피드로 돌아가기
Dev.toSecurity
원문 읽기
230만 건의 Low-velocity Credential Stuffing 방어를 위한 집단 패턴 분석 설계
Your Login Endpoint Is Being Tested Right Now. Your Rate Limiter Thinks It's Fine.
AI 요약
Context
전통적인 Rate Limiting과 Account Lockout 기반의 방어 체계는 공격자의 고속 요청을 전제로 설계됨. 최근 공격자는 Residential Proxy와 저속 분산 요청(Low-velocity) 방식을 채택하여 개별 IP 및 계정 임계치를 우회하는 구조적 허점을 공략함.
Technical Solution
- 개별 이벤트 기반 탐지에서 Population-level 패턴 분석으로의 탐지 모델 전환
- 24시간 내 서로 다른 IP를 통해 다수 계정에 1~2회 접속을 시도하는 집단적 신호 식별
- 성공한 로그인 세션에 대해 Device Fingerprinting 및 ASN 기반 Residential Proxy 여부를 검증하는 Step-up Authentication 도입
- Have I Been Pwned API를 통한 외부 유출 데이터셋 기반의 실시간 자격 증명 검증 로직 구현
- 서비스 내 접근 불가능한 Honeypot Account를 배치하여 Credential Dump 유포 여부를 즉시 감지하는 신호 체계 구축
실천 포인트
1. 개별 IP/계정 임계치 외에 전체 로그인 시도 계정 수의 집단적 분포(Population Pattern)를 모니터링하고 있는가?
2. 정답 비밀번호 입력 후에도 Device Fingerprint 및 ASN 분석을 통한 이상 징후 탐지 프로세스가 존재하는가?
3. 로그인 시점에 해당 자격 증명이 기노출된 Breach Dataset에 포함되었는지 검증하는 로직이 적용되었는가?
4. 무작위 대입 공격의 조기 발견을 위한 Honeypot Account가 데이터베이스에 설계되어 있는가?
태그