La difesa contro il brute-force è qualsiasi controllo che rallenta, blocca o limita tentativi ripetuti di indovinare una password, un PIN o un altro segreto di autenticazione. Esempi comuni includono il rate limiting, i blocchi temporanei, il backoff esponenziale, i CAPTCHA, le richieste di autenticazione a più fattori e gli avvisi dopo troppi errori.
È importante perché gli attacchi di indovinamento sono semplici da automatizzare su larga scala. Su telefoni e account online, una credenziale debole o riutilizzata può essere sottoposta a migliaia di tentativi se il sistema non introduce attrito. Buone difese contro il brute-force aumentano il costo dell'attacco, danno ai difensori il tempo di reagire e riducono la possibilità che un attaccante riesca ad accedere con prove ed errori. In pratica, questi controlli compaiono nelle policy di sblocco dei dispositivi, nelle protezioni per l'accesso agli account e nelle funzionalità di sicurezza che rallentano specificamente i fallimenti di autenticazione ripetuti.