Lex
2013-03-05 22:09:55 UTC
查看了由不同SIEM（Splunk，HP Logger試用版和AlienVault平台的SIEM）生成的日誌後，我注意到，由於某些原因，很多用戶會在用戶名字段（在OS域登錄，或在Web應用程序中。我猜想是那些不看鍵盤就無法打字的人，並且試圖這樣做，快速地完成操作，最終在錯誤的字段中輸入了密碼。這意味著該密碼將以純文本形式發送到網絡中的所有位置，並最終在日誌中記錄一個事件，該事件表明以下內容：
用戶P @ $$ w0rd不存在[...] 或
帳戶無法登錄：P @ $$ w0rd [...] （其中P @ $$ w0rd是實際用戶的密碼）
找出密碼屬於誰變得很明顯：通常是上一個或下一個（不成功）事件同一日誌文件將告訴您一個由同一用戶觸發的事件。
任何其他分析師，只要查看日誌，都可以獲得他人的憑據，而到期所有者甚至不知道該憑據；最壞的情況是網絡竊聽或實際的日誌文件洩露。
我正在尋找一般指導以幫助防止這種情況。我認為簡單地屏蔽用戶名是不可行的，即使這樣做，這也可能會消除很多日誌分析，因為它們無法告訴誰做了什麼。
注意： b >已經有一個類似問題的帖子，但我正在設法解決它。如果我不小心在用戶名字段（Windows登錄）中輸入密碼，會有什麼風險？
接受的答案： b>我希望我可以從列表中選擇一些答案。不幸的是，我只能在論壇中堅持一個，但實際上，我可以將它們結合在一起。非常感謝您的所有回答；我看到沒有單一的解決方案。因為我同意添加“事物”會增加複雜性，從而增加安全漏洞的可能性，所以我必須同意大多數選民的意見，即@AJHenderson作為第一種方法具有最優雅，最簡單的答案。絕對在服務器上甚至在客戶端進行SSL和簡單的代碼驗證。當我尋求緩解的不是惡意用戶，而是分散注意力的用戶時，這樣做會很好。一旦到位，如果合適的話，我們可以開始考慮將實施擴展到不良用戶。再次非常感謝大家的投入。
散列用戶名和密碼並發送。當然，必須在HTTPS上創建帳戶。無需進一步登錄。
@SparKot ॐ-問題在於，如果您對用戶名進行哈希處理而沒有常見的錯誤，則很難識別用戶。使用用戶名的常用鹽，就可以對日誌進行彩虹表攻擊，以查找任何輸入錯誤的密碼。
Rainbow表是暹羅分析師，帶有應用程序日誌，其他人計數超過5000+ eps聽起來非常不便。有一些類似Q1的siem解決方案會警告定義為檢查用戶名類型的正則表達式。
@Lex我很困惑有人以這種方式從網絡中竊取密碼的風險是什麼？它意味著多少威脅？如果我有東西，那它就超過了網上所有的安全性。
如果用戶名存在於數據庫中，則僅記錄日誌？
-1
@Lex，但這將是另一種風險，因為這些風險全部以明文形式保存在計算機上，我指的是被竊聽的風險。在這種情況下，攻擊者必須非常幸運。根據系統的響應（如果要求一次令牌/密碼）或以某種方式進行預身份驗證，則實際受到損害的機會要少得多。
@asadz我同意你的100％
@CodesInChaos是一個有趣的想法，我確信可以為此實現正則表達式過濾器。
我們這些不看鍵盤就能打字的人也可能犯該錯誤。通常，我們實際上也不需要看屏幕，如果稍微分散注意力，這種錯誤很容易犯。這是Windows XP Home Edition和更高版本界面的優點，它是用戶可以從中選擇的菜單。當然，只有少數用戶沒有用。
過去，這種情況一直在我身上發生，原因如下：通常，當我解鎖計算機時，它會記住我是最後一個用戶，只需要輸入密碼即可。在恢復顯示器電源之前，我經常使用[ctrl]-[alt]-[del]並輸入密碼。但是，如果我最後一次登錄是通過遠程桌面，則用戶名將被清除。在這種情況下，按照我的常規例行程序將密碼輸入為用戶名。
在密碼輸入框以外的其他地方輸入密碼可能是導緻密碼更改的主要原因。我應該更經常犯該錯誤！
我有兩台機器和一個鍵盤。使用無邊界鼠標有時，只要我想將光標聚焦，我有時都會輸入密碼。並非總是需要登錄的框
我突然覺得需要更改各種密碼...而且，當我過去這樣做時，通常發生的事情是我輸入的速度非常快，而無意間錯過了移至下一個字段的“ tab”鍵。換句話說...帳戶無法登錄：MikeSP @ $$ W0RD
我注意到一個非常煩人的錯誤，在該錯誤中，我將在網頁中切換到密碼字段，並在頁面加載完成之前開始輸入內容，然後，當頁面完成操作（輸入密碼的過程中）時，它將使焦點從密碼字段並返回默認值（通常是用戶名字段）。我希望每個人都可以確保他們的產品/網站不這樣做。
如果可能，您是否可以添加一個新字段，例如重新輸入密碼並添加客戶端驗證？
@Lex“ ...出於某些原因...”只是推測原因：頁面加載後，頁面上是否存在將焦點放在用戶名框中的javascript？我的銀行網站執行了此操作，由於增加了負載，我發現自己在用戶名字段中輸入了密碼。 （例如，我輸入我的用戶名並在輸入時（或在輸入前）輸入我的密碼，頁面將完全加載，將焦點設置為用戶名，而密碼將進入用戶名字段）。
@Sufyan-是的，這也是有效的，但會在可用性方面受到打擊，因為這需要用戶方面的額外工作，這通常會使它的接收效果不佳。並不是說在某些情況下這不是正確的選擇，但它不是受歡迎的選擇。
->用戶P @ $$ w0rd不會“退出”，這顯然是一個錯字。
[很抱歉，如果有人已經發表了此評論]這種事情現在發生的次數很多，因為很多人使用諸如KeePass之類的東西來自動鍵入其憑據。將焦點放在錯誤的字段上很容易，然後將自動鍵入的名稱，選項卡，密碼和輸入序列填充到錯誤的字段中。
恐怕@ray023無法告訴您。但是，這也會發生在人們也在Windows登錄上犯錯誤的情況下。
最近，當用戶在URL本身（查詢參數）中而不是在HTTP標頭中放置“ Authorization Basic ”時，我遇到了類似的事情……對不起他，但他的請求進入了“ NCSA-logs”文件，我們不能簡單地阻止記錄日誌，因為我們在記錄日誌消息之前不會對其進行解析。