Tấn công brute force có vẻ như là một phương pháp tấn công "cổ điển" trong an ninh mạng, nhưng đừng vội đánh giá thấp sức mạnh và mối nguy hiểm của nó. Tại CyberJutsu, chúng tôi thường bắt gặp nhiều tổ chức vẫn bị khai thác thông qua phương thức này - từ các doanh nghiệp nhỏ đến những tập đoàn lớn. Mặc dù đơn giản, tấn công brute force vẫn là một trong những phương pháp hiệu quả nhất để xâm nhập hệ thống, đặc biệt khi được kết hợp với các kỹ thuật hiện đại để vượt qua cơ chế phòng thủ.

Bài viết này sẽ đi sâu vào bản chất của tấn công brute force, phân tích các biến thể phổ biến, và đặc biệt là cung cấp những phương pháp phòng thủ hiệu quả nhất dựa trên kinh nghiệm thực chiến của các chuyên gia bảo mật.

Các loại tấn công Brute Force phổ biến

Vũ khí hiện đại: Kỹ thuật vượt qua phòng thủ Brute Force

Những trường hợp tấn công Brute Force nghiêm trọng từ thực tế

Cách phòng chống tấn công Brute Force hiệu quả

Sai lầm phổ biến trong việc triển khai bảo vệ

Kiểm tra khả năng phòng thủ của bạn

Tấn công brute force là phương pháp tấn công dựa trên thử-sai (trial-and-error), trong đó kẻ tấn công thử nghiệm có hệ thống tất cả các tổ hợp mật khẩu, thông tin đăng nhập hoặc khóa mã hóa có thể để có được quyền truy cập trái phép. Điểm đặc trưng của tấn công brute force là sự kiên trì và tính toàn diện - nó sẽ thử mọi khả năng cho đến khi tìm ra đáp án đúng.

Hãy hình dung bạn quên mật khẩu cho một chiếc ổ khóa số. Kẻ tấn công sẽ thử lần lượt: 0000, 0001, 0002... cho đến khi tìm ra mã đúng. Tuy nhiên, trong thế giới số, quá trình này được tự động hóa và thực hiện với tốc độ chóng mặt. Tấn công brute force trong không gian mạng có thể thử hàng nghìn, thậm chí hàng triệu tổ hợp mỗi giây.

Điều khiến tấn công brute force nguy hiểm không phải vì tính phức tạp của nó - mà là do:

Tính không thể tránh khỏi: Về lý thuyết, mọi mật khẩu đều có thể bị crack nếu kẻ tấn công có đủ thời gian và tài nguyên

Đòn bẩy kỹ thuật: Công cụ tự động hóa như THC-Hydra, John the Ripper, Hashcat làm tăng tốc độ tấn công đáng kể

Khai thác điểm yếu con người: Nhiều người dùng vẫn sử dụng mật khẩu đơn giản, dễ đoán như "123456" hoặc "password"

Một nghiên cứu đáng chú ý từ Rapid7 cho thấy trong hơn 25 triệu nỗ lực tấn công được phân tích, 

77% các mật khẩu được thử chỉ dài từ 1 đến 7 ký tự

. Điều này phản ánh thực tế rằng kẻ tấn công thường nhắm vào "quả trái thấp" - những mật khẩu ngắn và đơn giản.

Khi tìm hiểu sâu hơn về tấn công brute force, chúng ta nhận ra rằng đây không phải là một phương pháp đơn lẻ mà bao gồm nhiều biến thể khác nhau, mỗi loại đều có chiến lược và mục tiêu riêng.

1. Tấn công Brute Force Đơn giản (Simple Brute Force)

Đây là hình thức nguyên thủy nhất, trong đó kẻ tấn công thử mọi tổ hợp ký tự có thể có. Tưởng tượng việc thử tất cả các số từ 0000 đến 9999 cho một mã PIN 4 chữ số. Mặc dù đảm bảo tìm ra mật khẩu cuối cùng, phương pháp này cực kỳ kém hiệu quả đối với mật khẩu dài. Trong thực tế, các cuộc tấn công brute force đơn thuần hiếm khi được sử dụng cho mật khẩu dài hơn 8 ký tự.

2. Tấn công Từ điển (Dictionary Attacks)

Thay vì thử tất cả các tổ hợp có thể, tấn công từ điển sử dụng danh sách các từ, cụm từ phổ biến và mật khẩu đã rò rỉ trước đó. Vì con người thường chọn những từ có ý nghĩa làm mật khẩu, phương pháp này thường hiệu quả hơn nhiều so với brute force thuần túy.

Theo dữ liệu từ Malwarebytes Labs, chỉ có 6% các nỗ lực tấn công nhắm vào mật khẩu dài hơn 10 ký tự. Điều này cho thấy kẻ tấn công ưu tiên tốc độ hơn là sự toàn diện, và tấn công từ điển là một chiến lược tối ưu hơn về mặt thời gian.

3. Tấn công Brute Force Lai (Hybrid Attacks)

Phương pháp này kết hợp các từ từ điển với biến thể như thêm số, ký tự đặc biệt, hoặc thay thế chữ cái (ví dụ: "a" thành "@"). Ví dụ từ một từ cơ bản như "password", kẻ tấn công có thể tạo ra các biến thể như "P@ssw0rd", "Password123", v.v.

Một nghiên cứu từ Rapid7 cho thấy nhiều người dùng thường tạo mật khẩu theo mẫu theo mùa cộng với năm hiện tại (như "Winter21", "Spring2022"). Trong một cuộc kiểm thử xâm nhập, họ đã thành công xâm nhập 10 tổ chức liên tiếp chỉ bằng cách thử các mật khẩu theo mẫu này.

4. Tấn công Brute Force Ngược (Reverse Brute Force)

Ngược với các phương pháp truyền thống, tấn công brute force ngược bắt đầu với một mật khẩu đã biết (thường là một mật khẩu phổ biến như "Password123") và thử nó với nhiều tên người dùng khác nhau. Đây là chiến lược hiệu quả khi nhắm vào các tổ chức lớn với nhiều nhân viên, dựa trên giả định rằng ít nhất một người sẽ sử dụng mật khẩu yếu.

Khi các vụ rò rỉ dữ liệu xảy ra, thông tin đăng nhập của người dùng thường bị lộ. Credential stuffing không phải là brute force thuần túy, mà là việc sử dụng các cặp tên người dùng/mật khẩu đã bị rò rỉ để thử trên các trang web khác, dựa vào thực tế rằng nhiều người dùng tái sử dụng mật khẩu trên nhiều dịch vụ.

Cloudflare giải thích rằng mặc dù OWASP phân loại credential stuffing là một dạng tấn công brute force, nhưng nó thực sự khác biệt về chất: thay vì đoán mật khẩu từ đầu, kẻ tấn công sử dụng thông tin đăng nhập đã bị đánh cắp từ các vụ rò rỉ trước đó.

Mối nguy hiểm lớn nhất của credential stuffing là nó "đi đường vòng" - ngay cả khi bạn có một mật khẩu mạnh và phức tạp, nếu bạn sử dụng lại nó trên nhiều dịch vụ và một trong số đó bị rò rỉ, tất cả các tài khoản của bạn đều có nguy cơ bị xâm phạm.

Theo thời gian, các biện pháp bảo vệ chống lại tấn công brute force đã được phát triển, nhưng kẻ tấn công cũng không ngừng cải tiến chiến thuật của họ. Dưới đây là những kỹ thuật hiện đại mà kẻ tấn công sử dụng để vượt qua các hàng rào bảo vệ:

Vượt qua giới hạn tốc độ (Rate Limiting)

Rate limiting là biện pháp phòng thủ phổ biến nhất, giới hạn số lần đăng nhập sai trong một khoảng thời gian. Tuy nhiên, kẻ tấn công đã phát triển nhiều kỹ thuật để vượt qua nó:

: Thêm hoặc sửa đổi các header như X-Forwarded-For để làm cho mỗi yêu cầu xuất hiện như từ một IP khác nhau

Thay đổi cách viết hoa/thường URL

: Nếu server không chuẩn hóa URL, gửi yêu cầu đến 

 có thể được xem là hai endpoint khác nhau

: Tấn công có thể thêm các tham số như 

 để tạo ra các URL duy nhất không được nhận dạng là lặp lại

: Gửi nhiều tham số trùng tên với giá trị khác nhau trong một request

Một kỹ thuật tinh vi được mô tả trên Medium là "Route Alteration" - thêm các hậu tố đường dẫn như 

, mà server có thể bình thường hóa sau khi kiểm tra giới hạn tốc độ.

Tấn công phân tán và luân chuyển IP

Thay vì tấn công từ một IP duy nhất, kẻ tấn công hiện đại sử dụng botnets gồm nhiều máy tính bị xâm nhập:

: Sử dụng IP dân cư (từ các thiết bị IoT hoặc PC người dùng bị xâm nhập) để làm cho lưu lượng trông như từ người dùng thông thường

: Sử dụng danh sách lớn các proxy và luân chuyển qua chúng, đảm bảo mỗi yêu cầu đến từ một IP khác nhau

: Thay đổi điểm thoát để làm cho lưu lượng xuất hiện từ các vị trí địa lý khác nhau

F5 Labs chỉ ra rằng các công cụ tấn công credential stuffing hiện đại như Sentry MBA cho phép kẻ tấn công cắm vào danh sách proxy lớn và luân chuyển qua chúng. Điều này khiến danh sách đen IP của người bảo vệ phải rất lớn và liên tục cập nhật.

Giả mạo trình duyệt và hành vi người dùng

Bot đơn giản có thể bị phát hiện do thiếu header trình duyệt điển hình hoặc hành vi. Kẻ tấn công hiện đại đã phát triển các kỹ thuật để:

: Gửi User-Agent và các header giống với Chrome/Firefox, thêm Referer và các header khác để mỗi yêu cầu trông như đến từ một phiên trình duyệt thực

: Tải toàn bộ động cơ trình duyệt headless (như Puppeteer hoặc Selenium) để thực thi JavaScript và xuất hiện hoàn toàn bình thường đối với script chống bot

: Sử dụng dịch vụ giải CAPTCHA tự động và plugin OCR có thể tự động giải các CAPTCHA phổ biến

Theo F5 Labs, kẻ tấn công thậm chí còn mô phỏng hành vi người dùng để đánh lừa hệ thống phân tích hành vi. Một công cụ mã nguồn mở có tên BezMouse tạo ra đường di chuyển con trỏ chuột thực tế bằng cách sử dụng đường cong Bézier. Bot sử dụng các công cụ như vậy có thể đánh lừa hệ thống tìm kiếm chuyển động chuột tuyến tính hoàn hảo hoặc tức thời như một chỉ báo bot.

Chiến lược tấn công hiện đại thường kết hợp tất cả các phương pháp trên:

Botnet phân tán (mỗi lần thử là một IP mới)

Chạy trình duyệt headless gửi header trình duyệt thực

Giả mạo đầu vào chuột/bàn phím của con người

Bằng cách kết hợp tất cả những điều này, cuộc tấn công 

hòa lẫn vào lưu lượng truy cập bình thường

 nhiều nhất có thể. Đây là lý do tại sao một cách tiếp cận phát hiện đa yếu tố là cần thiết cho người bảo vệ.

Để hiểu rõ tác động thực sự của tấn công brute force, hãy xem xét một số vụ việc đáng chú ý:

Năm 2015, Dunkin' Donuts đã trải qua một cuộc tấn công brute force nghiêm trọng. Kẻ tấn công đã sử dụng brute force để truy cập vào 19.715 tài khoản người dùng chỉ trong năm ngày, đánh cắp tiền thông qua ứng dụng di động và trang web.

Điều đáng chú ý là công ty đã phải đối mặt với một vụ kiện trị giá 650.000 USD không phải chỉ vì vụ vi phạm, mà vì họ không thông báo kịp thời cho người dùng. Đây là một lời nhắc nhở rằng trách nhiệm bảo mật không chỉ dừng lại ở việc ngăn chặn các cuộc tấn công mà còn liên quan đến cách bạn phản ứng khi chúng xảy ra.

Trong một vụ việc quy mô lớn hơn vào năm 2016, Alibaba đã bị tấn công dẫn đến việc 20,6 triệu tài khoản người dùng bị xâm phạm. Kẻ tấn công đã sử dụng kết hợp brute force và credential stuffing, khai thác mật khẩu yếu và tái sử dụng trên nhiều tài khoản.

Vụ việc này nêu bật rủi ro của việc tái sử dụng mật khẩu ở quy mô lớn - khi người dùng sử dụng cùng một mật khẩu trên nhiều dịch vụ, một vụ rò rỉ duy nhất có thể gây ra hiệu ứng domino, ảnh hưởng đến nhiều tài khoản khác nhau.

Tấn công các đầu cuối RDP trong đại dịch COVID-19

Theo số liệu của Microsoft và Malwarebytes, các cuộc tấn công brute force nhắm vào 

 trong giai đoạn 2020-2021. Đây là hậu quả trực tiếp của việc nhiều công ty mở RDP để hỗ trợ làm việc từ xa trong đại dịch.

Kẻ tấn công nhận ra rằng một server RDP, nếu có thể truy cập, là "cửa trước" trực tiếp vào mạng nội bộ nếu mật khẩu yếu. Xu hướng này dẫn đến sự gia tăng đáng kể trong các nỗ lực brute force trên hệ thống Windows.

Trong một bài đăng trên blog của Vaadata, các chuyên gia kiểm thử an ninh đã chia sẻ một trường hợp đáng chú ý khi kiểm tra một ứng dụng web. Ứng dụng này tạo ra một mật khẩu tạm thời 6 chữ số cho việc khôi phục tài khoản và gửi qua email cho người dùng.

Về lý thuyết, một mã 6 chữ số có một triệu tổ hợp có thể có (000000-999999). Tuy nhiên, vì không có giới hạn tốc độ hoặc khóa tài khoản, các kiểm thử viên đã viết một script để thử tất cả các khả năng. Họ đã thành công kiểm tra mọi mã cho đến khi tìm được mã đúng, qua đó có quyền truy cập vào tài khoản.

Điều này cho thấy rằng ngay cả một không gian khóa tương đối lớn như mã PIN 6 chữ số cũng trở nên vô dụng nếu không có giới hạn số lần thử.

Với hiểu biết về các kỹ thuật tấn công hiện đại, chúng ta có thể xây dựng chiến lược phòng thủ nhiều lớp để bảo vệ hiệu quả chống lại tấn công brute force:

Hãy bắt đầu với nền tảng vững chắc – mật khẩu tốt:

: Dữ liệu từ Malwarebytes cho thấy 77% các nỗ lực tấn công tập trung vào mật khẩu dài 1-7 ký tự, và chỉ 6% nhắm vào mật khẩu dài hơn 10 ký tự

Kết hợp các loại ký tự khác nhau

: Chữ hoa, chữ thường, số và ký tự đặc biệt

Sử dụng cụm từ thay vì từ đơn

: Các cụm từ ngẫu nhiên dài hơn nhưng dễ nhớ hơn các mật khẩu phức tạp ngắn

: Từ nghiên cứu của Rapid7, tránh các mẫu như "Mùa+Năm" (ví dụ: "Winter2023")

Điều thú vị là, nghiên cứu từ Malwarebytes chỉ ra rằng 

không có mã tấn công nào trong 25+ triệu mẫu có chứa dấu cách

, hàm ý rằng cụm từ mật khẩu với dấu cách gần như nằm ngoài tầm ngắm của kẻ tấn công.

2. Giới hạn tốc độ (Rate Limiting)

Rate limiting là hàng phòng thủ đầu tiên, nhưng cần được triển khai cẩn thận:

Giới hạn số lần đăng nhập thất bại

: Thông thường là 3-5 lần trước khi áp dụng hạn chế

: Theo dõi bằng nhiều hơn một mã định danh (ví dụ: IP + tài khoản + có thể là vân tay thiết bị)

: Chuẩn hóa yêu cầu (chữ hoa/thường, mã hóa, v.v.) trước khi áp dụng giới hạn tốc độ

: Thay vì khóa hoàn toàn, hãy tăng thời gian chờ giữa các lần thử

: Theo dõi các mẫu tấn công rộng hơn, không chỉ giới hạn ở từng tài khoản

Các giải pháp rate limiting tiên tiến sẽ sử dụng sự kết hợp của nhiều kỹ thuật, như một chuyên gia từ F5 Labs giải thích: "Đơn giản dựa vào một tín hiệu (như IP hoặc User-Agent) là không đủ, vì kẻ tấn công sẽ tìm cách vượt qua điều đó."

MFA là một trong những biện pháp bảo vệ mạnh mẽ nhất chống lại brute force:

: Sử dụng một thứ gì đó người dùng biết (mật khẩu) và một thứ họ có (ứng dụng xác thực, thiết bị di động)

Áp dụng giới hạn tốc độ cho MFA

: Nhớ rằng cả 2FA cũng có thể bị brute force nếu không được bảo vệ đúng cách

Vô hiệu hóa mã sau một số lần thử sai

: Ví dụ, 3-5 lần nhập sai 2FA nên vô hiệu hóa mã hiện tại

Tag: Brute-force