如何防止暴力/字典攻击？

Question

几个月来，我们已经注意到我们网站上的暴力攻击企图。

攻击者从各种IP（可能来自僵尸网络）和多个用户名和密码启动多次登录尝试。我们的数据库中不存在某些用户名，其他一些用户名是。所以我猜他们正在尝试使用已知的电子邮件帐户。

我们需要防止那些攻击，因为我们的数据库服务器会增加CPU使用率。 所以，我们的选择（在阅读其他答案之后）是：

• 在X次登录尝试失败后阻止帐户
• 在X次登录尝试失败后添加验证码
• 阻止IP

但是，我认为这些选项无法解决问题，因为他们尝试使用多个用户名和IP。

我们的堆栈是一个使用Apache和PHP的Debian服务器。

有没有有效的方法来避免这种情况？

Answer 1

尝试使用此article登录安全性，我认为您应该使用更安全的登录算法。

此article解释了安全登录算法和可能的安全威胁，包括Brute Force攻击。