在Django中限制蛮力登录攻击

Question

是否有公认的策略来保护Django应用程序免受这种攻击？

Answer 1

django-axes是一个现有的应用程序用于检测失败的登录尝试。还有一个更通用的django-ratelimit。

Answer 2

您可以：

• 失败的登录尝试的跟踪和后3名企图阻止攻击者。
• 如果你不想阻塞，那么你可以登录它并出示一个验证码，以使它在未来的尝试中更加困难。
• 您也可以增加尝试缓存失败后登录尝试之间的时间。例如，10秒，30秒，1分钟，5分钟等。这会很快为攻击者破坏乐趣。
• 当然，选择一个安全的密码，因为这将保持攻击者的猜测。

Answer 3

我更喜欢django-defender。它起始于带有redis的django-axis fork，作为后端存储失败登录尝试，阻止用户，IP，因此它比django-axes快得多。