Password Spraying

Teil des Abschnitts Grundlagen der Sicherheit der Cybersecurity-Journey von Coddy. Lektion 22 von 43.

Ein Angreifer muss nicht Hunderte von Passwörtern für eine Person erraten. Er kann dieselben wenigen gängigen Passwörter bei vielen Konten ausprobieren und hoffen, dass jemand eines davon verwendet. Dies wird als Passwort-Spraying bezeichnet. Um dies zu untersuchen, lies zunächst die aktuellen Anmeldeprotokolle:

seclab logs --since 2026-10-22

Du solltest Folgendes sehen:

2026-10-22 08:00:10 mail LOGIN_FAILED user=lee ip=203.0.113.71 wrong password
2026-10-22 08:00:20 mail LOGIN_FAILED user=ava ip=203.0.113.72 wrong password

Das Beispiel zeigt Versuche bei zwei Konten von verschiedenen Adressen aus. Eine Adresse zu sperren würde den anderen weiterhin Versuche ermöglichen. Wenn MFA für alle vorgeschrieben ist, reicht es nicht mehr aus, nur das Passwort zu kennen, um sich anzumelden:

seclab policy set mfa everyone

Du solltest Folgendes sehen:

Policy updated: mfa is everyone.

Bei Lumen blockiert diese Regel auch Anmeldungen, die nur ein Passwort verwenden, für Konten, bei denen MFA noch nicht eingerichtet ist. Sie meldet jedoch niemanden ab, der bereits Zugriff erlangt hat. Wenn die Protokolle zeigen, dass Avas gestohlenes Passwort verwendet wurde, setze es zurück, um das Passwort zu ersetzen und diese Sitzungen zu beenden:

seclab reset ava

Du solltest Folgendes sehen:

Password reset for ava. Every session they had is signed out.

Aufgabe

Einfach

Ticket von Sam, IT-Leiter

Durch eine Wiederherstellung wurden ein altes Passwort und eine bereits geöffnete Sitzung zurückgebracht. Passwortversuche kommen nun von wechselnden Adressen. Finde anhand der letzten Anmeldungen das Konto, das vom Angreifer verwendet wurde. Ersetze sein Passwort, beende die Sitzung von außerhalb und verlange MFA für alle. Lass das Konto des Mitarbeiters aktiv.

Probier es selbst

Terminal