Materi
Aturan deteksi brute force yang baik melihat kecepatan, bukan hanya jumlah: banyak login gagal dalam waktu singkat dari satu sumber. Karena waktu di log_masuk berbentuk 'YYYY-MM-DD HH:MM:SS', fungsi substr(waktu, 1, 16) memotongnya sampai menit, dan substr(waktu, 1, 13) memotongnya sampai jam. Mengelompokkan per ip dan per satuan waktu, lalu menyaring kelompok dengan HAVING, menandai satuan waktu yang ramai kegagalan (ambang kebijakan contoh). Contoh berikut menghitung kegagalan per JAM sebagai pengenalan bentuknya:
SELECT substr(waktu, 1, 13) AS jam, COUNT(*) AS gagal
FROM log_masuk
WHERE hasil = 'gagal'
GROUP BY jam;Ambang punya dua sisi lemah. Positif palsu: akun pemantauan otomatis (misalnya 'pantau') bisa gagal berkali-kali karena kata sandi tersimpan kedaluwarsa, bukan serangan — menyaringnya keluar menghindari alarm sia-sia. Negatif palsu: penyerang yang sengaja lambat (beberapa percobaan per jam) tidak pernah mencapai lima per menit, sehingga lolos dari aturan per menit. OWASP mencatat bahwa serangan lambat dan ber-proxy memang sulit ditangkap aturan sederhana; karena itu analis memadukan beberapa sudut: per menit, per akun, dan login berhasil sesudah banyak gagal.
