Wie erkennt man einen Passwort-Spray-Angriff?

Angreifer im Passwortsprayein gemeinsames Passwort(z. B. Yaz2026!) probiert es auf Hunderten von Konten aus. Da die Anzahl der Versuche pro Benutzer gering ist, wird keine Kontosperrung ausgelöst.

Symptome

• Anders als dieselbe Quell-IP TargetUserName mit 4625
• Dutzende erfolglose Sitzungen in kurzer Zeit, keine erfolgreichen Sitzungen
• Normalerweise über VPN oder OWA

SIEM-Regellogik

Gleiche Quell-IP im 5-Minuten-Fenster → 10+ verschiedene Benutzernamen + fehlgeschlagene Authentifizierung = Alarm mit hoher Priorität. bei OxiSec password_spray Das Korrelationsmuster macht aus dieser Kette einen Vorfall.

Intervention

Quell-IP blockieren, betroffene Konten auf erzwungenes Zurücksetzen des Passworts setzen, MFA aktivieren.