Excessive Failed Login Attempts
制限のない過剰なログイン失敗は、攻撃者によるパスワードの総当たりやクレデンシャルスタッフィングを許してしまう。
目的
レート制限の欠如がもたらす総当たり攻撃のリスクとその防御を理解する。認証セキュリティの中核的懸念。
メカニズム
攻撃者はロックアウトや遅延のない状態でパスワードを繰り返し試す。防御：失敗回数によるロックアウト、指数バックオフ、CAPTCHA、IP レート制限、クレデンシャルスタッフィング検出（既知の漏えいパスワードとの照合）。
ユースケース
- 総当たり攻撃への防御
- レート制限
- アカウントロックアウトポリシー