在Django中限制蠻力登錄攻擊

Question

是否有公認的策略來保護Django應用程序免受這種攻擊？

Answer 1

django-axes是一個現有的應用程序用於檢測失敗的登錄嘗試。還有一個更通用的django-ratelimit。

Answer 2

您可以：

• 失敗的登錄嘗試的跟蹤和後3名企圖阻止攻擊者。
• 如果你不想阻塞，那麼你可以登錄它並出示一個驗證碼，以使它在未來的嘗試中更加困難。
• 您也可以增加嘗試緩存失敗後登錄嘗試之間的時間。例如，10秒，30秒，1分鐘，5分鐘等。這會很快爲攻擊者破壞樂趣。
• 當然，選擇一個安全的密碼，因爲這將保持攻擊者的猜測。

Answer 3

我更喜歡django-defender。它起始於帶有redis的django-axis fork，作爲後端存儲失敗登錄嘗試，阻止用戶，IP，因此它比django-axes快得多。