Djangoでブルートフォースログイン攻撃を抑制する

Question

この種の攻撃からDjangoアプリケーションを保護するための一般的に受け入れられている方法はありますか？

Answer 1

django-axesは、失敗したログイン試行を検出するための既存のアプリです。より一般的なdjango-ratelimitもあります。

Answer 2

次のことが可能です。

• は、失敗したログイン試行を追跡し、3回の試行後に攻撃をブロックします。
• ブロックしたくない場合は、ログに記録してCAPTCHAを表示して、今後の試行で難しくすることができます。
• 失敗した試行の失敗後にログインを試行する間隔を長くすることもできます。例えば、10秒、30秒、1分、5分など。これは攻撃者のためのかなり速い楽しみを台無しにするでしょう。
• もちろん、攻撃者が推測できるように安全なパスワードを選択してください。

Answer 3

django-defenderが好ましい。 django-axesは、バックエンドとして失敗ログイン試行を格納するためにredisでforkし、ユーザ、IPをブロックするので、django-axesよりもはるかに高速です。