V2.2.1 General Authenticator Security

Requirement:

Verify that anti-automation controls are effective at mitigating breached credential testing, brute force, and account lockout attacks. Such controls include blocking the most common breached passwords, soft lockouts, rate limiting, CAPTCHA, ever increasing delays between attempts, IP address restrictions, or risk-based restrictions such as location, first login on a device, recent attempts to unlock the account, or similar. Verify that no more than 100 failed attempts per hour is possible on a single account.

Explanation:

Продукт не реализует достаточных мер для предотвращения нескольких неудачных попыток аутентификации в течение короткого промежутка времени, что делает его более уязвимым для атак методом грубой силы.

Remediation:

Проверка эффективности анти-автоматизированных средств управления является важным шагом в обеспечении безопасности вашей системы. Вот несколько шагов, которые вы можете выполнить, чтобы проверить их эффективность:

• Проверьте политику паролей системы: попробуйте использовать часто взломанные пароли и проверьте, не блокирует ли их система. Это поможет убедиться, что система блокирует наиболее распространенные взломанные пароли.
• Протестируйте программную блокировку: попробуйте несколько раз войти в систему с неправильными учетными данными и посмотрите, реализует ли система программную блокировку после определенного количества попыток. Это поможет предотвратить атаки грубой силы.
• Ограничение тестовой скорости: попробуйте несколько раз войти в учетную запись и посмотрите, ограничивает ли система количество попыток, разрешенных в течение определенного периода времени. Это поможет предотвратить атаки грубой силы.
• Проверка CAPTCHA: попробуйте войти в учетную запись с неправильными учетными данными и посмотрите, запрашивает ли система запрос CAPTCHA. Это поможет предотвратить автоматические атаки.
• Проверьте увеличение задержки: попробуйте несколько раз войти в систему с неправильными учетными данными и посмотрите, реализует ли система увеличение задержки между попытками. Это поможет предотвратить атаки грубой силы.
• Проверьте ограничения IP-адресов: попробуйте войти с разных IP-адресов и посмотрите, блокирует ли система вход с определенных IP-адресов. Это поможет предотвратить автоматические атаки.
• Протестируйте ограничения, основанные на риске: попробуйте войти в систему из разных мест, с разных устройств или через разное время, прошедшее с момента последней попытки входа. Проверьте, реализует ли система ограничения на основе рисков, основанные на этих факторах. Это поможет предотвратить автоматические атаки.
• Проверка блокировки учетной записи: попробуйте несколько раз войти в систему с неправильными учетными данными и посмотрите, заблокирует ли система учетную запись после определенного количества попыток. Это поможет предотвратить атаки грубой силы.

Важно убедиться, что для одной учетной записи возможно не более 100 неудачных попыток в час, так как это поможет предотвратить атаки методом грубой силы.

Обратите внимание, что это всего лишь рекомендации, и вам может потребоваться внести коррективы в эти шаги в зависимости от специфики вашей системы.

Additional: