密码喷洒攻击：为何账户锁定策略形同虚设

密码喷洒（Password Spraying）是一种看似笨拙却极为有效的攻击手法——它不针对单个账户反复尝试密码，而是用少数几个常见密码去“横扫”大量账户。这种“低频率、广撒网”的策略，恰好绕过了多数企业依赖的按账户锁定机制。

为什么按账户锁定挡不住密码喷洒

传统防御逻辑认为，暴力破解会在短时间内对同一账户发起大量尝试，因此设置“连续失败5次即锁定”的规则。但密码喷洒反其道而行：对每个账户只尝试一两个最可能的密码（如季节+年份、公司名+123等），然后转向下一个账户。

这样一来，任何单个账户的失败次数都远低于锁定阈值。攻击者用极低的请求速率换取极大的账户覆盖面——只要有一个账户使用了弱密码，攻击就能得手。

凭据填充（Credential Stuffing） 常与密码喷洒并列讨论，但两者策略不同。凭据填充利用从数据泄露中获取的“用户名-密码”对，直接尝试登录，依赖用户在多个服务复用密码；密码喷洒则不需要泄露数据，仅用少量常见密码横扫大量账户，依赖用户选择弱密码。凭据填充的请求量可能很大，但成功率高、单账户尝试少；密码喷洒请求量小、覆盖面广，单账户尝试也少。两者在检测上都需要全局视角，但防御侧重不同：凭据填充需重点禁用已泄露密码，密码喷洒需重点检测横向失败分布。

密码喷洒留下的信号

虽然单账户层面看似“干净”，但密码喷洒在全局层面会留下可识别的痕迹：

• 横向分布异常：大量不同账户在短时间内出现少量登录失败，而非集中在少数账户上。
• 源IP集中：尝试往往来自少数IP或IP段，尤其是云主机或代理节点。
• 时间模式规律：攻击可能以固定间隔或特定时段运行，形成可检测的节奏。
• 成功后行为突变：一旦某个账户被攻破，攻击者可能立即进行邮箱访问、权限探测等后续动作。

这些信号说明，防御视角需要从“单账户锁定”转向“全局行为关联分析”。

IP信誉（IP Reputation） 是评估登录请求风险的重要维度。它基于IP的历史行为数据（如是否曾发起攻击、是否属于匿名代理、是否被列入黑名单）给出信誉评分。云主机IP、Tor出口节点、开放代理等常被攻击者用于密码喷洒，因其可批量获取且易于更换。企业可集成威胁情报源，对低信誉IP的登录尝试提高验证等级或直接阻断。但需注意，IP信誉并非绝对可靠：攻击者可能使用住宅代理或受损设备，这些IP信誉较高，需结合其他信号综合判断。

有效的防御组合

要真正拦住密码喷洒，需要多层策略叠加：

基于风险的登录检测：不只看失败次数，还要结合IP信誉、设备指纹、地理位置、登录时间等维度做综合评分。

密码策略与泄露密码库比对：强制密码复杂度并不能完全阻止弱密码，但禁用已知泄露密码、检测常见模式（如公司名+数字）能显著提高攻击成本。

多因素认证（MFA）：即使密码被猜中，MFA也能提供关键的第二道防线。对高权限账户应强制启用。

全局速率限制与异常告警：跨账户的登录尝试总量也应被监控，设置全局阈值比单账户阈值更能捕捉喷洒行为。

蜜罐账户：故意设置若干从不使用的“诱饵账户”，任何登录尝试都视为可疑，可提前暴露攻击者。

多因素认证（MFA） 并非单一技术，而是一类方法的统称，包括短信验证码、TOTP动态令牌、推送通知、硬件安全密钥（如FIDO2）等。不同MFA方式的安全性差异显著：短信验证码易受SIM交换攻击，推送通知可能被疲劳轰炸，而硬件密钥能有效抵抗钓鱼。对于防御密码喷洒，MFA的核心价值在于即使密码被猜中，攻击者仍缺少第二因素。但需注意，MFA并非万无一失，攻击者可能通过中间人钓鱼或MFA疲劳攻击绕过。因此，对高权限账户应优先部署抗钓鱼的MFA（如硬件密钥），并监控异常的MFA挑战。

结语

密码喷洒之所以危险，正是因为它利用了防御设计中的盲区——只盯单点，忽视全局。企业需要把账户锁定策略升级为行为分析驱动的检测体系，同时用MFA和密码卫生策略作为兜底。安全防御不是单一开关，而是一套需要持续调优的组合拳。