Löschen gespeicherter Versuche der nicht vorhandenen Benutzer ausgefallen, wenn Login Drosselung

Question

die Login-Throttling,

Ist es notwendig, dass die gescheiterten Versuche eines nicht vorhandenen Benutzer in die Datenbank eingefügt werden? Wenn keine Aktion ausgeführt wird, kann niemand die vorhandenen Benutzernamen in der Datenbank erraten, wenn die Drosselung für sie stattfindet und nicht die nicht vorhandenen, ist das nicht ein Sicherheitsrisiko?

Wenn es notwendig ist, wie sollte ich damit umgehen, sie zu löschen, wenn das Risiko niedriger ist?

//If the username does not exist do the below: 

<?php 
    $stmt= $conn->prepare('SELECT * from failed_logins WHERE name="'.$_SESSION["Name"].'"'); 
    $stmt->bindParam(1, $name); 
    $stmt->execute(); 
    $stmt->setFetchMode(PDO::FETCH_ASSOC); 
    while($row = $stmt->fetch()) { 
     $attempted = $row['attempted']; 
    } 
    $atime = strtotime($attempted); 
    $current = time(); 
    if(($current-$atime) > 1500) { 
     $del= $conn->query("DELETE FROM failed_logins WHERE name = '".$_SESSION['Name']."'"); 
     $del->execute(); 
    } 
?> 

Answer 1

Aus Sicherheitsgründen sollten Sie die Anzahl fehlgeschlagener Anmeldeversuche pro Benutzer absolut beschränken. Wenn Sie dies nicht tun, setzen Sie Ihre Website ernsthaft der brute-force attacks aus. Melden Sie den Benutzer nach 3 fehlgeschlagenen Anmeldeversuchen beispielsweise für 24 Stunden aufgrund seiner IP-Adresse ab.

Ich würde keine Daten im Zusammenhang mit fehlgeschlagenen Login-Versuche aus Gründen der forensischen Untersuchung löschen Sie können regelmäßig alle 6 Monate, zum Beispiel durchführen.