Блокировка пользователей при попытках подбора пароля
В платформе реализован механизм обнаружения и противодействия атакам подбора пароля (brute force). При обнаружении большого количества неудачных попыток авторизации за определенный промежуток времени, система вводит задержку при следующей попытке входа для атакуемого пользователя.
Преимущества подхода
- задержка вместо полной блокировки позволяет легальному пользователю войти в систему, но существенно затрудняет действия злоумышленника;
- количество попыток, необходимое для взлома пароля, становится недостижимым.
Эскалация и сброс
- время задержки увеличивается логарифмически с ростом количества неудачных попыток;
- при отсутствии попыток авторизации в течение установленного времени счетчик сбрасывается, и задержки отключаются.
Дополнительным элементом защиты является возможность оповещения администратора посредством E-Mail или в чате Telegram.
В файле конфигурации в разделе preventing_brute_force задаются следующие параметры, управляющие поведением
временной блокировки:
monitoring_period- период отслеживания попыток авторизации (в секундах). Если за указанное время не было попыток входа, счетчик сбрасывается;max_attempts- максимальное количество попыток авторизации за период отслеживания. Превышение этого порога считается подозрительной активностью и приводит к временной блокировке пользователя с последующими задержками при авторизации;delay- базовая задержка авторизации (в секундах), применяемая при превышении допустимого количества попыток.