Caça a Ataques de Credential Stuffing

Quando Usar

• Ao investigar incidentes de segurança que exigem a caça a ataques de credential stuffing
• Ao construir regras de detecção ou consultas de threat hunting para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Familiaridade com conceitos e ferramentas de operações de segurança
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Instruções

Analise logs de autenticação para detectar credential stuffing identificando padrões de falhas de login distribuídas, alta diversidade de IPs e distribuição suspeita de ASNs.

import pandas as pd
from collections import Counter

# Load auth logs
df = pd.read_csv("auth_logs.csv", parse_dates=["timestamp"])

# Credential stuffing indicator: many IPs trying few accounts
ip_per_account = df[df["status"] == "failed"].groupby("username")["source_ip"].nunique()
accounts_under_attack = ip_per_account[ip_per_account > 50]

Indicadores chave de detecção:

1. Alto número de IPs de origem únicos por nome de usuário com falha
2. Baixa taxa de sucesso em muitas contas (< 1%)
3. Concentração de ASN de provedores de nuvem/proxy
4. Impossibilidade geográfica (mesma conta, locais distantes)
5. Uniformidade de user-agent entre IPs distribuídos

Exemplos

# Password spray: one password tried across many accounts
spray = df[df["status"] == "failed"].groupby(["source_ip", "password_hash"]).agg(
    accounts=("username", "nunique")).reset_index()
sprays = spray[spray["accounts"] > 10]