Đạo đức Hacking - Tấn công DDOS

Một cuộc tấn công từ chối dịch vụ phân tán (DDoS) là một nỗ lực làm cho một dịch vụ trực tuyến hoặc một trang web không khả dụng bằng cách làm nó quá tải với một lượng lớn lưu lượng truy cập được tạo ra từ nhiều nguồn.

Không giống như cuộc tấn công Từ chối Dịch vụ (DoS), trong đó một máy tính và một kết nối Internet được sử dụng để làm ngập tài nguyên được nhắm mục tiêu với các gói tin, một cuộc tấn công DDoS sử dụng nhiều máy tính và nhiều kết nối Internet, thường được phân phối trên toàn cầu dưới dạng botnet.

Một cuộc tấn công DDoS thể tích quy mô lớn có thể tạo ra một lưu lượng được đo bằng hàng chục Gigabit (và thậm chí hàng trăm Gigabit) mỗi giây. Chúng tôi chắc chắn rằng mạng thông thường của bạn sẽ không thể xử lý lưu lượng như vậy.

Botnet là gì?

Những kẻ tấn công xây dựng một mạng lưới các máy bị tấn công được gọi là botnets, bằng cách phát tán đoạn mã độc hại qua email, trang web và mạng xã hội. Một khi những máy tính này bị nhiễm, chúng có thể được điều khiển từ xa mà chủ sở hữu không hề hay biết và được sử dụng như một đội quân để tiến hành cuộc tấn công nhằm vào bất kỳ mục tiêu nào.

Một lũ DDoS có thể được tạo ra theo nhiều cách. Ví dụ -

Botnet có thể được sử dụng để gửi số lượng yêu cầu kết nối nhiều hơn số lượng mà máy chủ có thể xử lý tại một thời điểm.
Những kẻ tấn công có thể yêu cầu máy tính gửi cho nạn nhân một lượng lớn dữ liệu ngẫu nhiên để sử dụng hết băng thông của mục tiêu.

Do tính chất phân tán của các máy này, chúng có thể được sử dụng để tạo ra lưu lượng truy cập phân tán cao có thể khó xử lý. Cuối cùng, nó dẫn đến sự tắc nghẽn hoàn toàn của một dịch vụ.

Các loại tấn công DDoS

Các cuộc tấn công DDoS có thể được phân loại rộng rãi thành ba loại:

Các cuộc tấn công dựa trên khối lượng
Các cuộc tấn công giao thức
Tấn công lớp ứng dụng

Các cuộc tấn công dựa trên khối lượng

Các cuộc tấn công dựa trên khối lượng bao gồm lũ lụt TCP, lũ lụt UDP, lũ lụt ICMP và lũ lụt gói tin giả mạo khác. Chúng còn được gọi làLayer 3 & 4 Attacks. Ở đây, kẻ tấn công cố gắng làm bão hòa băng thông của trang web mục tiêu. Cường độ tấn công được đo bằngBits per Second (bps).

UDP Flood - UDP lũ được sử dụng để làm ngập các cổng ngẫu nhiên trên một máy chủ từ xa có nhiều gói UDP, cụ thể hơn là cổng số 53. Tường lửa chuyên dụng có thể được sử dụng để lọc ra hoặc chặn các gói UDP độc hại.
ICMP Flood- Điều này tương tự như lũ lụt UDP và được sử dụng để làm ngập một máy chủ từ xa với nhiều Yêu cầu tiếng vang ICMP. Kiểu tấn công này có thể tiêu tốn cả băng thông đi và đến và khối lượng yêu cầu ping cao sẽ dẫn đến việc toàn bộ hệ thống bị chậm lại.
HTTP Flood - Kẻ tấn công gửi các yêu cầu HTTP GET và POST đến một máy chủ web được nhắm mục tiêu với khối lượng lớn mà máy chủ không thể xử lý và dẫn đến việc từ chối các kết nối bổ sung từ các máy khách hợp pháp.
Amplification Attack - Kẻ tấn công đưa ra một yêu cầu tạo ra một phản hồi lớn, bao gồm các yêu cầu DNS cho các bản ghi TXT lớn và các yêu cầu HTTP GET cho các tệp lớn như hình ảnh, PDF hoặc bất kỳ tệp dữ liệu nào khác.

Các cuộc tấn công giao thức

Các cuộc tấn công giao thức bao gồm lũ lụt SYN, Ping of Death, tấn công gói phân mảnh, Smurf DDoS, v.v. Loại tấn công này tiêu thụ tài nguyên máy chủ thực tế và các tài nguyên khác như tường lửa và bộ cân bằng tải. Cường độ tấn công được đo bằngPackets per Second.

DNS Flood - DNS lũ được sử dụng để tấn công cả cơ sở hạ tầng và ứng dụng DNS để áp đảo hệ thống mục tiêu và tiêu thụ tất cả băng thông mạng có sẵn của nó.
SYN Flood- Kẻ tấn công gửi các yêu cầu kết nối TCP nhanh hơn mức mà máy được nhắm mục tiêu có thể xử lý, gây bão hòa mạng. Quản trị viên có thể điều chỉnh ngăn xếp TCP để giảm thiểu tác động của lũ SYN. Để giảm ảnh hưởng của lũ SYN, bạn có thể giảm thời gian chờ cho đến khi ngăn xếp giải phóng bộ nhớ được phân bổ cho một kết nối hoặc bỏ chọn lọc các kết nối đến bằng cách sử dụng tường lửa hoặciptables.
Ping of Death- Kẻ tấn công gửi các gói tin không đúng định dạng hoặc quá khổ bằng lệnh ping đơn giản. IP cho phép gửi gói 65,535 byte nhưng gửi gói ping lớn hơn 65,535 byte vi phạm Giao thức Internet và có thể gây tràn bộ nhớ trên hệ thống đích và cuối cùng là làm sập hệ thống. Để tránh các cuộc tấn công Ping of Death và các biến thể của nó, nhiều trang web chặn hoàn toàn các thông báo ping ICMP tại tường lửa của họ.

Tấn công lớp ứng dụng

Các cuộc tấn công lớp ứng dụng bao gồm Slowloris, tấn công DDoS Zero-day, các cuộc tấn công DDoS nhắm vào các lỗ hổng Apache, Windows hoặc OpenBSD và hơn thế nữa. Ở đây mục tiêu là làm sập máy chủ web. Cường độ tấn công được đo bằngRequests per Second.

Application Attack - Đây còn được gọi là Layer 7 Attack, nơi kẻ tấn công thực hiện quá nhiều yêu cầu đăng nhập, tra cứu cơ sở dữ liệu hoặc tìm kiếm để làm quá tải ứng dụng. Thực sự rất khó để phát hiện các cuộc tấn công Lớp 7 vì chúng giống với lưu lượng truy cập trang web hợp pháp.
Slowloris- Kẻ tấn công gửi một số lượng lớn các tiêu đề HTTP đến một máy chủ web được nhắm mục tiêu, nhưng không bao giờ hoàn thành một yêu cầu. Máy chủ được nhắm mục tiêu giữ cho mỗi kết nối sai này luôn mở và cuối cùng làm tràn nhóm kết nối đồng thời tối đa và dẫn đến việc từ chối các kết nối bổ sung từ các máy khách hợp pháp.
NTP Amplification - Kẻ tấn công khai thác các máy chủ Giao thức Thời gian Mạng (NTP) có thể truy cập công khai để áp đảo máy chủ được nhắm mục tiêu với lưu lượng Giao thức Dữ liệu Người dùng (UDP).
Zero-day DDoS Attacks- Lỗ hổng zero-day là một lỗ hổng hệ thống hoặc ứng dụng mà nhà cung cấp chưa biết trước đây và chưa được sửa hoặc vá. Đây là những kiểu tấn công mới đang tồn tại từng ngày, chẳng hạn như khai thác các lỗ hổng mà chưa có bản vá nào được phát hành.

Cách khắc phục Tấn công DDoS

Có khá nhiều tùy chọn bảo vệ DDoS mà bạn có thể áp dụng tùy thuộc vào loại tấn công DDoS.

Bảo vệ DDoS của bạn bắt đầu từ việc xác định và đóng tất cả các lỗ hổng ở cấp độ ứng dụng và hệ điều hành có thể có trong hệ thống của bạn, đóng tất cả các cổng có thể có, xóa truy cập không cần thiết khỏi hệ thống và ẩn máy chủ của bạn sau hệ thống proxy hoặc CDN.

Nếu bạn thấy mức độ DDoS thấp, thì bạn có thể tìm thấy nhiều giải pháp dựa trên tường lửa có thể giúp bạn lọc ra lưu lượng dựa trên DDoS. Nhưng nếu bạn có số lượng lớn các cuộc tấn công DDoS như trong gigabit hoặc thậm chí nhiều hơn, thì bạn nên nhờ sự trợ giúp của nhà cung cấp dịch vụ bảo vệ DDoS cung cấp cách tiếp cận toàn diện, chủ động và chân thực hơn.

Bạn phải cẩn thận khi tiếp cận và lựa chọn nhà cung cấp dịch vụ bảo vệ DDoS. Có một số nhà cung cấp dịch vụ muốn lợi dụng tình hình của bạn. Nếu bạn thông báo với họ rằng bạn đang bị tấn công DDoS, thì họ sẽ bắt đầu cung cấp cho bạn nhiều loại dịch vụ với chi phí cao bất hợp lý.

Chúng tôi có thể đề xuất cho bạn một giải pháp đơn giản và hiệu quả, bắt đầu bằng việc tìm kiếm một nhà cung cấp giải pháp DNS tốt đủ linh hoạt để định cấu hình các bản ghi A và CNAME cho trang web của bạn. Thứ hai, bạn sẽ cần một nhà cung cấp CDN tốt có thể xử lý lưu lượng DDoS lớn và cung cấp cho bạn dịch vụ bảo vệ DDoS như một phần của gói CDN của họ.

Giả sử địa chỉ IP máy chủ của bạn là AAA.BBB.CCC.DDD. Sau đó, bạn nên thực hiện cấu hình DNS sau:

Tạo một A Record trong tệp vùng DNS như được hiển thị bên dưới với số nhận dạng DNS, ví dụ: ARECORDID và giữ bí mật với thế giới bên ngoài.
Bây giờ, hãy yêu cầu nhà cung cấp CDN của bạn liên kết mã định danh DNS đã tạo với một URL, giống như cdn.someotherid.domain.com.
Bạn sẽ sử dụng URL CDN cdn.someotherid.domain.com để tạo hai bản ghi CNAME, bản ghi đầu tiên trỏ tới www và bản ghi thứ hai trỏ tới @ như hình dưới đây.

Bạn có thể nhờ quản trị viên hệ thống trợ giúp để hiểu những điểm này và định cấu hình DNS và CDN của mình một cách thích hợp. Cuối cùng, bạn sẽ có cấu hình sau tại DNS của mình.

Bây giờ, hãy để nhà cung cấp CDN xử lý tất cả các loại tấn công DDoS và hệ thống của bạn sẽ vẫn an toàn. Nhưng ở đây điều kiện là bạn không được tiết lộ địa chỉ IP của hệ thống hoặc số nhận dạng bản ghi cho bất kỳ ai; nếu không các cuộc tấn công trực tiếp sẽ bắt đầu lại.

Sửa chữa nhanh

Các cuộc tấn công DDoS đã trở nên phổ biến hơn bao giờ hết và thật không may, không có cách khắc phục nhanh chóng cho vấn đề này. Tuy nhiên, nếu hệ thống của bạn đang bị tấn công DDoS, đừng hoảng sợ và hãy bắt đầu xem xét vấn đề từng bước.