So verhindern Sie Brute-Force-Angriffe: Die besten Strategien zur Verhinderung von Brute-Force-Angriffen für WordPress und SSH

Brute-Force-Angriffe gehören zu den ältesten Tricks der Hacker, sind aber nach wie vor äußerst effektiv. Stellen Sie sich jemanden vor, der unermüdlich versucht, die Kombination zu Ihrem Safe zu erraten, aber nicht nur eine Person, sondern ein leistungsstarker Algorithmus, der jede Sekunde Millionen von Kombinationen testet.

In diesem Artikel gehe ich detailliert auf die Mechanismen von Brute-Force-Angriffen, ihre verschiedenen Arten und vor allem darauf ein, wie man Brute-Force-Angriffe effektiv verhindern kann. Wir behandeln wichtige Strategien, plattformspezifische Abwehrmaßnahmen und fortschrittliche Tools, die Ihnen helfen, Ihre Systeme zu schützen und Cyberkriminelle auszutricksen.

 

 

Was ist ein Brute-Force-Angriff?

Einer der häufigsten Angriffe, denen ein Webentwickler ausgesetzt sein kann, ist ein Brute-Force-Angriff. Dabei nutzen Angreifer Algorithmen, die jede Kombination aus Buchstaben, Zahlen und Symbolen nach dem Trial-and-Error-Verfahren ausprobieren, bis sie die richtige Kombination gefunden haben.

Das Schwierige an dieser Art von Angriff ist ihre Einfachheit und schiere Beharrlichkeit; Es gibt keinen cleveren Trick oder eine spezielle Lücke, die leicht entdeckt und blockiert werden kann, da Passwörter ein entscheidender Bestandteil jedes Sicherheitssystems sind.

Brute-Force-Angriffe sind nicht wählerisch – sie zielen auf alles ab, was ihnen in die Finger kommt, von Privatkonten bis hin zu großen Unternehmenssystemen. Die Auswirkungen dieser Angriffe hängen jedoch häufig von der jeweiligen Plattform ab. Ein kompromittierter WordPress-Administrator-Login könnte zur Verunstaltung von Websites oder zum Diebstahl von Kundendaten führen, während ein SSH-Brute-Force-Angriff die Schleusen zur gesamten Serverinfrastruktur eines Unternehmens öffnen könnte.

Diese Angriffe schädigen auch die Reputation und verursachen kostspielige Ausfallzeiten. Unternehmen, die auf Online-Abläufe angewiesen sind, wie E-Commerce- oder SaaS-Anbieter, verlieren bei Verstößen häufig sowohl Umsatz als auch Kundenvertrauen. 60 % der Kleinunternehmen Schließen Sie innerhalb von sechs Monaten nach einem größeren Cyberangriff, was Ihnen zeigt, wie verheerend diese Vorfälle sein können.

Aber bevor wir darüber sprechen, wie man Brute-Force-Angriffe verhindert, müssen Sie wissen, wie sie funktionieren und welche verschiedenen Arten von Brute-Force-Methoden Angreifer verwenden.

 

 

Verschiedene Arten von Brute-Force-Angriffen

Es gibt verschiedene Arten von Brute-Force-Angriffen.

• Wörterbuchangriffe: Zielen Sie auf leicht zu erratende Passwörter ab, indem Sie wiederholt eine Liste häufig verwendeter Passwörter wie „123456“ oder „Passwort“ ausprobieren.
• Credential Stuffing: Hacker nutzen durchgesickerte Benutzername-Passwort-Kombinationen aus früheren Sicherheitsverletzungen, um Zugriff auf mehrere Konten zu erhalten.
• Umgekehrte Brute-Force-Angriffe: Beginnen Sie mit einem bekannten Passwort (z. B. „123456“ oder „Willkommen“) und vergleichen Sie es systematisch mit unzähligen Benutzernamen, um eine Übereinstimmung zu finden, ähnlich wie beim Angeln mit einem Köder.
• Rainbow Table-Angriffe: Nutzen Sie vorberechnete Tabellen, die Hashes Passwörtern zuordnen und so ein schnelleres Knacken gehashter Passwörter ermöglichen, ohne jeden Hash vor Ort berechnen zu müssen.
• Passwort-Sprühen: Anstatt ein einzelnes Konto mit mehreren Passwort-Erraten zu bombardieren, werden einige gängige Passwörter für viele Benutzernamen getestet, um Schwachstellen auszunutzen, ohne Sperren auszulösen.
• Online-Brute-Force-Angriffe: Zielen Sie auf Live-Systeme wie Websites und Apps. Sie interagieren mit Servern, können jedoch möglicherweise einer Drosselung oder Geschwindigkeitsbegrenzung ausgesetzt sein, was sie langsamer, aber dennoch gefährlich gegenüber schwachen Anmeldeformularen macht.
• Offline-Brute-Force-Angriffe: Wird anhand einer gestohlenen Datei mit verschlüsselten Passwörtern durchgeführt und ermöglicht es Hackern, Entschlüsselungsschlüssel mit hoher Geschwindigkeit auf ihren Computern zu testen, ohne von Firewalls oder Überwachungssystemen entdeckt zu werden.

 

Warum sind diese Angriffe so häufig? Ein großer Teil des Problems sind wir. Das zeigen Studien 65 % der Menschen Passwörter für mehrere Konten wiederverwenden. Es ist, als würde man einem Dieb einen Hauptschlüssel geben – sobald er ein Passwort hat, kann er potenziell alles entsperren. Und es hilft nicht, dass Passwörter wie „qwerty“ Jahr für Jahr immer noch ganz oben auf der Liste der Favoriten stehen.

Um zu verdeutlichen, wie häufig diese Angriffe vorkommen, hier eine Statistik: 22,6 % aller Anmeldeversuche auf E-Commerce-Websites im Jahr 2022 waren Brute-Force- oder Credential-Stuffing-Angriffe. Das ist fast jeder vierte Versuch! Aufgrund dieser unerbittlichen Angriffe waren Unternehmen mit betrügerischen Käufen, Diebstahl von Kundendaten und großen PR-Albträumen konfrontiert.

Darüber hinaus stöbern Hacker die Seiten der Zielwebsite aus und optimieren ihre Brute-Force-Tools so, dass sie den spezifischen Parameteranforderungen der Website entsprechen. Anmeldeseiten sind die offensichtlichen Ziele, aber auch CMS-Administratorportale sind beliebte Hotspots für Angreifer. Dazu gehören:

• WordPress: Gemeinsame Einstiegspunkte wie wp-admin und wp-login.php.
• Magento: Anfällige Pfade wie /index.php und Admin-Panels.
• Joomla!: Die Administratorseite ist häufig ein Volltreffer.
• vBulletin: Admin-Dashboards wie Admin CP geraten oft ins Fadenkreuz.

 

Die gute Nachricht? Die Risiken zu verstehen ist die halbe Miete. Ganz gleich, ob Sie eine WordPress-Site, einen SSH-Server oder eine andere Plattform sichern: Das Wissen, wo Ihre Schwachstellen liegen, ist der erste Schritt, um Brute-Force-Angriffe von vornherein zu verhindern.

 

Best Practices zur Verhinderung von Brute-Force-Angriffen

Das Stoppen von Brute-Force-Angriffen erfordert eine Mischung aus gesundem Menschenverstand und intelligenten Strategien. Stellen Sie sich das so vor, als würden Sie jede Tür und jedes Fenster in Ihrem Haus verschließen – und für alle Fälle ein Sicherheitssystem einbauen. Diese Best Practices funktionieren auf den meisten Plattformen und bieten Ihnen eine solide Grundlage für die Sicherheit Ihrer Systeme. Sie sind wichtige Schritte zur Verhinderung von Brute-Force-Angriffen.

 

Verwenden Sie starke, eindeutige Passwörter

Schwache oder wiederverwendete Passwörter sind eine offene Einladung für Brute-Force-Angriffe. Wählen Sie Passwörter, die mindestens 12 Zeichen lang sind, eine Mischung aus Buchstaben, Zahlen und Symbolen enthalten und alles Vorhersehbare vermeiden. A Studie gefunden dass „123456“ und „Passwort“ auch im Jahr 2022 noch zu den häufigsten Passwörtern gehörten.

 

Implementieren Sie die Multi-Faktor-Authentifizierung (MFA)

Mit MFA benötigt ein Hacker, selbst wenn er Ihr Passwort errät, einen zusätzlichen Verifizierungsschritt, z. B. einen Einmalcode, der an Ihr Telefon gesendet wird. Laut MicrosoftMFA blockiert mehr als 99,2 % der Angriffe zur Kontokompromittierung. Schauen Sie sich unseren Leitfaden an So aktivieren Sie die Zwei-Faktor-Authentifizierung unter Windows 10.

 

Kontosperrungen aktivieren

Begrenzen Sie fehlgeschlagene Anmeldeversuche, bevor Sie das Konto vorübergehend sperren. Diese einfache Funktion stoppt Brute-Force-Angriffe im Keim.

 

Ratenbegrenzung einrichten

Beschränken Sie, wie oft innerhalb eines Zeitraums Anmeldeversuche durchgeführt werden können. Wenn Sie beispielsweise nur fünf Versuche pro Minute zulassen, kann dies die Wahrscheinlichkeit von Brute-Force-Angriffen verringern.

 

Überwachen Sie ungewöhnliche Aktivitäten und reagieren Sie darauf

Nutzen Sie Tools wie Intrusion-Detection-Systeme (IDS), um Brute-Force-Versuche frühzeitig zu erkennen.

Die beste Verteidigung ist mehrschichtig. Die Kombination dieser Taktiken und das Wissen, wie man Brute-Force-Angriffe stoppt, macht es für Angreifer viel schwieriger, erfolgreich zu sein. Als Nächstes untersuchen wir, wie wir diese Prinzipien auf bestimmte Plattformen wie WordPress anwenden können, wo Brute-Force-Angriffe besonders häufig vorkommen.

 

Verhinderung von Brute-Force-Angriffen auf WordPress

WordPress-Sites sind Hacker-Magnete. Da Millionen von Websites auf der Plattform laufen, wissen Angreifer, dass die Chancen gut stehen, eine mit schwacher Sicherheit zu finden. Zu wissen, wie man Brute-Force-Angriffe auf WordPress verhindert, kann den entscheidenden Unterschied machen – und es ist einfacher, als Sie denken.

 

Ändern Sie die Standard-Anmelde-URL

Hacker zielen auf die Standard-Anmeldeseite (/wp-admin oder /wp-login.php) ab. Der Wechsel zu einer benutzerdefinierten URL ist wie das Verschieben der Eingangstür – für Angreifer viel schwieriger zu finden.

 

Installieren Sie Sicherheits-Plugins

Plugins wie Wordfence und Sucuri bieten leistungsstarke Tools zur Verhinderung von Brute-Force-Angriffen, einschließlich CAPTCHAs, IP-Blockierung und Echtzeitüberwachung.

 

Deaktivieren Sie XML-RPC

XML-RPC ist ein Gateway-Hacker-Exploit für Anmeldeversuche. Die Deaktivierung ist ein Muss, um die Anfälligkeit für Brute-Force-Angriffe zu verringern, denen WordPress-Sites häufig ausgesetzt sind.

 

Fügen Sie CAPTCHA zu Anmeldeseiten hinzu

CAPTCHA stellt sicher, dass sich nur Menschen anmelden können, und schaltet automatisierte Brute-Force-Tools aus.

 

Härten Sie wp-config.php ab

Beschränken Sie den Zugriff auf wp-config.php, den Entwurf Ihrer Website, indem Sie .htaccess oder Serverregeln anpassen.

 

Regelmäßig aktualisieren

Veraltete Plugins und Themes sind offene Türen für Angreifer. Regelmäßige Updates beheben bekannte Schwachstellen und schützen so vor den Risiken von Brute-Force-Angriffen auf WordPress. Dies ist der Schlüssel zur Abwehr eines Brute-Force-Angriffs, für den WordPress-Websites so anfällig sind.

Mit diesen Schritten wird Ihre WordPress-Site deutlich sicherer. Als Nächstes befassen wir uns mit der Sicherung von SSH-Servern, einem weiteren häufigen Ziel für Brute-Force-Angriffe.

 

Absicherung gegen SSH-Brute-Forcing

SSH-Server sind wie die digitalen Schlüssel zu Ihrem Königreich, was sie zu erstklassigen Zielen für Hacker macht. Zu wissen, wie man Brute-Force-Angriffe auf SSH verhindert, ist nicht nur klug, sondern auch entscheidend für den Schutz sensibler Systeme.

Verwenden Sie die SSH-Schlüsselauthentifizierung

Passwortbasierte Anmeldungen sind riskant. Wechsel zur SSH-Schlüsselauthentifizierung fügt eine zusätzliche Sicherheitsebene hinzu, da Angreifer Zugriff auf Ihren privaten Schlüssel und nicht nur auf ein erratenes Passwort benötigen. Dies reduziert die Erfolgsquote von SSH-Brute-Force-Angriffen drastisch.

 

Deaktivieren Sie die Root-Anmeldung

Der Root-Benutzer ist oft das erste Ziel bei SSH-Brute-Force. Deaktivieren Sie die direkte Root-Anmeldung und erstellen Sie ein separates Benutzerkonto mit eingeschränkten Berechtigungen. Hacker können nichts brutal erzwingen, was sie nicht angreifen können.

 

Richten Sie UFW und Fail2Ban ein

Tools wie UFW und Fail2Ban überwachen fehlgeschlagene Anmeldeversuche und blockieren IPs, die verdächtiges Verhalten zeigen. Dies ist eine der wirksamsten Abwehrmaßnahmen, um Brute-Force-Angriffe auf SSH-Server zu stoppen. Hier ist unser ausführlicher Leitfaden dazu wie man UFW und Fail2Ban installiert, aktiviert und verwaltet.

 

Ändern Sie den Standardport

Standardmäßig verwendet SSH Port 22, und Hacker wissen das. SSH auf einen nicht standardmäßigen Port verschieben fügt eine einfache, aber wirkungsvolle Schicht der Dunkelheit hinzu.

 

Nutzen Sie IP-Whitelisting

Beschränken Sie den SSH-Zugriff auf bestimmte IP-Adressen. Dadurch wird unerwünschter Datenverkehr vollständig blockiert und verhindert, dass Brute-Force-Tools überhaupt zum Einsatz kommen.

Mit diesen Schritten ist Ihr SSH-Server weitaus weniger anfällig für Angriffe. Nachdem wir nun gängige Methoden zur Verhinderung von Brute-Force-Angriffen behandelt haben, wollen wir über die Bekämpfung spezifischer Tools sprechen, die diese Angreifer verwenden.

 

Häufig verwendete Brute-Force-Angriffswerkzeuge und wie man sie bekämpft

Während die oben genannten Vorgehensweisen erheblich zur Verhinderung von Brute-Force-Angriffen beitragen können, handelt es sich meist um allgemeine Informationen zur Verhinderung von Brute-Force-Angriffen. Tatsache ist jedoch, dass viele Angreifer einige bestimmte Tools verwenden und es sehr wichtig ist, zu wissen, wie man sie bekämpft.

 

Tools zum Knacken von Wi-Fi-Passwörtern

Aircrack-ng: Ein vielseitiges Tool zum Knacken von WLAN-Passwörtern durch Wörterbuchangriffe auf WEP, WPA und WPA2-PSK, verfügbar für mehrere Plattformen.

• Schadensbegrenzung: Nutzen Sie die WPA3-Verschlüsselung, erstellen Sie lange und komplexe Passwörter, aktivieren Sie die MAC-Adressfilterung und stellen Sie Wireless Intrusion Detection Systems (WIDS) bereit.

 

Allgemeine Tools zum Knacken von Passwörtern

Johannes der Ripper: Identifiziert schwache Passwörter und knackt sie mithilfe von Brute-Force- oder Wörterbuchangriffen und unterstützt mehr als 15 Plattformen, einschließlich Windows und Unix.

• Schadensbegrenzung: Setzen Sie strenge Passwortrichtlinien durch (mindestens 12 Zeichen, hohe Komplexität), verwenden Sie gesalzene Hashes und führen Sie regelmäßige Passwortprüfungen und -rotationen durch.

Regenbogenriss: Nutzt vorberechnete Rainbow-Tabellen, um das Knacken von Passwörtern zu beschleunigen, und unterstützt sowohl Windows als auch Linux.

• Schadensbegrenzung: Verwenden Sie gesalzene Hashes, um Rainbow-Tabellen unwirksam zu machen, und wenden Sie Hashing-Algorithmen wie bcrypt, Argon2 oder script an.

L0phtCrack: Knackt Windows-Passwörter mithilfe von Wörterbuch, Brute-Force, Hybridangriffen und Rainbow Tables und unterstützt gleichzeitig erweiterte Funktionen wie Hash-Extraktion und Netzwerküberwachung.

• Schadensbegrenzung: Sperren Sie Konten nach fehlgeschlagenen Versuchen, verwenden Sie Passphrasen für eine stärkere Entropie und erzwingen Sie die Multifaktor-Authentifizierung (MFA).

Ophcrack: Konzentriert sich auf das Knacken von Windows-Passwörtern durch LM-Hashes unter Verwendung integrierter Rainbow-Tabellen, was oft in wenigen Minuten erledigt ist.

• Schadensbegrenzung: Führen Sie ein Upgrade auf Systeme durch, die nicht auf LM-Hashes angewiesen sind (z. B. Windows 10+), lange, komplexe Passwörter verwenden und SMBv1 deaktivieren.

 

Erweiterte und vielseitige Passwort-Tools

Hashcat: Ein GPU-beschleunigtes Tool, das eine Vielzahl von Hashes und Angriffen wie Brute Force, Wörterbuch und Hybrid unterstützt.

• Schadensbegrenzung: Setzen Sie Richtlinien für starke Passwörter durch, speichern Sie Hash-Dateien sicher und verschlüsseln Sie sensible Daten mit starken Schlüsseln.

Dave Grohl: Exklusives Mac OS X-Tool, das verteilte Brute-Force- und Wörterbuchangriffe unterstützt.

• Schadensbegrenzung: Überwachen Sie Mac OS

 

Netzwerkauthentifizierungs- und Protokolltools

Ncrack: Knackt Netzwerkauthentifizierungsprotokolle wie RDP, SSH und FTP auf verschiedenen Plattformen.

• Schadensbegrenzung: Beschränken Sie den Zugriff auf netzwerkseitige Dienste über Firewalls, erzwingen Sie eine IP-basierte Blockierung nach mehreren fehlgeschlagenen Anmeldeversuchen und verwenden Sie nicht standardmäßige Ports für kritische Dienste.

THC-Hydra: Führt wörterbuchbasierte Brute-Force-Angriffe auf über 30 Protokolle durch, darunter Telnet, FTP und HTTP(S).

• Schadensbegrenzung: Erzwingen Sie CAPTCHA oder andere Mechanismen, um Wiederholungsversuche einzuschränken, nutzen Sie verschlüsselte Protokolle (z. B. FTPS, HTTPS) und erfordern Sie MFA für sicheren Zugriff

 

Spezialisierte Tools für Web, Subdomains und CMS

Gobuster: Ideal für Brute-Force-Angriffe auf Subdomains und Verzeichnisse bei Web-Penetrationstests.

• Schadensbegrenzung: Verwenden Sie Web Application Firewalls (WAFs), beschränken Sie den Zugriff auf vertrauliche Verzeichnisse und verbergen oder verschleiern Sie Standarddateistrukturen.

Forschung: Erkennt während Sicherheitstests versteckte Webpfade und Verzeichnisse.

• Schadensbegrenzung: Verwenden Sie .htaccess- oder Serverregeln, um den Zugriff einzuschränken, nicht verwendete Verzeichnisse zu entfernen und vertrauliche Webpfade zu sichern

Rülpsen-Suite: Eine vollständige Web-Sicherheitstestsuite mit Brute-Force- und Schwachstellen-Scanfunktionen.

• Schadensbegrenzung: Patchen Sie Webanwendungen regelmäßig, führen Sie Penetrationstests durch und überwachen Sie ungewöhnliche Brute-Force-Aktivitäten.

CMSeek: Der Schwerpunkt liegt auf der Entdeckung und Ausnutzung von CMS-Schwachstellen während des Tests.

• Schadensbegrenzung: Halten Sie CMS-Plattformen auf dem neuesten Stand, sichern Sie Konfigurationen und begrenzen Sie Brute-Force-Versuche mit schützenden Plugins.

 

Token, soziale Medien und verschiedene Tools

JWT Cracker: Spezialisiert auf das Knacken von JSON-Web-Tokens zu Testzwecken.

• Schadensbegrenzung: Verwenden Sie lange, sichere Schlüssel für die JWT-Signatur, erzwingen Sie kurze Token-Ablaufzeiten und lehnen Sie schwache oder nicht signierte Algorithmen ab.

SocialBox: Wird für Brute-Force-Tests von Social-Media-Konten verwendet.

• Schadensbegrenzung: Aktivieren Sie die Kontosperrung nach fehlgeschlagenen Versuchen, erzwingen Sie die Zwei-Faktor-Authentifizierung und informieren Sie Benutzer über Phishing-Bewusstsein.

Prädiktor: Ein Wörterbuch-Builder zum Erstellen benutzerdefinierter Wortlisten für Brute-Force-Angriffe.

• Schadensbegrenzung: Überwachen Sie auf Anmeldedatenlecks, vermeiden Sie die Verwendung schwacher Standardkennwörter und erzwingen Sie kontinuierliche Sicherheitsprüfungen.

Patator: Ein vielseitiges Brute-Force-Tool, das verschiedene Protokolle und Methoden unterstützt.

• Schadensbegrenzung: Implementieren Sie Ratenbegrenzung, benutzerdefinierte Fehlermeldungen und starke Kontosperrmechanismen, um Angreifer auszubremsen.

Nettracker: Automatisiert Penetrationstestaufgaben, einschließlich Brute-Force- und andere Bewertungen.

• Schadensbegrenzung: Überwachen Sie regelmäßig Netzwerkprotokolle, isolieren Sie Testanmeldeinformationen und stellen Sie sicher, dass Penetrationstools sicher verwaltet werden.

 

Abschließende Gedanken und erweiterte Maßnahmen zur Verhinderung von Brute-Force-Angriffen

Fortschrittliche Tools wie Software zur Verhaltensanalyse, Honeypots und IP-Reputationsblocker können Bedrohungen erkennen und stoppen, bevor sie Einzug halten. Diese proaktiven Maßnahmen sorgen zusammen mit den wichtigsten Maßnahmen wie der Multi-Faktor-Authentifizierung und sicheren Passwörtern für eine grundsolide Verteidigung.

Zu lernen, wie man Brute-Force-Angriffe verhindert, erfordert langfristiges Denken. Durch die Kombination intelligenter Strategien mit Tools zur Verhinderung von Brute-Force-Angriffen können Sie Ihre Systeme selbst vor den hartnäckigsten Angreifern schützen. Bleiben Sie wachsam, bleiben Sie anpassungsfähig und betrachten Sie Cybersicherheit als Investition in Ihre Zukunft.