密码喷洒

本文约需 2 分钟阅读

密码喷洒攻击是一种针对大量账户、每次少量尝试常用密码 (如「123456」「Password1」) 的攻击手法。通过抑制对单个账户的尝试次数来规避账户锁定，使检测变得困难是其特点。该手法在针对 Microsoft 365 和 Microsoft Entra ID (旧称 Azure AD) 的攻击中频繁被观测到， 2024 年多家大型科技企业确认了由国家支持的攻击团伙发起的密码喷洒。

现场使用案例

例如，分析认证日志 (登录日志) 时，可能会发现这样一种模式：针对大量账户记录了使用同一密码的登录尝试，而对每个账户的尝试仅有 1 次，且未发生账户锁定。当出现这种「用 1 个密码广而浅地尝试」的痕迹时，就是应当怀疑密码喷洒攻击的典型线索。

攻击模式图

与暴力破解攻击的区别

暴力破解攻击是针对 1 个账户尝试大量密码，而密码喷洒是用 1 个密码尝试大量账户。暴力破解可通过账户锁定轻松检测和防御，但密码喷洒对每个账户的尝试仅有 1〜2 次，不会达到锁定阈值。它与撞库攻击也不同，其特点在于使用的不是泄露的密码列表，而是统计上常见的通用密码。

防御措施

最有效的防御是使用由 passtsuku.com 之类的工具生成的随机长密码，排除出现在通用密码列表中的简单密码。在组织层面，全公司部署多因素认证 (MFA)是决定性的对策。 Microsoft Entra ID 的智能锁定，以及对认证日志异常模式的检测 (短时间内大量账户出现同一密码失败) 也很有效。也请一并查看密码喷洒攻击详解。