Làm thế nào để đối phó với cuộc tấn công DDoS?

DDoS (distributed denial of service) - một chiến thuật đáng tin cậy để đảm bảo dịch vụ không bị ảnh hưởng trong thời gian cố định.

Thảo luận về DDoS và những khía cạnh quan trọng của nó.

Internet là một mê cung kỳ diệu, nối liền từng góc nhỏ trong không gian vô tận. Hàng tỷ gói tin vận hành với tốc độ ánh sáng, tạo nên một cuộc hành trình khám phá khắp thế giới. Để khám phá sâu hơn về cơ chế và hướng đi của nó, Internet được phân chia thành các đoàn, từng đoàn lại chia thành những đội nhỏ, … .

Điều này khiến cho việc thảo luận về cách đối phó với cuộc tấn công DDoS trở nên phức tạp. Phương pháp bảo vệ cá nhân khỏi DDoS tương tự như cách mà trung tâm dữ liệu của một công ty triệu đô tự bảo vệ mình, chỉ có chút khác biệt.

Và đây chưa kể đến những nhà cung cấp dịch vụ Internet (ISP). Có nhiều cách để phân loại bảo vệ khỏi tấn công DDoS, bởi vì Internet hội tụ hàng tỷ kết nối, cụm mạng, sự trao đổi đại dương và các mạng con phức tạp.

Với tất cả những điều đã nói, chúng ta hãy thử đến gần vấn đề như một cuộc 'phẫu thuật' chi tiết, chạm vào mọi khía cạnh quan trọng của nó.

Nguyên lý đằng sau cách bảo vệ trước cuộc tấn công DDoS

Nếu bạn đang đọc bài này và chưa có hiểu biết gì về cách hoạt động của DDoS, nên khuyên bạn nên tìm hiểu thêm để không bị 'bỡ ngỡ'.

Có 2 cách để xử lý một gói tin đến (gói tin đến): bạn có thể phớt lờ hoặc đổi hướng. Bạn không thể ngăn chặn gói tin này được gửi đi vì bạn không kiểm soát nguồn gốc của nó. Nó đã đến đây và phần mềm của bạn cần quyết định xử lý như thế nào.

Điều này là sự thực mà chúng ta đều chấp nhận, kể cả các ISP kết nối chúng ta với Internet. Đó là lý do tại sao có nhiều cuộc tấn công DDoS thành công: vì bạn không thể kiểm soát hành vi của nguồn, nguồn có thể gửi cho bạn các gói tin đủ để làm cho kết nối của bạn chệch lệch.

Ai đang nghiên cứu về lĩnh vực mạng, hãy đọc bài viết này: khám phá tấn công từ chối dịch vụ DoS ở đây

Nếu bạn sử dụng Firewall (tường lửa) trên máy tính hoặc router, bạn thường sẽ bị kẹt theo một nguyên tắc cơ bản: khi lưu lượng truy cập DDoS tăng, phần mềm sẽ đánh dấu các IP có lưu lượng bất hợp pháp.

Phần mềm thực hiện điều này bằng cách phát hiện khi có cái gì đó gửi một lượng dữ liệu rác hoặc yêu cầu kết nối với tần suất không tự nhiên, ví dụ như lớn hơn 50 lần/giây. Sau đó, nó sẽ chặn tất cả các giao dịch từ nguồn đó.

Bằng cách chặn các giao dịch đến, máy tính của bạn sẽ không phải dùng quá nhiều tài nguyên để xử lý dữ liệu bên trong. Thông điệp chỉ đơn giản không đến được đích. Nếu bị chặn bởi Firewall (tường lửa) trên máy tính và cố gắng kết nối, bạn sẽ phải đợi một khoảng thời gian để kết nối vì mọi thứ bạn gửi sẽ bị bỏ qua.

Đây là một giải pháp tuyệt vời để đối phó với cuộc tấn công từ chối dịch vụ (DoS) vì kẻ tấn công sẽ chờ đợi thời gian kết nối mỗi khi kiểm tra tiến trình của họ. Trong cuộc tấn công DoS phân tán, giải pháp này có thể áp dụng vì mọi dữ liệu từ các địa chỉ IP tấn công sẽ bị bỏ qua.

Những thách thức khác

Trên thế giới Internet, không có khái niệm “chặn chủ động”. Bạn vẫn cần tài nguyên ngay cả khi bỏ qua một gói tin đang tiến lại. Nếu sử dụng phần mềm, điểm tấn công sẽ dừng lại tại máy tính của bạn, nhưng vẫn có thể đi qua bộ định tuyến như “một tờ giấy đạn”. Điều này có nghĩa là bộ định tuyến của bạn đang làm việc hết mình để định tuyến mọi gói tin không hợp pháp theo hướng bạn chỉ định.

Nếu bạn sử dụng Firewall (tường lửa) của Router, mọi thứ sẽ chấm dứt ngay tại đó. Nhưng điều này cũng có nghĩa là bộ định tuyến đang phải kiểm tra từng gói tin và sau đó cập nhật danh sách IP bị chặn để quyết định liệu có bỏ qua hay tiếp tục cho qua.

Hãy tưởng tượng bộ định tuyến hàng giây phải xử lý những công việc đồng nhất. Bộ định tuyến có nguồn xử lý có hạn. Khi nó đạt đến giới hạn, nó sẽ phải đối mặt với vấn đề ưu tiên lưu lượng truy cập hợp lệ, bất kể phương pháp nâng cao nào nó áp dụng.

Chúng ta sẽ để những điều này qua một bên để bàn về vấn đề khác. Giả sử bạn sở hữu một bộ định tuyến 'ma thuật' với nguồn xử lý không giới hạn, ISP vẫn chỉ cung cấp một lượng băng thông có hạn. Khi băng thông đạt đến giới hạn, bạn sẽ phải 'đối mặt' với khả năng thực hiện thậm chí những công việc cơ bản nhất trên Web.

Do đó, giải pháp lý tưởng cho DDoS là sở hữu nguồn xử lý vô hạn và băng thông không giới hạn.

Cách các doanh nghiệp lớn giải quyết vấn đề tải của họ

Các doanh nghiệp chống lại DDoS: họ tận dụng hạ tầng hiện có để đối phó với mọi đe dọa. Thường, điều này được thực hiện thông qua cân bằng tải, mạng phân phối nội dung hoặc sự kết hợp của cả hai. Các dịch vụ và trang web nhỏ có thể lựa chọn thuê bên ngoài từ bên thứ ba nếu họ không có nguồn lực duy trì một loạt máy chủ.

Với CDN, nội dung trang web được sao chép vào mạng lưới rộng lớn máy chủ phân tán ở nhiều vị trí địa lý. Điều này giúp trang web load nhanh khi kết nối, dù bạn ở đâu trên thế giới.

Cân bằng tải thực hiện điều này bằng cách phân phối và phân loại dữ liệu vào các máy chủ khác nhau, ưu tiên lưu lượng cho loại máy chủ phù hợp. Máy chủ với băng thông thấp và ổ cứng lớn xử lý nhanh chóng file nhỏ. Máy chủ có kết nối băng thông cao xử lý truyền dữ liệu

Phương pháp bảo vệ khỏi cuộc tấn công DDoS hoạt động như thế nào?

Nếu một cuộc tấn công xâm phạm máy chủ, cân bằng tải có thể theo dõi DDoS và cho phép nó tiếp tục tấn công máy chủ đó trong khi đồng thời chuyển hướng toàn bộ lưu lượng truy cập hợp pháp đến các địa điểm khác trên mạng.

Ý tưởng ở đây là sử dụng một hệ thống phân tán, phân phối nguồn tài nguyên tại những điểm chiến lược để đảm bảo trang web hoặc dịch vụ vẫn hoạt động bình thường khi cuộc tấn công nhắm vào một “mục tiêu” cụ thể.

Do hệ thống phân tán, nó mang lại ưu thế lớn so với Firewall (tường lửa) đơn giản và bảo vệ của bất kỳ bộ định tuyến nào. Thách thức ở đây là bạn cần có nguồn lực đáng kể để khởi đầu hoạt động của mình. Trong quá trình phát triển, các doanh nghiệp có thể dựa vào các đối tác chuyên nghiệp để có mức bảo vệ cần thiết.

Cách các doanh nghiệp lớn giúp người dùng Internet tự bảo vệ

Ở phần này, chúng ta sẽ khám phá cách mà các doanh nghiệp lớn hỗ trợ người dùng Internet tự bảo vệ khỏi rơi vào hang tối. Vấn đề này thực sự phức tạp.

Các nhà cung cấp dịch vụ Internet (ISP) có những cách độc đáo để xử lý sự biến động của lưu lượng truy cập. Hầu hết cuộc tấn công DDoS chỉ xuất hiện trên bảng điều khiển của họ vì họ có quyền truy cập vào lượng băng thông gần như không giới hạn. Lưu lượng truy cập hàng ngày vào khoảng 7-11 PM (còn được biết đến là Giờ Cao điểm Internet) thường vượt quá băng thông trung bình mà bạn nhận được từ luồng DDoS.

Dĩ nhiên, vì đây là Internet, cũng có những trường hợp lưu lượng truy cập trở thành điều nhiều hơn một điểm trên bảng điều khiển.

Những cuộc tấn công xuất hiện như cơn gió và cố gắng làm suy yếu cơ sở hạ tầng của các ISP (Nhà cung cấp Dịch vụ Internet) nhỏ. Khi nhà cung cấp của bạn đưa ra giải pháp, họ sử dụng các công cụ để đối mặt với mối đe dọa. Dưới đây là những phương pháp phổ biến:

- Remote Hole Black Hole: Nghe có vẻ như từ một bộ phim khoa học viễn tưởng, nhưng RTBH là một phương thức thực tế của Cisco. Có nhiều cách để thực hiện điều này, nhưng ở đây là cách nhanh nhất: ISP liên lạc với mạng tấn công và yêu cầu chặn toàn bộ lưu lượng truy cập từ nguồn của nó. Việc chặn lưu lượng truy cập ra đơn giản và dễ dàng hơn việc chặn gói tin đến. Chắc chắn mọi thứ từ ISP đích sẽ mất kết nối với những người kết nối từ nguồn của cuộc tấn công, nhưng không ảnh hưởng đến lưu lượng truy cập còn lại từ thế giới.

- Scrubbers: Một số ISP lớn có trung tâm dữ liệu với nhiều thiết bị có thể phân tích mẫu lưu lượng để phân loại lưu lượng truy cập hợp pháp và DDoS. Vì yêu cầu nguồn lực và cơ sở hạ tầng lớn, các ISP nhỏ thường thuê công ty bên ngoài để thực hiện điều này. Lưu lượng truy cập vào khu vực bị ảnh hưởng được lọc và hầu hết gói DDoS bị chặn, trong khi lưu lượng truy cập hợp lệ vẫn được phép. Điều này giúp ISP duy trì hoạt động bình thường với chi phí tính toán đáng kể.

- Traffic voodoo: Sử dụng phương pháp 'định hình lưu lượng truy cập', ISP chỉ tấn công IP đích với mọi thứ mà cuộc tấn công DDoS mang theo, trong khi vẫn giữ lại tất cả các kết nối khác. Ý tưởng cơ bản là đẩy nạn nhân ra khỏi mạng để bảo vệ phần còn lại của hệ thống. Đây là một giải pháp đôi khi không được ưa chuộng và thường chỉ sử dụng khi mạng đối mặt với tình trạng khẩn cấp và cần hành động nhanh chóng để đảm bảo sự tồn tại của toàn bộ hệ thống.

Thách thức với DDoS đi kèm với những tiến bộ trong lĩnh vực máy tính và băng thông hiện đại. Để đối phó với mối đe dọa này, chúng ta cần áp dụng những phương pháp mạng tiên tiến, vượt xa khả năng của người dùng trung bình. Thường thì, các hộ gia đình không phải là mục tiêu chính của DDoS.

Nếu bạn muốn theo dõi những cuộc tấn công này diễn ra trong thời gian thực, bạn có thể kiểm tra Bản đồ Tấn công số.

Bạn đã từng là 'nạn nhân' của cuộc tấn công này tại nhà hoặc nơi làm việc chưa? Bài viết về cách hoạt động để bảo vệ khỏi cuộc tấn công DDoS sẽ giúp bạn hiểu rõ hơn về chúng và tìm ra giải pháp để đối phó.

Ngoài ra, hãy khám phá các kết nối ẩn để phát hiện và xử lý kịp thời. Để biết thêm chi tiết, bạn có thể theo dõi cách phát hiện và xử lý kết nối ẩn tại đây.