【入門編】ブルートフォース攻撃とパスワードスプレー攻撃の検知と防御 – オフェンシブセキュリティ & リバースエンジニアリング防御ガイド

泥棒は「ガチャガチャ」とドアノブを回す：ブルートフォースとパスワードスプレーの正体

こんにちは！セキュリティの世界へようこそ。今日は、システムへの侵入を狙う攻撃者が最初に試す「一番泥臭くて、でも一番効果的」な攻撃手法についてお話しします。

専門用語を聞くと身構えてしまうかもしれませんが、難しく考える必要はありません。まずは、あなたの家の玄関をイメージしてみてください。

1. 泥棒の手口：ブルートフォースとパスワードスプレー

セキュリティの世界では、ログイン画面での攻撃を大きく2つのタイプに分けて考えます。

ブルートフォース（総当たり攻撃）： 一人の住人を狙い撃ちにして、「123456」「password」「誕生日」…と、ドアの鍵を片っ端から試していく手法です。
パスワードスプレー（パスワードの霧吹き）： 逆に、特定の「よくあるパスワード（例：Password123!）」一つだけを使い、家中のあらゆるドアノブを一度ずつガチャガチャと回して回る手法です。

攻撃者は、一度に大量の試行を行うとセキュリティシステムに捕まってしまうことを知っています。だからこそ、「短時間でたくさん試す」のではなく「時間をかけて、バレないように少しずつ」という、非常に嫌らしいやり方で攻めてくるのです。

2. 「ガチャガチャ」を防ぐための守りの鉄則

では、私たちはどうやって泥棒を防げばいいのでしょうか？ここからは、IT担当者や開発者の皆さんが今すぐ導入できる「防犯対策」を3つのステップで紹介します。

ステップ1：回数制限を設ける（レートリミット）

家で鍵をガチャガチャされたら、「何回も間違える人はしばらく立ち入り禁止！」と門前払いするのが基本ですよね。これをWebの世界では「レートリミット」と呼びます。

例えば、NginxというWebサーバーを使っているなら、設定ファイルにこんな一行を加えるだけで、「同じIPアドレスからは1秒に1回しかログイン試行を受け付けない」というルールが作れます。

# 1秒間に1回までのアクセスに制限する（レートリミットの設定例）
limit_req_zone $binary_remote_addr zone=login_limit:10m rate=1r/s;

server {
    location /login {
        # 制限を適用
        limit_req zone=login_limit burst=5;
    }
}

ステップ2：アカウントロックアウトと適切な通知

「3回間違えたら15分間ロックする」というポリシーは非常に有効です。ただし、やりすぎには注意！正当なユーザーまで締め出してしまう「サービス拒否（DoS）」状態にならないよう、ロック解除の手段（メール認証など）もセットで用意しておくのが優しさというものです。

ステップ3：最強の防波堤「MFA（多要素認証）」

結局のところ、どんなに長いパスワードでも流出のリスクはゼロになりません。そこで登場するのが、スマホのアプリなどで確認コードを入力する「MFA」です。

たとえ泥棒が正確な鍵（パスワード）を手に入れたとしても、「スマホの中にある秘密の合図」がなければ中には入れません。これは、玄関の鍵に加えて、家の中にもう一つ頑丈な鉄格子を置くようなものです。

3. 攻撃の予兆を見逃さない（ログ監視）

攻撃者は静かに忍び寄ってきます。ログファイルに大量の「ログイン失敗」の記録が残っていたら、それは間違いなく攻撃のサインです。

例えば、PHPでログイン処理を書く場合、単にエラーを返すだけでなく、「誰が、どのIPから、いつ失敗したか」を記録しておくことが重要です。

// ログイン失敗時のログ出力例
if (!$user_is_authenticated) {
    // ログにはIPアドレスとユーザー名を残す（※パスワード自体は絶対に記録しないこと！）
    error_log("ログイン失敗: IP=" . $_SERVER['REMOTE_ADDR'] . " ユーザー=" . $username);
    
    // ユーザーには曖昧なメッセージを返す（「ユーザー名またはパスワードが違います」）
    // 「ユーザーが存在しません」と返すと、攻撃者にユーザーの存在を教えてしまいます！
    echo "IDまたはパスワードが正しくありません。";
}

まとめ：セキュリティは「いたちごっこ」を楽しむ心で

いかがでしたか？攻撃の手口を知ることは、決して怖いことではありません。「どこが弱点になりそうか？」を想像できるようになれば、あなたはもう一人前のセキュリティ担当者です。

1. レートリミットでガチャガチャを封じる。
2. MFAで二重の壁を作る。
3. ログを監視して異変にいち早く気づく。

この3つを意識するだけで、あなたのシステムは格段に硬くなります。まずは小さな一歩から、一緒に守りを固めていきましょう！何か不明な点があれば、いつでも相談してくださいね。