brute-Force-Muster erkannt werden, betrachtet die WAF-Richtlinie diese als Angriff, wenn die Rate fehlgeschlagener Anmeldungen erheblich angestiegen ist oder wenn fehlgeschlagene Anmeldungen einen maximalen Schwellenwert erreicht haben.

F5 WAF-Lösungen lassen sich in F5-Bot-Abwehrlösungen integrieren und bieten so einen robusten Schutz vor den größten Sicherheitsrisiken, darunter das Ausnutzen von Schwachstellen und automatisierte Brute-Force-Angriffe.