暴力破解防御与 MFA 加固

密码喷洒的原理：
  对每个账号只试 1-3 个最常见的弱密码
  （Password1、Qwerty123、Winter2023…）
  → 单账号尝试次数极低，不触发锁定阈值
  → 但账号基数大，总能撞中几个

对比：
  暴力破解 → 撞"锁"，被次数策略拦截
  密码喷洒 → 撞"广"，需要检测"批量登录失败"模式

攻击者拿到历史泄露的"用户名+密码"库
  → 在目标站批量重放
  → 命中"密码复用"的用户

与喷洒的差异：
  · 用的不是弱密码，而是真实泄露口令
  · 命中率取决于目标站用户是否复用密码

对策：
  · 检测"同一密码批次多账号失败"模式
  · 与泄露库比对，强制高危用户改密
  · 登录接口做设备/指纹维度风控

破解思路：
  攻击者可以用"撞库得到的真账号"去反复触发锁定，
  造成合法用户登不上——这叫账户锁定 DoS。

平衡方案：
  · 渐进式惩罚：首次失败提示、多次失败递增延迟
  · 分布式锁号：按 IP/指纹/会话限，不轻易锁"账号"
  · 人机验证介入：失败次数到达阈值先弹验证码
  · 锁定但可解锁：锁定后允许通过 MFA/邮箱自助解锁

按 IP 维度（示意阈值）：
  · 1-5 次失败        → 正常，仅记录
  · 6-10 次失败       → 增加延迟（指数退避）
  · 11+ 次失败        → 弹验证码
  · 持续失败          → 临时封禁该 IP 15 分钟

按账号维度（保护真实用户）：
  · 连续失败达到 10 次 → 锁定账号 + 推送 MFA 解锁
  · 锁定前必须确认"不是攻击者在制造 DoS"

提示：
  · 锁定策略要区分"账号是否在正常位置登录过"
  · 陌生位置/新设备登录优先走验证，而不是直接锁

凭证泄露 ≠ 账号被盗 当 MFA 在场：
  · 攻击者有密码，没有第二因素 → 登录被拦
  · 密码库泄露、撞库命中 → 仍是拦在第二道关

常见第二因素：
  · TOTP（Authenticator 类）：共享密钥本地生成验证码
  · SMS OTP：短信下发验证码（易被拦截，强度偏低）
  · Push：登录批准推送（体验好，但可被疲劳轰炸）
  · 硬件密钥/WebAuthn：最强，抗钓鱼（见无密码专题）

攻击流程：
  ① 拿到用户的账号密码（撞库/钓鱼）
  ② 发起登录 → 系统推送 MFA 批准请求
  ③ 反复推送（每分钟几十次），直到用户烦了"手滑批准"
  ④ 批准后攻击者立即登录

关键点：
  攻击者利用的不是技术漏洞，而是"人的习惯性确认"

对策：
  · 推送加"确认号码"：批准页面显示与登录页一致的随机码
  · 限制推送频率：同账号短时间只推 1-2 次
  · 推送附带地理位置/设备信息，异常则要求 TOTP
  · 新设备登录强制走强因子（TOTP/密钥），不提供 Push

SMS OTP 风险链：
  · SIM 卡劫持：攻击者补办 SIM，接收短信验证码
  · 短信转发/中间人：利用 SS7 协议或设备恶意软件
  · 钓鱼界面：伪造登录页骗取用户输入的 OTP 并实时转发

TOTP 风险链：
  · 钓鱼界面骗取用户"输入验证码"后实时复用
  · 密钥备份泄露（截图、明文存储）

对策：
  · 敏感操作优先硬件密钥/WebAuthn，而非 SMS
  · 验证码绑定"用途 + 设备"，一次一用、限时生效
  · 登录会话标记：检测"验证码刚在陌生设备使用"即告警
  · 高价值账号强制 FIDO2，禁止短信因子

攻击者另一个入口：密码找回 / MFA 重置流程
  · 若找回仅靠"邮箱 + 安全问题"，MFA 形同虚设
  · 攻击者先黑掉邮箱 → 走找回 → 重置 MFA → 登录

对策：
  · 找回流程与登录同等强度（也要 MFA/风控）
  · 安全问题弱答案直接废弃
  · MFA 重置必须通知原因子并留冷静期
  · 恢复凭证（恢复码）一次性、加密存储

传统认证：所有登录一个强度
自适应认证：按"风险上下文"动态调整认证要求

风险信号：
  · 设备是否见过、指纹是否稳定
  · IP 地理位置、VPN/代理、数据中心
  · 时间规律（是否在工作时段/常用地）
  · 行为（键盘节奏、鼠标轨迹、页面速度）
  · 账号价值（管理员/财务 > 普通用户）

处置分级：
  低风险  → 密码 + Push（快速通过）
  中风险  → 弹验证码 / TOTP
  高风险  → 强制 WebAuthn + 管理员审批

登录请求 → 收集上下文（设备/IP/时间/行为）
        → 风控引擎打分（0-100）
        → 0-30  放行
        → 31-60 额外验证（验证码/TOTP）
        → 61-80 强制强因子 + 延迟
        → 81+   拒绝并告警，加入监控

关键设计：
  · 风险分阈值可按账号价值/业务调整
  · 决策留痕：为什么降级/升级，供审计与误杀申诉
  · 模型与名单持续更新，灰度上线避免大面积误杀

登录接口安全要点（伪配置）：
  · 统一限流：IP 维度 + 账号维度 + 设备维度
  · 失败锁定：渐进式，而非一刀切锁号
  · 验证码：失败次数达阈值先过人机验证
  · MFA：新设备强制第二因素，敏感账号强因子
  · 泄露密码比对：登录/改密时对照泄露库
  · 会话风控：登录地/设备变化触发重新验证

监控规则示例：
  · 单账号 5 分钟内 10+ 次失败 → 告警并临时锁
  · 同 IP 段短时间大量失败 → 告警"喷洒模式"
  · 异地/新设备 + 敏感账号 → 触发二次验证事件
  · MFA 推送频率异常（10 分钟内 10+ 次）→ 疲劳攻击告警

管理员/财务/客服账号额外措施：
  · 专用登录通道：仅内网/零信任代理可访问
  · 强制强因子：禁 SMS，用 WebAuthn 或硬件密钥
  · 会话时长更短 + 操作审计
  · 双人复核：关键操作（改绑定、大额操作）双人审批
  · 与 IAM/零信任联动：设备合规才允许访问

检测到异常登录 → 临时缓解（锁号/封IP/停推）
             → 溯源确认（是攻击还是误报）
             → 处置（改密、重置 MFA、设备注销）
             → 通知用户（含"为何通知"与安全提示）
             → 复盘沉淀（更新规则/名单/风控阈值）

要点：
  · 缓解优先于完美判断，先止血再定性
  · 误杀要有申诉通道，别让合法用户被误伤后无门
  · 告警要可操作：附上下文（IP、设备、时间、原因码）

· 登录/失败日志统一入 SIEM
· 风控决策（通过/挑战/拒绝）打点可追溯
· 与威胁情报联动：已知攻击 IP/工具特征自动拦截
· 建立"异常登录"看板：趋势、地域、账号分布
· 定期红蓝演练：用喷洒/疲劳脚本自测防线