패스워드 스프레이 vs 자격 증명 사용: 차이점 및 예방

password spray vs credential stuffing 패스워드 스프레이와 자격 증명 사용의 주요 차이점은 공격을 수행하는 데 필요한 요건입니다. 두 가지 모두 나쁜 행위자들이 사용자 계정에 불법적으로 접근하기 위해 사용하는 무차별 공격입니다.

이것이 처음에는 무섭게 들릴 수 있지만, 여전히 당신의 실수에 의존합니다. 이 패스워드 스프레이 vs 자격 증명 사용 가이드에서는 이러한 공격을 예방하는 방법과 두 가지의 차이점에 대해 설명하겠습니다.

패스워드 스프레이란 무엇인가?

password spray 패스워드 스프레이는 범죄자가 다양한 유효 사용자 이름에 대해 무작위로 자주 사용하는 잘못된 패스워드를 시도하는 무차별 공격의 한 형태입니다. 이는 공격자가 합법적인 정보를 가지고 있지 않다는 것을 의미합니다.

대신, 그들은 평균 사용자가 많이 사용하는 일반적이고 기억하기 쉬운 몇 가지 패스워드를 유효한 사용자 이름에 분산시킵니다. 이러한 약한 패스워드에는 password, 123456, 123abc, 111111 등이 포함됩니다.

그들은 가장 끝내 계정이 침해될 때까지 다양한 일반 패스워드로 이 절차를 반복합니다.

자격 증명 사용이란 무엇인가?

credential stuffing 패스워드 스프레이와는 달리, 자격 증명 사용에서는 공격자가 사용자 계정의 로그인 자격 증명에 접근합니다. 이는 일반적으로 온라인 유출을 통해 발생합니다; 아마도 당신이 계정을 가진 웹사이트의 데이터베이스가 침해된 경우입니다.

단일 계정의 패스워드로 나쁜 행위자는 동일한 사용자가 보유한 다른 온라인 계정에 접근하려고 시도합니다. 패스워드가 통하지 않으면 해커는 동일한 패스워드의 다양한 변형을 시도합니다.

예를 들어, 해커는 사용자의 페이스북 사용자 이름, 이메일 및 패스워드에 접근할 수 있습니다. 그런 다음 그 패스워드를 사용하여 그 사람의 트위터나 지메일 계정에 로그인해 보려고 합니다. 이것이 작동하지 않으면, 그들은 대신 패스워드의 변형을 사용합니다.

패스워드 스프레이와 자격 증명 사용의 차이는 무엇인가?

1. 공격의 목표

이 두 가지 유형의 공격의 주요 목표는 사용자의 계정에 불법적으로 접근하는 것입니다. 그러나 자격 증명 사용의 목표는 하나의 계정의 유출된 사용자 자격 증명을 사용하여 동일한 사용자가 보유한 여러 계정에 접근하는 것입니다.

반면, 패스워드 스프레이는 나쁜 행위자가 다양한 유효 사용자 이름에 스프레이할 일반적인 패스워드 목록을 필요로 합니다.

2. 요건

자격 증명 사용 공격의 요건은 작동할 온라인 유출된 자격 증명 데이터베이스입니다. 이들은 일반적으로 온라인 유출이나 조직의 데이터베이스를 해킹하여 얻습니다.

반면 패스워드 스프레이는 유출된 데이터가 필요하지 않습니다. 일반적으로 이메일 주소와 일반적으로 사용되는 간단한 패스워드로 구성된 유효한 사용자 이름의 무작위 목록만 있으면 됩니다.

3. 작동 방식

자격 증명 사용은 수동으로 수행될 수 있지만 해커들은 봇넷을 사용합니다. 그들은 사용할 수 있는 데이터를 봇에게 제공하여 다른 계정에 접근하기 위한 다양한 변형을 시작하게 합니다.

이러한 형태의 공격이 효과가 있는 이유는 대부분의 인터넷 사용자가 서로 다른 계정에 대해 고유한 패스워드를 유지하지 않기 때문입니다. 대신 그들은 동일한 패스워드를 반복해서 사용하거나 그 변형을 사용합니다.

공격자들은 패스워드 스프레이를 위해서도 봇넷을 사용합니다. 봇은 유효한 사용자 이름으로 작업하며 일반적으로 사용되는 패스워드에 맞춰 그것들을 매칭하여 계정에 대한 유효한 자격 증명을 얻을 때까지 진행합니다.

이런 형태의 공격은 때때로 성공적입니다. 왜냐하면 평균적인 인터넷 사용자는 패스워드가 필요한 수많은 계정을 보유하고 있기 때문입니다. 따라서 대부분의 사람들은 이러한 약하고 이른바 기억하기 쉬운 패스워드를 사용하는 것을 선호합니다. 이는 해커들이 그들의 계정에 접근하는 것을 쉽게 만듭니다.

자격 증명 사용과 패스워드 스프레이를 예방하려면 어떻게 해야 하나요?

다음은 조직과 개인이 이러한 무차별 공격을 예방하기 위해 할 수 있는 몇 가지 방법입니다:

고유한 패스워드 사용하기 – 흔히 사용되는 패스워드를 사용하는 것이 유혹적일 수 있지만, 이는 보통 나쁘게 끝납니다. 항상 다양한 계정에 대해 강력하고 고유한 패스워드를 사용하세요. 모든 것을 기억하는 것이 걱정된다면, 신뢰할 수 있는 패스워드 관리자를 사용할 수 있습니다.
흔히 사용되는 패스워드 거부하기 – 온라인 포털을 가진 조직으로서, 약하고 흔히 사용되는 패스워드를 거부하는 패스워드 생성 정책을 유지해야 합니다. 이를 통해 패스워드 스프레이 공격을 실현되기 전에 빠르게 감지할 수 있습니다.
다단계 인증 사용하기(MFA) – 포털과 계정의 보안을 강화하기 위해 패스워드의 중요성을 줄여야 합니다. 이를 위한 효과적인 방법 중 하나는 이중 인증(2FA) 또는 다단계 인증(Multi-Factor Authentication)을 구현하는 것입니다. 이 경우 사용자들은 패스워드 외에도 추가 정보를 제공하거나 자신의 장치에 접근하거나 생체 인식 확인을 받아야 합니다.
데이터베이스 유출 점검하기 – 때때로 일부 조직은 특히 이미 알려진 유출된 자격 증명을 가진 데이터베이스와 공유하는 데이터베이스를 점검합니다. 이를 통해 침해된 계정을 신속하게 인식하고 조치를 취할 수 있습니다.
로그인 시도 제한하기 – 자격 증명 사용과 패스워드 스프레이를 예방하는 또 다른 효과적인 방법은 한 번에 로그인 시도를 제한하는 것입니다. 또한 CAPTCHA 및 기타 실시간 감지 도구를 로그인 프로세스에 도입하여 봇을 제한할 수 있습니다.

이번 자격 증명 사용 vs 패스워드 스프레이 가이드를 끝마쳤습니다. 그 속에 있는 정보를 통해 이제 이러한 공격 형태와 이를 예방하는 방법에 대해 알아야 할 모든 것을 갖추게 되었습니다.

자격 증명을 보호하기 위해 도움이 되는 오프라인 패스워드 관리자 목록이 필요하다면, 최고의 선택에 대한 자세한 가이드를 확인해 보세요.

이러한 무차별 공격에 대한 귀하의 경험을 아래 댓글로 공유해 주세요.