रीस्टफुल डेटा सेवाओं पर ब्रूट फोर्स हमलों को कैसे रोकें

Question

मैं हमारी वेबसाइट पर एक आरएसटीएफ एपीआई लागू करने जा रहा हूं (डब्ल्यूसीएफ डेटा सेवाओं के आधार पर, लेकिन शायद इससे कोई फर्क नहीं पड़ता)।

इस API के माध्यम से पेश किए गए सभी डेटा मेरे सर्वर के कुछ उपयोगकर्ताओं से संबंधित हैं, इसलिए मुझे यह सुनिश्चित करना होगा कि केवल उन उपयोगकर्ताओं को मेरे संसाधनों तक पहुंच हो। इस कारण से, अनुरोध के हिस्से के रूप में सभी अनुरोधों को लॉगिन/पासवर्ड संयोजन के साथ किया जाना है।

इस परिदृश्य में ब्रूट फोर्स हमलों को रोकने के लिए अनुशंसित दृष्टिकोण क्या है?

मैं गलत प्रमाण-पत्रों के कारण विफल अनुरोधों से इनकार कर रहा था और असफल अनुरोधों की एक निश्चित सीमा पार होने के बाद उसी आईपी से उत्पन्न अनुरोधों को अनदेखा करने के बारे में सोच रहा था। क्या यह मानक दृष्टिकोण है, या क्या मुझे कुछ याद आ रही है?

Answer 1

आईपी-आधारित अवरोधन स्वयं एनएटी गेटवे की संख्या के कारण जोखिम भरा है।

यदि आप बहुत से अनुरोध तुरंत करते हैं तो आप क्लाइंट को धीमा कर सकते हैं (टैर पिट); यानी जानबूझकर जवाब देने से पहले कुछ सेकंड की देरी डालें। मनुष्य शिकायत करने की संभावना नहीं है, लेकिन आप बॉट धीमा कर दिया है।

Answer 2

मैं उसी वेबसाइट का उपयोग करता हूं जैसा मैं एक वेबसाइट के साथ करता हूं। किसी निश्चित विंडो में असफल लॉगिन प्रयासों की संख्या का ट्रैक रखें - कुछ उचित अवधि के भीतर 3 (या 5 या 15) की अनुमति दें, 15 मिनट कहें। यदि थ्रेसहोल्ड पार हो गया है तो खाते को लॉक कर दें और लॉक आउट होने के समय को चिह्नित करें। आप इस घटना को भी लॉग कर सकते हैं। एक और उपयुक्त अवधि बीत जाने के बाद, एक घंटा कहें, खाता अनलॉक करें (अगले लॉगिन प्रयास पर)। सफल लॉगिन काउंटर और अंतिम लॉकआउट समय को रीसेट करते हैं। ध्यान दें कि आप वास्तव में लॉक आउट खाते पर लॉगिन का प्रयास नहीं करते हैं, आप बस लॉगिन विफल कर देते हैं।

यह किसी भी ब्रूट फोर्स अटैक को प्रभावी ढंग से रेट-सीमित कर देगा, जो एक उचित पासवर्ड के खिलाफ हमले को सफल करने की संभावना नहीं है। उपरोक्त मेरी संख्याओं का उपयोग करके एक हमलावर केवल 1.25hrs प्रति 3 (या 5 या 15) बार कोशिश करने में सक्षम होगा। अपने लॉग का उपयोग करके आप यह पता लगा सकते हैं कि उसी दिन एक ही खाते से एकाधिक लॉकआउट की तलाश करके ऐसा हमला संभवतः हो रहा था। चूंकि आपकी सेवा का उपयोग कार्यक्रमों द्वारा किया जाना है, एक बार सेवा तक पहुंचने वाले कार्यक्रम में इसके क्रेडेंशियल्स ठीक से सेट हो जाते हैं, फिर भी जब तक हमले में कोई हमला नहीं होता है तब तक यह लॉगिन विफलता का अनुभव नहीं करेगा। यह एक और संकेत होगा कि एक हमला हो सकता है। एक बार जब आप जानते हैं कि हमला प्रक्रिया में है, तो आप अपमानजनक आईपी तक पहुंच सीमित करने के लिए और यदि उचित हो, तो अधिकारियों को शामिल करने के लिए और उपाय बंद कर सकते हैं।