Última actualización: 11 de enero de 2023
El ataque de fuerza bruta es un ataque muy básico, al contrario de lo que se podría pensar, se ha vuelto muy fácil realizar este tipo de ataques gracias a herramientas fáciles de usar como Fireforce, Caín y Abel y Juan el Destripador.
Ataque de fuerza bruta: ¿cómo funciona?
El principio del ataque es intentar varias veces encontrar la contraseña del archivo o una aplicación probando todas las combinaciones de caracteres posibles hasta encontrar la contraseña.
El ataque de fuerza bruta también se puede desinfectar utilizando un diccionario con el mismo principio. Los datos se incluyen en una lista que contiene todos los valores posibles de una contraseña, por lo que siempre debes evitar el uso de palabras de un diccionario en tus contraseñas.
Para que este ataque funcione, los piratas informáticos suelen utilizar software que automatiza la prueba de combinaciones de contraseñas hasta encontrar una combinación correcta.
Con el aumento de la potencia informática de las computadoras, los ataques de fuerza bruta se han vuelto más efectivos y los piratas informáticos pueden realizar miles de intentos de conexión por segundo. Por eso es importante tomar medidas para proteger su sitio web contra este tipo de ataques.
Proteja su sitio web de un ataque de fuerza bruta
Existen varios métodos para proteger un sitio web contra ataques de fuerza bruta:
Identificar al atacante
La solución para identificar al atacante es marcarlo dándole una cookie o usando su dirección IP. Pero, lamentablemente, estas dos técnicas ya no son suficientes, porque el pirata informático puede cambiar su dirección IP utilizando un apoderadoo un VPN o simplemente reiniciando el módem de conexión.
Bloquear la dirección IP del atacante
Si nota que una dirección IP está realizando una cantidad extrema de intentos de conexión incorrectos, configure su servidor Apache para bloquear esa dirección IP.
Apache tiene comandos para denegar el acceso a estas direcciones mediante directivas ,> y , es por eso que puedes usar Agente de usuario, o la información disponible en los encabezados HTTP.
Para prohibir el acceso a una dirección IP, puede utilizar: negar de 20.1.2.3
O para todas las direcciones IP que comienzan con 10.0: negar de 10.1
Este es el método más efectivo para bloquear a un usuario remoto gracias al servidor web que se encarga de procesar las solicitudes HTTP.
Bloquea al atacante con la Cookie
Si un atacante ha ingresado diez intentos, creamos una cookie que nos permitirá etiquetarlo cuando regrese al sitio. Esta cookie tendrá que bloquearla durante X minutos. Es una pequeña protección que es simple y que puede evitarle algunas situaciones difíciles.
El guión es el siguiente:
si ($_COOKIE['contador'] 10) {
encabezado(“HTTP/1.0 404 no encontrado” quot;);
morir();
}
setcookie('contador',$_COOKIE['contador'] + 1, tiempo() + 3600); ?>
¡Es cierto que el script es básico pero terriblemente efectivo contra este tipo de ataque!
¿Qué puedo decir que el ataque de la fuerza bruta es más probable que falle si reacciona más rápido.
Para que sea más difícil para los piratas informáticos hacer su trabajo, también puede agregar tiempo, una capa adicional de protección.
Tiempo de retardo
El cronometraje es una técnica complementaria que consiste en evitar que se intenten más de 2 intentos seguidos por n segundos. Tus visitantes no verán ningún cambio si tomas un margen de 2 segundos, mientras que el robot que tiene que ingresar cientos de intentos por segundo se retrasará. Entonces así reduce la velocidad de ataque.
Para agregar el retraso de tiempo, hay funciones dormir () et tu duerme() desde PHP
La fonction dormir () se expresa en segundo lugar y tu duerme() en microsegundos.
He aquí un ejemplo:
usdormir(1000000); // pausa por un segundo
Otros métodos para proteger su sitio de ataques de fuerza bruta
A continuación se muestran otros métodos para proteger su sitio web de ataques de fuerza bruta:
Limitar los intentos de conexión
Puede limitar la cantidad de intentos de inicio de sesión en una cuenta o formulario de inicio de sesión mediante el uso de complementos de seguridad para su sistema de administración de contenido (CMS) o escribiendo un código personalizado.
Usando un cortafuegos
Puede utilizar un cortafuegos para bloquear las direcciones IP que realizan intentos de conexión demasiado frecuentes. Existen complementos de seguridad para CMS que incluyen esta funcionalidad o servicios de firewall en la nube.
Usar autenticación de dos factores
El uso de la autenticación de dos factores (2FA) hace que las cuentas sean más difíciles de piratear porque requiere un segundo factor de autenticación, como un código enviado por SMS o una aplicación de autenticación para usar además de la contraseña.
Fortalecer las contraseñas
Al utilizar reglas de complejidad de contraseñas y alentar a sus usuarios a elegir contraseñas únicas y seguras, puede reducir las posibilidades de un ataque de fuerza bruta.
Uso de captchas
El uso de captchas puede ayudar a prevenir ataques automatizados. Son herramientas que se utilizan para distinguir a los usuarios humanos de los programas automatizados, como bots o scripts maliciosos. De hecho, los captchas pueden ser eficaces para bloquear ataques de fuerza bruta y la mayoría de otras formas de automatización.
Conclusión
Es importante tener en cuenta que ninguna medida de seguridad puede garantizar una protección absoluta contra los ataques de fuerza bruta, por lo que es importante continuar monitoreando regularmente las actividades de inicio de sesión de su sitio y actualizar las medidas de seguridad con regularidad.
