Strategi menghadkan percubaan login dan menukar URL login adalah dua langkah penting untuk mengurangkan risiko serangan brute force.
-
Hadkan Percubaan Login (Limit Login Attempts):
- Tetapkan had berapa kali pengguna boleh mencuba login dalam tempoh masa tertentu sebelum akses dikunci sementara atau akaun dikunci sepenuhnya. Contohnya, selepas 3-5 percubaan gagal, akaun akan dikunci selama beberapa minit atau sehingga tindakan manual dilakukan oleh pentadbir.
- Implementasi ini mengurangkan peluang penyerang untuk meneka kata laluan secara berulang tanpa halangan.
- Selain itu, boleh ditambah mekanisme penghambatan laju (rate limiting) yang memperlahankan masa antara percubaan login yang gagal, memberi masa kepada sistem untuk mengesan dan menghentikan serangan.
- Pemantauan aktiviti login yang mencurigakan dan pemblokiran IP yang berulang kali gagal juga sangat membantu.
-
Menukar URL Login:
- Mengubah URL halaman login daripada lalai (contohnya /wp-login.php pada WordPress) kepada URL yang unik dan sukar diteka dapat mengurangkan pendedahan kepada serangan brute force automatik yang mensasarkan URL lalai.
- Ini menghalang bot atau skrip automatik daripada terus menyerang halaman login kerana mereka tidak tahu URL sebenar untuk cuba masuk.
- Langkah ini juga boleh digabungkan dengan firewall aplikasi web (WAF) untuk menapis akses ke URL login yang sah sahaja.
-
Langkah Tambahan yang Disarankan:
- Gunakan CAPTCHA selepas beberapa percubaan login gagal untuk memastikan yang mencuba adalah manusia, bukan bot automatik.
- Terapkan pengesahan dua faktor (2FA) untuk lapisan keselamatan tambahan.
- Gunakan kata laluan yang kuat dan enkripsi yang kukuh untuk mengurangkan risiko kata laluan mudah diteka.
- Pantau log dan aktiviti untuk mengesan pola serangan dan ambil tindakan segera.
- Pastikan sistem sentiasa dikemaskini dengan patch keselamatan terbaru.
Secara ringkas, strategi menghadkan percubaan login dengan penguncian sementara atau kekal selepas beberapa kali gagal, serta menukar URL login kepada alamat yang tidak mudah dijangka, adalah cara efektif untuk mengurangkan serangan brute force. Langkah ini harus digabungkan dengan mekanisme keselamatan lain seperti CAPTCHA, 2FA, dan pemantauan aktif untuk perlindungan optimum.
