Bloqueo, retardo y protección contra relleno de credenciales

MITRE ATT&CK agrupa bajo la técnica T1110 los intentos de adivinar credenciales, y distingue variantes que dejan huellas distintas en un registro. La fuerza bruta clásica prueba muchas contraseñas contra una cuenta. La aspersión de contraseñas (T1110.003) prueba una o dos contraseñas muy comunes contra muchas cuentas. El relleno de credenciales (T1110.004) usa parejas de usuario y contraseña filtradas en otros servicios: cada cuenta recibe uno o dos intentos, cada uno con una contraseña distinta, y acierta cuando la persona repitió la contraseña.

La diferencia importa porque cada control ve un patrón y no los otros. Un límite por cuenta frena la fuerza bruta; uno por dirección frena a quien no reparte el tráfico; ninguno de los dos ve una oleada repartida en muchas direcciones que toca cada cuenta una sola vez.

Repartir los intentos entre varias direcciones es lo que mantiene cada una por debajo del límite. Para el informe hay que medir la oleada: cuándo empieza, cuándo acaba y desde cuántos orígenes llegó. Los ingresos de antes y de después, desde direcciones habituales, no forman parte de ella.

Abre registro-ingresos.txt y separa la oleada de madrugada del tráfico normal.

En un relleno de credenciales casi todo falla; lo que importa es el acierto. Un acierto dentro de la oleada, seguido de cambios hechos desde la misma dirección minutos después, es una cuenta tomada. Un acierto horas más tarde, desde una dirección que el cliente usa siempre, no lo es.

Cruza registro-ingresos.txt con cambios-cuenta.txt.

Con los límites delante, comprueba qué vio cada control esa noche: cuántos intentos recibió como máximo cada cuenta y cuántos envió cada dirección en diez minutos.

El bloqueo permanente parece seguro, pero quien conoce los usuarios puede bloquear a cientos de clientes a propósito: eso es lo que cuentan los tickets del 20 de septiembre. NIST pone un techo de 100 intentos fallidos seguidos por cuenta y deja a cada organización bajarlo, y acompaña el límite de medidas que no dejan a nadie fuera, como retardos que crecen con cada fallo. Contra el relleno, lo que más protege es lo que hace inútil una contraseña robada: un segundo factor y rechazar contraseñas que ya aparecen en filtraciones.