Ataques de inicio de sesión de fuerza bruta en Django

Question

¿Existen tácticas generalmente aceptadas para proteger las aplicaciones de Django contra este tipo de ataque?

Answer 1

django-axes es una aplicación existente para detectar intentos fallidos de inicio de sesión. También hay un django-ratelimit más general.

Answer 2

Puede:

• Realizar un seguimiento de los intentos fallidos de acceso y bloquear el atacante después de 3 intentos.
• Si no desea bloquear, puede registrarlo y presentar un CAPTCHA para hacerlo más difícil en futuros intentos.
• También puede aumentar el tiempo entre los intentos de inicio de sesión después del intento fallido echado. Por ejemplo, 10 segundos, 30 segundos, 1 minuto, 5 minutos, etc. Esto arruinará la diversión bastante rápido para el atacante.
• Por supuesto, elija una contraseña segura ya que eso mantendrá al atacante adivinando.

Answer 3

Prefiero django-defender. Comienza como tenedor django-axes con redis como backend para almacenar intentos de inicio de sesión fallidos, usuarios bloqueados, IPs por lo que es mucho más rápido que django-axes.