Tấn công DDOS là gì?

DDOS là viết tắt của từ chối dịch vụ phân tán. Đó là một loại tội phạm mạng trong đó một hoặc một số bên cố gắng làm gián đoạn lưu lượng truy cập của máy chủ hoặc trang web. Để có hiệu quả, chúng không chỉ sử dụng một máy tính để tấn công mà thường là cả một mạng lưới của chúng.

Tuy nhiên, đây không chỉ là máy của kẻ tấn công - có nhiều loại phần mềm độc hại và vi rút có thể ảnh hưởng đến máy tính của người dùng bình thường và biến nó thành một phần của cuộc tấn công. Ngay cả các thiết bị IoT cũng không an toàn - nếu bạn có một thiết bị thông minh trong nhà, về mặt lý thuyết, nó có thể được sử dụng cho một cuộc tấn công như vậy.

Làm thế nào nó hoạt động?

Cách đơn giản nhất để giải thích các cuộc tấn công DDOS là so sánh chúng với tình trạng tắc đường. Luồng giao thông bình thường bị gián đoạn do hàng chục (hoặc hàng trăm, hàng nghìn, v.v.) ô tô bất ngờ hòa vào đường chính mà không cho ô tô khác đi.

Kẹt đang nổi lên ngăn cản các trình điều khiển bình thường đạt được mục tiêu của họ - trong một sự kiện DDOS, đó sẽ là máy chủ hoặc trang web mà họ đang tìm kiếm.

Có nhiều kiểu tấn công khác nhau nhắm vào các yếu tố khác nhau của giao tiếp máy khách-máy chủ thông thường.

Các cuộc tấn công ở lớp ứng dụng cố gắng làm cạn kiệt tài nguyên của mục tiêu bằng cách buộc nó phải tải liên tục các tệp hoặc truy vấn cơ sở dữ liệu - điều này làm chậm trang web và trong trường hợp nghiêm trọng có thể gây ra sự cố với máy chủ bằng cách làm nó quá nóng hoặc sử dụng nhiều năng lượng. Các cuộc tấn công này rất khó để chống lại vì chúng rất khó phát hiện - không dễ để nói liệu việc sử dụng tăng đột biến là do sự gia tăng lưu lượng truy cập thực sự hay một cuộc tấn công độc hại.

Các cuộc tấn công HTTP Flood được thực hiện bằng cách làm mới nhiều lần một trang trình duyệt - ngoại trừ hàng triệu lần. Lượng yêu cầu đến một máy chủ thường sẽ dẫn đến việc nó bị quá tải và không phản hồi các yêu cầu (chính hãng) nữa. Các biện pháp bảo vệ bao gồm có máy chủ dự phòng và đủ năng lực để xử lý yêu cầu tràn. Ví dụ, một cuộc tấn công như vậy gần như chắc chắn sẽ không hoạt động chống lại Facebook vì cơ sở hạ tầng của họ rất mạnh để có thể xử lý các cuộc tấn công như vậy.

Các cuộc tấn công giao thức cố gắng làm cạn kiệt máy chủ bằng cách tiêu thụ tất cả dung lượng mà những thứ như ứng dụng web có - do đó, bằng cách lặp lại các yêu cầu đối với một phần tử của trang web hoặc dịch vụ. Làm như vậy sẽ khiến ứng dụng web ngừng phản hồi. Thông thường, các bộ lọc được sử dụng để chặn các yêu cầu lặp lại từ cùng một địa chỉ IP để ngăn chặn các cuộc tấn công và giữ cho dịch vụ hoạt động cho người dùng bình thường.

Về bản chất, SYN Flood Attacks được thực hiện bằng cách liên tục yêu cầu máy chủ tìm nạp một phần tử và sau đó không xác nhận việc nhận phần tử đó. Điều này có nghĩa là máy chủ giữ các phần tử và chờ đợi biên nhận không bao giờ đến - cho đến khi cuối cùng nó không thể giữ được nữa và bắt đầu thả chúng để nhặt thêm.

Các cuộc tấn công Volumetric cố gắng tạo ra tắc nghẽn một cách giả tạo bằng cách chiếm dụng cụ thể tất cả băng thông mà máy chủ có. Điều này tương tự như các cuộc tấn công HTTP Flood ngoại trừ việc thay vì các yêu cầu lặp đi lặp lại, dữ liệu được gửi đến máy chủ, do đó giữ cho nó quá bận để đáp ứng với lưu lượng truy cập bình thường. Botnet thường được sử dụng để thực hiện các cuộc tấn công này - chúng cũng thường sử dụng khuếch đại DNS.

Mẹo: Khuếch đại DNS hoạt động giống như một cái loa - một yêu cầu hoặc gói dữ liệu nhỏ hơn được trình bày là lớn hơn nhiều so với nó. Đó có thể là kẻ tấn công yêu cầu mọi thứ mà máy chủ cung cấp, sau đó yêu cầu nó lặp lại mọi thứ mà kẻ tấn công yêu cầu - một yêu cầu tương đối nhỏ và đơn giản nhưng lại chiếm rất nhiều tài nguyên.

Làm thế nào để bảo vệ khỏi các cuộc tấn công DDOS?

Bước đầu tiên để đối phó với những cuộc tấn công này là đảm bảo rằng chúng đang thực sự xảy ra. Phát hiện chúng không phải lúc nào cũng dễ dàng, vì lưu lượng truy cập tăng đột biến có thể là hành vi bình thường do múi giờ, bản tin tức và hơn thế nữa. Để các cuộc tấn công của chúng hoạt động, những kẻ tấn công DDOS cố gắng che giấu hành vi của chúng trong lưu lượng truy cập bình thường càng nhiều càng tốt.

Các thủ tục khác để giảm thiểu các cuộc tấn công DDOS là lỗ đen, giới hạn tốc độ và tường lửa. Lỗ đen là một biện pháp khá khắc nghiệt - chúng không cố gắng tách lưu lượng truy cập chính hãng khỏi một cuộc tấn công, mà là chuyển hướng mọi yêu cầu khỏi máy chủ và sau đó loại bỏ nó. Ví dụ, điều này có thể được thực hiện để chuẩn bị cho một cuộc tấn công dự kiến.

Giới hạn tốc độ ít khó khăn hơn đối với người dùng - nó đặt ra một giới hạn giả tạo cho số lượng yêu cầu mà máy chủ sẽ chấp nhận. Giới hạn này đủ để cho phép lưu lượng truy cập bình thường đi qua, nhưng quá nhiều yêu cầu sẽ tự động được chuyển hướng và bị loại bỏ - theo cách này, máy chủ không thể bị quá tải. Đó cũng là một cách hiệu quả để ngăn chặn các nỗ lực bẻ khóa mật khẩu một cách thô bạo - chẳng hạn như sau năm lần thử, địa chỉ IP bị khóa đơn giản.

Tường lửa không chỉ hữu ích để bảo vệ trên máy tính của bạn mà còn trên máy chủ ngoài lưu lượng truy cập web. Tường lửa ứng dụng web nói riêng được thiết lập giữa Internet và máy chủ - chúng bảo vệ chống lại một số kiểu tấn công khác nhau. Tường lửa tốt cũng có thể nhanh chóng thiết lập các phản ứng tùy chỉnh đối với các cuộc tấn công khi chúng xảy ra.

Mẹo: Nếu bạn đang tìm cách bảo vệ trang web hoặc máy chủ của mình khỏi một số loại tấn công DDOS, bạn sẽ cần một sự sắp xếp các giải pháp khác nhau (rất có thể bao gồm cả tường lửa). Cách tốt nhất để giải quyết vấn đề này là tham khảo ý kiến ​​của một nhà tư vấn an ninh mạng và nhờ họ đưa ra một kế hoạch tùy chỉnh phù hợp với nhu cầu của bạn. Không có một giải pháp phù hợp với tất cả!