Атака подбором (brute-force)

Почему это всё ещё работает в 2026 году

Атаки подбором успешны против серверов, которые разрешают неограниченное количество попыток входа без задержек или блокировок, и против учётных записей, до сих пор использующих стандартные, слабые или повторно используемые пароли. Автоматизированные инструменты могут пробовать тысячи комбинаций в минуту против незащищённого сервиса входа.

Многоуровневая защита, которая реально работает

Ни одна отдельная мера не решает эту проблему полностью. Аутентификация по ключу убирает пароли как цель атаки, rate limiting через fail2ban замедляет и блокирует повторных нарушителей, а отключение входа под root убирает самую часто атакуемую учётную запись.

Как такие атаки останавливают на практике, показано здесь: руководство по усилению защиты SSH.

Три варианта и что каждый оставляет в логах

Памятка OWASP по аутентификации различает три автоматизированные атаки. Классический перебор (brute force) пробует много паролей к одной учётной записи. Распыление паролей (password spraying) пробует один слабый пароль на многих записях. Подстановка учётных данных (credential stuffing) пробует пары логин и пароль, утёкшие из других взломов. На сервере они выглядят по-разному, и это важно, потому что fail2ban считает неудачи по исходному адресу.

Обычный перебор с одного адреса это простой случай: длинная серия неудач с одним IP. Распыление и подстановка, особенно с множества адресов, могут оставаться ниже порога по IP и всё равно работать. Рекомендации по обнаружению для техники brute force в MITRE ATT&CK указывают на самый важный признак: всплеск неудач, за которым следует успешный вход с того же адреса или под тем же пользователем. Именно эту строку и надо искать. Покажут её две команды, ничего не меняющие в системе:

sudo lastb -i -n 20
last -i -n 20

Согласно странице руководства lastb, она читает /var/log/btmp, журнал неудачных входов, а last показывает успешные. Если адрес встречается сначала в первом списке, а затем во втором, считайте учётную запись скомпрометированной и действуйте по руководству по реагированию на взлом.

Ограничения, встроенные в OpenSSH и в стандарты

Первый слой ограничений не требует дополнительных программ. Страница руководства sshd_config(5) описывает несколько значений по умолчанию. MaxAuthTries равен 6 попыткам на соединение, LoginGraceTime равен 120 секундам, а MaxStartups равен 10:30:100: когда открыто 10 неаутентифицированных соединений, новые начинают случайным образом отклоняться. Начиная с OpenSSH 9.8, выпущенного 2024-07-01, по умолчанию включён и параметр PerSourcePenalties: он временно отклоняет адреса (и другие из той же сети), которые не проходят аутентификацию, держат соединения без входа или роняют демон. Выведите то, что реально использует ваш сервер, потому что в старых пакетах новейшего параметра нет:

sudo sshd -T | grep -Ei 'maxauthtries|logingracetime|maxstartups|persourcepenalties'

Эти лимиты замедляют атакующего, но не убирают пароли из числа целей, поэтому настоящим решением остаётся вход по ключам. По той же причине NIST SP 800-63B-4 (раздел 3.2.2) требует ограничивать число подряд идущих неудачных попыток для одного аутентификатора не более чем 100 и допускает более низкие лимиты. OWASP предупреждает, что блокировки сами могут стать способом отказа в обслуживании, поэтому там, где вход нельзя защитить ключами, лучше нарастающие задержки, чем постоянные блокировки.

Связанные термины: fail2ban, Rate limiting, Аутентификация по ключу, SSH, MaxAuthTries, TOTP (одноразовый пароль по времени).