hunting-credential-stuffing-attacks

猎捕撞库攻击

何时使用

• 调查需要猎捕撞库攻击的安全事件时
• 为该领域构建检测规则或威胁狩猎查询时
• SOC 分析师需要针对此类分析的结构化流程时
• 验证相关攻击技术的安全监控覆盖范围时

前置条件

• 熟悉安全运营概念和工具
• 可访问测试或实验环境以安全执行
• Python 3.8+ 并安装所需依赖
• 任何测试活动均须获得适当授权

操作说明

分析认证日志，通过识别分布式登录失败、高 IP 多样性和可疑 ASN 分布等模式来检测撞库。

import pandas as pd
from collections import Counter

# Load auth logs
df = pd.read_csv("auth_logs.csv", parse_dates=["timestamp"])

# Credential stuffing indicator: many IPs trying few accounts
ip_per_account = df[df["status"] == "failed"].groupby("username")["source_ip"].nunique()
accounts_under_attack = ip_per_account[ip_per_account > 50]

关键检测指标：

1. 每个失败用户名对应大量唯一源 IP
2. 众多账号的整体成功率极低（< 1%）
3. ASN 集中于云/代理服务提供商
4. 地理上不可能（同一账号出现在相距遥远的地点）
5. 分布式 IP 之间 User-agent 高度一致

示例

# Password spray: one password tried across many accounts
spray = df[df["status"] == "failed"].groupby(["source_ip", "password_hash"]).agg(
    accounts=("username", "nunique")).reset_index()
sprays = spray[spray["accounts"] > 10]