Hızlı cevap: Password spraying (parola püskürtme), tek bir yaygın parolayı (örneğin "Sifre2026") çok sayıda farklı kullanıcı hesabında denemeye dayanan bir saldırıdır. Klasik kaba kuvvetin tersine çalışır: bir hesaba çok parola değil, çok hesaba tek parola dener. Böylece hesap kilitlenmesinden kaçınır ve fark edilmeden geniş bir kullanıcı kitlesinde zayıf parola arar. Korunmanın temeli çok faktörlü doğrulama, güçlü parola politikası ve giriş anomalisi izlemedir.

Password spraying kaba kuvvetten nasıl farklı?

Klasik kaba kuvvet saldırısı tek bir hesaba binlerce parola dener. Bu, çoğu sistemde hesap kilitleme mekanizmasını tetikler ve hızlıca fark edilir. Password spraying bu sorunu tersine çevirir.

Saldırgan tek bir yaygın parolayı alır ve onu yüzlerce, binlerce farklı hesapta dener. Her hesapta yalnızca bir deneme yaptığı için kilitleme tetiklenmez. Mantık şudur: bir kurumda yüzlerce kullanıcı varsa, en az birkaçı mutlaka zayıf ve tahmin edilebilir bir parola kullanır.

Özellik Kaba kuvvet Password spraying Credential stuffing
Yaklaşım Bir hesaba çok parola Çok hesaba tek parola Sızmış parola-hesap çiftleri
Kilitleme riski Yüksek Düşük Düşük
Kaynak Parola listesi Yaygın parolalar Veri ihlali dökümleri

Neden bu kadar etkili?

Password spraying etkilidir çünkü insan davranışını hedefler. Bir kurumda mevsimsel ve tahmin edilebilir parolalar (şirket adı, yıl, "Sifre123") şaşırtıcı derecede yaygındır. Saldırganın tek ihtiyacı geçerli kullanıcı adları listesi ve birkaç yaygın parola tahminidir. Kullanıcı adları da çoğu zaman e-posta biçiminden ya da açık kaynaklardan kolayca elde edilir.

Bu saldırı özellikle dışa açık kimlik doğrulama uçlarında (webmail, VPN, tek oturum açma portalları) tehlikelidir, çünkü buralar internetten erişilebilir ve tek bir zayıf hesap kuruma açılan kapı olur.

Korunma

  1. Çok faktörlü doğrulamayı (MFA) tüm dışa açık kimlik doğrulama uçlarında zorunlu kılın, bu en etkili tek önlemdir.
  2. Yaygın ve tahmin edilebilir parolaları yasaklayın (parola engelleme listeleri kullanın).
  3. Hesap bazlı değil, kaynak ve zaman bazlı giriş anomalisi izleyin (kısa sürede çok hesaba tek deneme deseni).
  4. Dışa açık kimlik uçlarını mümkünse coğrafi ve IP temelli sınırlayın.
  5. Sızmış parola tespiti ile bilinen zayıf parolaları yakalayın.

KAOS ve DSET yaklaşımı

DSET, kurumların dışa açık kimlik doğrulama yüzeyini yetkili biçimde test eder ve password spraying dahil parola tabanlı saldırılara dayanıklılığı ölçer. Sahada en sık gördüğümüz sorun, dışa açık bir portalda çok faktörlü doğrulamanın kapalı olması ve mevsimsel parolaların yaygınlığıdır. Geliştirdiğimiz KAOS güvenlik motoru, bu saldırıyı kilitlenme yaratmadan ve kanıta dayalı biçimde değerlendirir. Amacımız korku değil, zayıf hesaba giden gerçek yolu ve kapatma önceliğini göstermektir.

Bağlantılı okumalar: sızan parolalar ve credential stuffing, parola, 2FA ve passkey güvenliği, modern parola politikası NIST, IAM kimlik ve erişim yönetimi, ITDR kimlik tehdidi tespiti, SIEM ve SOC.

Sık sorulan sorular

Password spraying ile credential stuffing aynı şey mi? Hayır. Password spraying, tahmin edilen yaygın parolaları çok sayıda hesapta dener. Credential stuffing ise bir veri ihlalinden sızmış gerçek parola-hesap çiftlerini dener. İkisi de hesap kilitlemeden kaçınır ama kaynak farklıdır: biri tahmin, diğeri sızmış veri. İkisine karşı da en etkili önlem çok faktörlü doğrulamadır.

Hesap kilitleme bu saldırıyı durdurur mu? Tek başına yeterli değildir. Password spraying tam olarak hesap kilitlemeden kaçınmak için tasarlanmıştır: her hesapta yalnızca bir deneme yapar, bu yüzden kilitleme eşiği tetiklenmez. Bu yüzden kilitleme yerine, kısa sürede çok hesaba tek deneme desenini yakalayan kaynak ve zaman bazlı izleme gerekir.

En etkili korunma nedir? Çok faktörlü doğrulama (MFA). Saldırgan bir hesabın parolasını doğru tahmin etse bile, ikinci faktör olmadan giriş yapamaz. Bu yüzden özellikle webmail, VPN ve tek oturum açma gibi dışa açık uçlarda MFA'yı zorunlu kılmak, password spraying'e karşı en güçlü savunmadır. Buna güçlü parola politikası ve anomali izleme eklenmelidir.

Kaynaklar

Dışa açık kimlik doğrulama yüzeyinizin parola saldırılarına dayanıklılığını test etmek için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.