通过安全事件审计检测密码喷洒攻击
技术背景
密码喷洒（Password Spraying）是攻击者、渗透测试人员和红队常用的自动化密码猜测技术。其独特之处在于：攻击者会对所有用户账户尝试同一个密码（如"Fall2017"、“Winter2018"等常见密码），而非针对单个用户反复尝试。这种分布式攻击方式能有效规避账户锁定策略——因为传统锁定机制设计初衷是防御针对单一账户的暴力破解。
检测关键点
通过分析Active Directory的安全事件日志（Event ID 4625），可发现以下特征：
- 短时间内大量用户出现登录失败记录
- 失败尝试使用相同的密码或密码变体
- 登录请求来源IP相对集中
- 失败事件时间分布呈现自动化工具特征
防御建议
- 实施智能账户锁定策略（如基于IP的异常检测）
- 强制使用多因素认证（MFA）
- 监控并分析4776（NTLM认证）和4768（Kerberos TGT请求）事件
- 建立密码策略禁止使用季节性/规律性密码