Mục lục bài viết || Contents of the article

    Tấn công từ chối dịch vụ DDoS đang trở thành nỗi ác mộng đối với các tổ chức, doanh nghiệp. Các cuộc tấn công DDoS thường được thực hiện bởi tin tặc có tổ chức nhằm khủng bố không gian mạng, kiếm tiền hay đơn giản chỉ để cho vui.

    1. Tấn công từ chối dịch vụ DDoS là gì?

    DDoS là viết tắt của cụm từ Distributed Denial of Service, có nghĩa là từ chối dịch vụ phân tán. Tấn công DDoS xảy ra khi số lượng yêu cầu truy cập vào trang web quá lớn, dẫn đến việc máy chủ quá tải và không còn khả năng xử lý.

    Khi tấn công DDOS, tin tặc có thể lợi dụng máy tính của bạn để tấn công vào các máy tính khác. Bằng cách khai thác các lỗ hổng bảo mật, tin tặc có thể chiếm quyền điều khiển máy tính của bạn. Sau đó, chúng sử dụng máy tính của bạn để gửi một số lượng lớn dữ liệu và yêu cầu đến một trang web hoặc một địa chỉ email nào đó.

    tan-cong-ddos

    Đôi khi, tấn công DDoS được tin tặc sử dụng làm “màn chắn” cho một cuộc tấn công mạng phía sau. Khi nhân sự an ninh mạng đang tập trung xử lý sự cố cho trang web bị tấn công DDoS, chúng sẽ lợi dụng thời cơ để tấn công backdoor và chèn vào các công cụ SQL. Đến khi doanh nghiệp nhận ra âm mưu này thì đã quá muộn.

    Xem nhiều nhất: 11 bước bảo mật website toàn diện cho doanh nghiệp

    2. Ba loại tấn công DDoS cơ bản

    Có ba loại tấn công DDOS cơ bản dưới đây:

    • Volume-based attack. Loại tấn công DDoS sử dụng lưu lượng truy cập cao để làm tràn băng thông mạng.
    • Protocol attack. Loại tấn công DDoS tập trung vào việc khai thác nguồn tài nguyên của máy chủ.
    • Application attack. Loại tấn công nhắm vào các ứng dụng web. Đây được coi là loại tấn công tinh vi và nguy hiểm nhất.

    3. Một số hình thức tấn công DDoS phổ biến

    3.1. UDP Flood

    UDP (User Datagram Protocol) là một giao thức kết nối không tin cậy. Một cuộc tấn công gây ngập lụt UDP có thể được bắt đầu bằng cách gửi một số lượng lớn các gói tin UDP tới cổng ngẫu nhiên trên một máy chủ từ xa và kết quả là các máy chủ ở xa sẽ :

    • Kiểm tra các ứng dụng với cổng.
    • Thấy rằng không có ứng dụng nghe ở cổng.
    • Trả lời với một ICMP Destination Unreachable gói.

    Như vậy, hệ thống nạn nhân sẽ bị buộc nhận nhiều gói tin ICMP, dẫn đến mất khả năng xử lý các yêu cầu của các khách hàng thông thường. Những kẻ tấn công cũng có thể giả mạo địa chỉ IP của gói tin UDP, đảm bảo rằng ICMP gói trở lại quá mức không tiếp cận họ, và nặc danh hóa vị trí mạng của họ. Hầu hết các hệ điều hành sẽ giảm nhẹ một phần của cuộc tấn công bằng cách hạn chế tốc độ phản ứng ICMP được gửi đi.

    Xem thêm: Giải pháp chống DDoS hiệu quả

    3.2. SYN Flood

    tan-cong-ddos-1

    Kiểu tấn công TCP SYN flood là một kiểu tấn công trực tiếp vào máy chủ bằng cách tạo ra một số lượng lớn các kết nối TCP nhưng không hoàn thành các kết nối này.

    Một người dùng bình thường kết nối tới máy chủ ban đầu thực hiện Request TCP SYN và lúc này máy chủ không còn khả năng đáp lại – kết nối không được thực hiện.

    • Đầu tiên các khách hàng gửi gói tin yêu cầu SYN với số thứ tự x đến các máy chủ.
    • Các máy chủ đáp ứng bằng cách gửi một thông báo nhận (ACK – SYN) . Với cờ SYN =  y và cờ  ACK = x + 1 .
    • Khi khách hàng nhận được, khách hàng sẽ gửi một thông báo nhận (ACK) với cờ  y + 1.

    SYN Flood là một loại tấn công website bằng DDOS. Ở đây, kẻ tấn công gửi các yêu cầu SYN vĩnh viễn để ăn tài nguyên máy chủ nhiều nhất có thể. Hacker không bao giờ trả lời SYN-ACK hoặc thậm chí nếu nó trả lời nó sử dụng một địa chỉ IP giả. Vì vậy, các máy chủ không bao giờ nhận được các gói tin trả lời thậm chí chờ đợi cho đến khi hết thời gian chờ.

    3.3. Ping of Death

    Đây cũng là một kiểu tấn công khá dễ hiểu. Khi một máy tính nhận một gói ICMP có kích thước dữ liệu quá lớn, nó có thể bị crash. Kiểu tấn công này rất thường gặp trong các hệ điều hành Windows NT trở xuống. Đối với các hệ điều hành đời mới thì việc tấn công này trở nên khó khăn hơn. Tuy nhiên đôi khi các lỗi này vẫn xuất hiện trong các gói phần mềm. Điển hình như Windows IIS Web Server – ‘Ping of Death’ exploit (CVE-2015-1635) trên các máy chủ Windows 7, Windows Server 2008 R2, Windows 8, Windows Server 2012, Windows 8.1 và Windows Server 2012 R2 sử dụng IIS Web Server.

    Đây là 1 kiểu tấn công khá nguy hiểm vào những năm 1996 nhưng ngày nay thì nó không thực sự hiệu quả. Hầu hết các ISP chặn được gói tin ICMP hoặc gói tin ping ngay tại tường lửa. Tuy nhiên, có rất nhiều hình thức khác của cuộc tấn công này nhằm vào đích là các phần cứng hoặc 1 ứng dụng duy nhất. Đôi lúc nó còn được gọi với những cái tên khác như:”Teardrop”, “Bonk”, và “Boink”.

    3.4. Reflected Attack

    Reflected Attack hay còn gọi là tấn công ánh xạ được thực hiên bằng cách gửi càng nhiều gói tin với địa chỉ giả mạo đến càng nhiều máy tính càng tốt. Các máy tính nhận được các gói tin sẽ trả lời, nhưng tin trả lời này tới địa chỉ nạn nhân bị giả mạo. Tất nhiên các máy tính này sẽ cố gắng trả lời ngay lập tức làm trang web bị ngập lụt đến khi tài nguyên máy chủ bị cạn kiệt

    3.5. Peer-to-Peer Attacks

    tan-cong-ddos-2

    Peer-to-Peer là kết nối mạng ngang hàng, nó tạo cơ hội cho kẻ tấn công. Lý do là thay vì dựa vào một máy chủ trung tâm, một peer sẽ phát trực tiếp một truy vấn vào mạng, và bất cứ ai có nguồn lực được mong muốn sẽ đáp ứng. Thay vì sử dụng một máy chủ để đẩy lưu lượng đến đích, máy  peer-to-peer được khai thác để định tuyến lưu lượng đến đích. Khi được thực hiện thành công, hacker sử dụng file-sharing sẽ được gửi đến mục tiêu (Target) cho đến khi mục tiêu bị quá tải, ngập lụt và ngừng kết nối.

    3.6. Nuke

    Các gói tin ICMP độc hại và phân mảnh được gửi qua Ping. Nó đã được sửa đổi để các gói tin này đến đích. Cuối cùng máy tính nạn nhân sẽ gián đoạn hoạt động. Cuộc tấn công này tập trung chủ yếu vào mạng máy tính và thuộc loại cuộc tấn công từ chối dịch vụ kiểu cũ.

    3.7. Slowloris

    Loại tấn công từ chối dịch vụ phân tán náy rất khó để phát hiện và hạn chế. Sự việc đáng chú ý nhất là vụ tấn công trong cuộc bầu cử tổng thống Iran năm 2009. Loại tấn công này có kĩ thuật tương tự như SYN flood (tạo nửa kết nối để làm cạn kiệt tài nguyên máy chủ) nhưng diễn ra ở lớp HTTP (lớp ứng dụng). Để tấn công, tin tặc gửi yêu cầu HTTP đến máy chủ, nhưng không gửi toàn bộ yêu cầu, mà chỉ gửi một phần (và bổ sung nhỏ giọt, để khỏi bị ngắt kết nối). Với hàng trăm kết nối như vậy, tin tặc chỉ tốn rất ít tài nguyên, nhưng đủ để làm treo máy chủ, không thể tiếp nhận các kết nối từ người dùng hợp lệ.

    3.8. Degradation of Service Attacks

    Degradation of Service Attacks hay còn gọi là tấn công làm suy giảm dịch vụ. Mục đích của cuộc tấn công này là làm chậm thời gian đáp ứng của máy chủ. Thông thường, một cuộc tấn công DDoS nhằm mục đích khiến trang web hoặc máy chủ không thể thực hiện tác vụ thông thường. Tuy nhiên, mục tiêu của kiểu tấn công này là để làm chậm thời gian phản hồi xuống mức hầu hết mọi người không thể sử dụng được trang web.

    Máy tính Zombie được sử dụng để làm tràn máy tính mục tiêu với lưu lượng truy cập độc hại. Nó sẽ gây ra các vấn đề về hiệu suất và thời gian tải trang. Những loại tấn công này có thể khó phát hiện vì mục tiêu của chúng để làm giảm hiệu suất. Chúng thường bị lẫn lộn với sự gia tăng lưu lượng sử dụng website.

    3.9. Unintentional DDoS

    Unintentional DDoS hay còn gọi là sự gia tăng không chủ ý. Nó xảy ra khi có sự tăng đột biến trong lưu lượng web, khiến máy chủ không thể xử lý tất cả các yêu cầu đến. Càng nhiều lưu lượng truy cập xảy ra, càng nhiều tài nguyên được sử dụng. Điều này khiến thời gian tải trang hết hạn. Cuối cùng, server sẽ không phản hồi và ngừng kết nối.

    Xem thêm: Giải pháp bảo mật thông tin và dữ liệu hiệu quả

    3.10. Application Level Attacks

    Application level attacks nhắm vào mục tiêu là các ứng dụng có nhiều lỗ hổng. Thay vì cố gắng lụt toàn bộ máy chủ, tin tặc sẽ tập trung tấn công vào một hoặc một vài ứng dụng. Các ứng dụng email dựa trên web, WordPress, Joomla và phần mềm diễn đàn là những ví dụ điển hình về các mục tiêu cụ thể của ứng dụng.

    3.11. Multi-Vector Attacks

    Multi-Vector Attacks là hình thức phức tạp nhất trong các cuộc tấn công DDoS. Thay vì sử dụng một phương pháp đơn lẻ, nó là một sự kết hợp của nhiều công cụ và chiến lược khác nhau để lụt mục tiêu và làm ngừng kết nối. Thông thường, các Multi-Vector Attacks tấn công các ứng dụng cụ thể trên server mục tiêu cũng như làm tràn mục tiêu với một lượng lớn lưu lượng độc hại. Những kiểu tấn công DDoS kiểu này rất khó để ngăn chặn và hạn chế. Bởi nó là tổng hợp của các hình thức khác nhau và nhắm mục tiêu với nguồn lực khác nhau cùng một lúc.

    3.12. Zero Day DDoS

    Cuộc tấn công dựa vào Zero Day chỉ đơn giản là một phương pháp tấn công mà chưa có bản vá hoặc chưa được ghi nhận trước đây. Đây là thuật ngữ chung được sử dụng để mô tả các lỗ hổng mới và cách khai thác mới.

    4. Dấu hiệu nhận biết một cuộc tấn công DDoS

    Doanh nghiệp có thể nhận biết và phát hiện một cuộc tấn công DDoS qua những dấu hiệu sau:

    • Khi mở file hoặc truy cập trang web, mạng chậm một cách bất thường.
    • Không thể truy cập vào một trang bất kỳ của trang web.
    • Không thể truy cập vào nhiều website khác.
    • Xuất hiện quá nhiều thư rác trong tài khoản.

    5. Hậu quả của tấn công DDoS

    Tấn công DDoS có thể gây ra những hậu quả vô cùng khó lường.

    • Làm gián đoạn hoạt động của trang web, ảnh hưởng tiêu cực đến trải nghiệm của khách hàng.
    • Làm giảm doanh thu đồng thời khiến doanh nghiệp mất thêm chi phí khắc phục.
    • Tác động xấu đến hình ảnh và uy tín của doanh nghiệp.

    6. Cách xử lý khi bị tấn công DDoS

    Nếu doanh nghiệp của bạn không có nhân sự chuyên về an ninh mạng, hãy liên hệ với các chuyên gia hoặc nhà cung cấp dịch vụ để được hỗ trợ.

    6.1. Liên hệ nhà cung cấp Internet (ISP) 

    Trong trường hợp trang web không thể truy cập được, hãy liên hệ ngay nhà cung cấp dịch vụ Internet ISP. Họ sẽ phân tích vấn đề, tìm ra nguyên nhân và đưa ra cách xử lý phù hợp.

    6.2. Liên hệ đơn vị cung cấp hosting

    Đơn vị cung cấp hosting là người vận hành máy chủ. Khi biết máy chủ bị tấn công, họ sẽ tạo “black hole” để hút các traffic cho đến khi nó tự dừng lại. Sau đó, họ sẽ reroute lại toàn bộ lưu lượng truy cập và cho phép các yêu cầu hợp lệ truy cập bình thường.

    6.3. Liên hệ chuyên gia bảo mật 

    Nếu nhận thấy cuộc tấn công ở mức độ rất nghiêm trọng, doanh nghiệp nên tìm sự hỗ trợ từ các chuyên gia bảo mật. Thông thường, họ sẽ có những máy chủ có thể điều hướng lưu lượng truy cập và loại bỏ các lưu lượng không hợp lệ. Họ cũng có chuyên môn cao để nghiên cứu sâu vấn đề và gợi ý những giải pháp thiết thực nhất.

    7. Cách phòng tránh các cuộc tấn công DDoS

    Rất khó để ngăn chặn hoàn toàn các cuộc tấn công DDOS. Tuy nhiên, doanh nghiệp vẫn có thể giảm thiểu tối đa rủi ro bị tấn công DDoS bằng cách thực hiện những biện pháp dưới đây.

    • Sử dụng phần mềm antivirus.
    • Cài đặt tường lửa, trong đó giới hạn lưu lượng đến và đi từ các máy tính đang sử dụng.
    • Giới hạn lưu lượng truy cập vào trang web. Việc này sẽ làm chậm quá trình tấn công của tin tặc.
    • Thường xuyên theo dõi lưu lượng truy cập của trang web. Nếu thấy lượng truy cập tăng đột biến, cần phải xử lý ngay. Đó chính là dấu hiệu của một cuộc tấn công DDoS.
    • Sử dụng các bộ lọc email để quản lý các lưu lượng không mong muốn.

    Có thể thấy, tấn công DDoS tác động tiêu cực đến hoạt động chung của toàn bộ doanh nghiệp. Chính vì vậy, doanh nghiệp cần chuẩn bị sẵn các phương án phòng tránh để hạn chế tối đa rủi ro tấn công DDoS xảy ra.

    Nếu doanh nghiệp cần tư vấn về cách phòng chống tấn công DDoS, hãy đăng ký tại form bên dưới.

    Bài viết đề xuất || Recommended
    Hệ thống mạng tại nhiều cơ quan chính phủ, ngân hàng, tổ chức tài chính tại Ukraine bị tấn công từ chối dịch vụ (DDoS) và nhiễm mã độc xóa dữ...
    Số liệu thống kê cho thấy xu hướng gia tăng sự cố tấn công mạng vào các hệ thống thông tin tại Việt Nam trong bối cảnh các cơ quan, đơn vị thúc đẩy...
    Nhiều công ty dầu mỏ ở châu Âu như Oiltanking (Đức), SEA-Invest (Bỉ) và Evos (Hà Lan) đang phải tạm ngưng hoạt động do bị tin tặc tấn công mạng.  1. Chi...