Warum kann Password Spraying ubersehen werden?
Weil jede IP nur wenige Versuche ausfuhren kann. Einzelquellen-Schwellen schlagen dann nicht an, daher muss das Gesamtmuster verfolgt werden.
Erkennungsszenario
VPN Bruteforce-Erkennung
Fehlgeschlagene Anmeldungen allein reichen nicht aus. Quellenverteilung, zeitliche Dichte, Benutzermuster und nachfolgende erfolgreiche Anmeldungen sollten gemeinsam bewertet werden.
Wichtige Signale
Schnelle Versuche von mehreren IPs gegen denselben Benutzer oder eine IP gegen viele Benutzernamen mit anschliessender erfolgreicher VPN-Sitzung bilden ein Hochrisikomuster.
Warum Korrelation wichtig ist
Weil diese Angriffe nicht mehr an eine einzelne IP oder ein einzelnes Zeitfenster gebunden sind. Verteilte Muster erfordern zustandsbasierte Verfolgung.