Sau khi đã có cái nhìn tổng quan về cuộc tấn công từ chối dịch vụ DDoS và hiểu rõ về hậu quả mà nó có thể mang lại, một thách thức quan trọng là làm thế nào chúng ta có thể phòng chống hiệu quả các cuộc tấn công này.
Có nhiều phương pháp để giảm nhẹ ảnh hưởng của cuộc tấn công DDoS, thậm chí đưa chúng gần như trở nên vô hại. Tuy nhiên, trước khi chúng ta đào sâu vào các giải pháp, quan trọng nhất là hiểu rõ về các loại tấn công từ chối dịch vụ DDoS. Điều này giúp chúng ta nắm bắt được bức tranh toàn cảnh và lựa chọn được những giải pháp phù hợp nhất với từng tình huống cụ thể.
Các dạng tấn công từ chối dịch vụ DDoS
Có thể chia tấn công DDoS thành hai loại lớn: Gây nghẽn băng thông và gây cạn tài nguyên. Có rất nhiều loại nhưng trong khuôn khổ bài viết này chúng tôi chỉ liệt kê 10 loại nổi bật nhất.
1. Gây nghẽn mạng (UDP flood và ping flood)
- Mục tiêu: gây quá tải hệ thống mạng bằng lượng truy cập lớn từ nhiều nguồn để chặn các lượt truy cập thực của người dùng
- Phương thức: Gây “ngập lụt” đối tượng bằng các gói UDP và ICMP
- Phòng tránh: Tăng băng thông, sử dụng các hệ thống cân bằng tải, chuyển hướng cuộc tấn công, dùng cơ chế chống mạo danh IP hoặc chuyển lượng truy cập sang một nhà cung cấp dịch vụ chống DDoS.
2. Tấn công chuyển hướng
- Mục tiêu: Gây tốn tài nguyên bằng cách giả mạo IP nguồn để các máy chủ mục tiêu phản hồi về máy chủ nạn nhân, từ đó tạo ra các cuộc tấn công với quy mô lớn, đặc biệt là các hệ thống có khả năng khuếch đại.
- Phương thức: gửi IP mạo danh đến nhiều máy tính để nhận lại lượng phản hồi về địa chỉ đích giả mạo được định sẵn. Khi đó nạn nhân cũng sẽ không biết được nguồn thực sự tấn công mình.
3. Tấn công Smurf và Fraggle:
- Mục tiêu: lợi dụng địa chỉ phát đi của router để làm mạng lưới ngừng hoạt động
- Phương thức: gửi lưu lượng truy cập ICMP mạo danh đến địa chỉ phát đi từ router hoặc gửi lưu lượng truy cập UDP mạo danh đến địa chỉ phát đi từ router
- Phòng tránh: Thiết lập lại router để đảm bảo không ai có thể lợi dụng tính năng phát đi IP của thiết bị
4. Tấn công SYN flood (TCP):
- Mục tiêu: gây cạn tài nguyên máy chủ và chặn việc nhận các yêu cầu kết nối mới
- Phương thức: Lợi dụng quá trình “bắt tay” 3 chặng TCP: Gửi đi yêu cầu SYN đến máy chủ và được phản hồi bằng một gói SYN-ACK, tuy nhiên không gửi lại gói ACK khiến cho tài nguyên máy chủ bị sử dụng hết vào việc đợi gói ACK gửi về.
- Phòng tránh: sử dụng bộ lọc, tăng backlog, giảm SYN-RECEIVED Timer, SYN caching, tường lửa,…
5. (HTTP) flood (Web Spidering):
- Mục tiêu: gây cạn tài nguyên máy chủ
- Phương thức: dùng bộ quét web spider để quét các website
- Phòng tránh: Chỉ cho phép các bot được tin cậy như của Google quét trang
6. Tấn công PUSH và ACK:
- Mục tiêu: gây cạn tài nguyên máy chủ
- Phương thức: giống với tấn công SYN flood nhưng sẽ gửi đi các gói TCP bằng cách thiết lập bit PUSH và ACK về giá trị bằng 1. Khi số lượng gói TPC với bit PUSH và ACK vượt quá buffer của đối tượng, máy tính đó sẽ crash.
- Phòng tránh: tương tự như tấn công SYN flood
7. Tấn công tại chỗ:
- Mục tiêu: crash hệ thống
- Phương thức: các gói IP được tạo sao cho địa chỉ nguồn và số cổng nguồn chính là địa chỉ đích và số cổng đich, khiến cho đối tượng tự phản hồi lại chính gói của mình
8. Tấn công khuếch đại DNS:
- Mục tiêu: làm quá tải đối tượng bằng phản hồi từ các bộ giải mã DNS.
- Phương thức: Mạo danh địa chỉ IP của máy bị tấn công để gửi yêu cầu đển nhiều bộ giải mã DNS. Các bộ giả mã hồi đáp về IP của máy bị tấn công với kích thước gói dữ liệu có thể lớn hơn kích thước của yêu cầu tới 50 lần.
- Phòng tránh: các kỹ thuật chống mạo danh, hệ thống cân bằng tải và chuyển hướng lưu lượng về các máy chủ khác
9. Tấn công lớp thứ 7:
- Mục tiêu: nhắm vào 1 tính năng cụ thể của 1 ứng dụng web
- Phương thức: Một ví dụ là khi các máy chủ website liên tục mở các thread mới cho mỗi yêu cầu kết nối và mỗi kết nối mới lại gây tiêu tốn tài nguyên máy chủ. Đến một thời điểm nào đó, máy chủ sẽ không còn có thể nhận kết nối mới và bắt đầu từ chối dịch vụ đối với người truy cập.
- Phòng tránh: Tăng dung lượng, sử dụng các giải pháp điện toán đám mây, tối ưu hiệu năng của máy chủ web và dùng front-end proxy
10. Tấn công nhiều hướng:
Cách tấn công này đơn giản là kết hợp nhiều dạng DDoS lại với nhau để làm cho quá trình ngăn chặn trở nên khó khăn hơn
Cách phòng chống một cuộc tấn công DDoS
Dường như có vô số hình thức tấn công DDoS khác nhau. Điều đáng chú ý là, có nhiều biện pháp phòng ngừa một cuộc tấn công DDoS mà bạn có thể áp dụng để bảo vệ hệ thống của mình.
- Nếu bạn có thể xác định địa chỉ IP của các máy tính thực hiện tấn công: có thể tạo một ACL (danh sách quản lý truy cập) trong tường lửa của bạn để chặn những IP này; thậm chí chặn hoàn toàn IP từ một quốc gia nếu cần thiết
- Giám sát lưu lượng truy cập của bạn: Bằng cách này, bạn có thể phát hiện được các vụ tấn công DDoS nhỏ mà tin tặc vẫn thường dùng để kiểm thử năng lực của mạng lưới trước khi tấn công thật sự
- Mua thêm băng thông, thiết lập nhiều server hơn và dùng các giải pháp cân bằng tải tốt
- Tối ưu webserver để có thể tiếp nhận nhiều người truy cập hơn
- Thiết lập các tính năng chống mạo danh IP trong tường lửa của bạn
- Thuê một dịch vụ chống DDoS để bảo vệ website cho bạn; hoặc một chuyên gia về DDoS
- Chặn ICMP của router
