如何防御密码喷洒攻击

密码猜测攻击利用默认口令、弱密码策略与服务账户等薄弱环节入侵 AD。文章介绍攻击类型、检测与缓解措施，包括 NIST 建议的密码实践以及特权账户的特别防护要点。

密码喷洒用少量常见口令试探大量账户以规避锁定策略，目标涵盖 VPN、Citrix 网关与 Entra ID 租户。文章给出 MFA、强密码策略与无密码认证等防御建议，以及 DSP 的检测能力。

NetSPI 分析 TOTP 动态口令为何已难以抵御坚定攻击者：通过暴力破解场景演示 30 秒有效期口令被攻破的过程，并建议改用更强的双因素认证方案替代传统 TOTP。

Microsoft 域的云认证分托管与联合两种：前者直连 Azure AD 验证，后者经 ADFS 回源内网域控。配套工具 Invoke-ExternalDomainBruteforce 可自动识别域类型并对 O365/ADFS 发起密码爆破。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。

密码喷洒用少量常见密码横扫大量账户以规避锁定，微软估计其占账户入侵三分之一以上。文章解析延迟与 Kerberos 预认证等变体，以及 Lightning IRP 检测方案。