Tấn công từ chối dịch vụ DDoS ngày càng trở lên phổ biến và là nỗi ác mộng đối với các tổ chức, doanh nghiệp . Các cuộc tấn công DDoS thường được thực hiện bởi hackers có tổ chức nhằm khủng bố không gian mạng, mục đích kiếm tiền hay đơn giản chỉ để cho vui.
1.Tìm hiểu về tấn công từ chối dịch vụ (DDos)
Việc từ chối dịch vụ xảy ra khi số lượng yêu cầu truy cập quá lớn, máy chủ sẽ quá tải và không còn khả năng xử lý. Các cuộc tấn công thường được hoạt động theo cùng một con đường trừ một vài trường hợp đặc biệt. Các cuộc tấn công thường khuếch đại các kết nối từ máy tính khác vào máy của nạn nhân. Hầu hết các cuộc tấn công DDoS quy mô lớn đều dựa vào botnet.
Theo ghi nhận vào năm 2016, Trung Quốc, Mỹ và Anh là những quốc gia hàng đầu bị ảnh hưởng bởi các cuộc tấn công DDos, trong đó Trung Quốc chiếm 30%, Mỹ là 22% và Anh là 16%. Việt Nam cũng nằm trong danh sách những quốc gia hứng chịu nhiều cuộc tấn công DDos với tỷ lệ 4%.Tấn công DDoS nhiều khi được sử dụng để che dấu cuộc tấn công mạng phía sau. Trong khi trang web đang bị tấn công, đội ngũ nhân lực về an ninh mạng bên trong và bên ngoài thường tập trung vào việc ngắt các trang web này, làm sạch lưu lượng và cho nó hoạt động trở lại. Những nỗ lực to lớn này lại mang lại một cơ hội to lớn cho một chuỗi tấn công ẩn ở cổng sau (back door) và chèn vào các công cụ SQL. Như vậy, tấn công DDoS chỉ là màn chắn cho các hoạt động bất thường này mà thôi.Dưới đây là 1 số hình thức tấn công DDoS phổ biến.
1. UDP Flood
UDP (User Datagram Protocol) là một giao thức kết nối không tin cậy. Một cuộc tấn công UDP có thể được bắt đầu bằng cách gửi một số lượng lớn các gói tin UDP tới cổng ngẫu nhiên trên một máy chủ từ xa và kết quả là các máy chủ ở xa sẽ :
- Kiểm tra các ứng dụng với cổng;
- Thấy rằng không có ứng dụng nghe ở cổng;
- Trả lời với một ICMP Destination Unreachable gói.
Như vậy, hệ thống nạn nhân sẽ bị buộc nhận nhiều gói tin ICMP, dẫn đến mất khả năng xử lý các yêu cầu của các khách hàng thông thường. Những kẻ tấn công cũng có thể giả mạo địa chỉ IP của gói tin UDP, đảm bảo rằng ICMP gói trở lại quá mức không tiếp cận họ, và nặc danh hóa vị trí mạng của họ. Hầu hết các hệ điều hành sẽ giảm nhẹ một phần của cuộc tấn công bằng cách hạn chế tốc độ phản ứng ICMP được gửi đi.
2. SYN Flood
Kiểu tấn công TCP SYN flood là một kiểu tấn công trực tiếp vào máy chủ bằng cách tạo ra một số lượng lớn các kết nối TCP nhưng không hoàn thành các kết nối này.
- Đầu tiên các khách hàng gửi gói tin yêu cầu SYN với số thứ tự x đến các máy chủ.
- Các máy chủ đáp ứng bằng cách gửi một thông báo nhận (ACK – SYN) . Với cờ SYN = y và cờ ACK = x + 1 .
- Khi khách hàng nhận được, khách hàng sẽ gửi một thông báo nhận (ACK) với cờ y + 1.
SYN Flood là một loại tấn công website bằng DDOS. Ở đây, kẻ tấn công gửi các yêu cầu SYN vĩnh viễn để ăn tài nguyên máy chủ nhiều nhất có thể. Hacker không bao giờ trả lời SYN-ACK hoặc thậm chí nếu nó trả lời nó sử dụng một địa chỉ IP giả. Vì vậy, các máy chủ không bao giờ nhận được các gói tin trả lời thậm chí chờ đợi cho đến khi hết thời gian chờ.
3. Ping of Death
Đây cũng là một kiểu tấn công khá dễ hiểu. Khi một máy tính nhận một gói ICMP có kích thước dữ liệu quá lớn, nó có thể bị crash. Kiểu tấn công này rất thường gặp trong các hệ điều hành Windows NT trở xuống. Đối với các hệ điều hành đời mới thì việc tấn công này trở nên khó khăn hơn. Tuy nhiên đôi khi các lỗi này vẫn xuất hiện trong các gói phần mềm. Điển hình như Windows IIS Web Server – ‘Ping of Death’ exploit (CVE-2015-1635) trên các máy chủ Windows 7, Windows Server 2008 R2, Windows 8, Windows Server 2012, Windows 8.1 và Windows Server 2012 R2 sử dụng IIS Web Server.
Đây là 1 kiểu tấn công khá nguy hiểm vào những năm 1996 nhưng ngày nay thì nó không thực sự hiệu quả. Hầu hết các ISP chặn được gói tin ICMP hoặc gói tin ping ngay tại tường lửa. Tuy nhiên, có rất nhiều hình thức khác của cuộc tấn công này nhằm vào đích là các phần cứng hoặc 1 ứng dụng duy nhất. Đôi lúc nó còn được gọi với những cái tên khác như:”Teardrop”, “Bonk”, và “Boink”.
4. Reflected Attack
Reflected Attack hay còn gọi là tấn công ánh xạ được thực hiên bằng cách gửi càng nhiều gói tin với địa chỉ giả mạo đến càng nhiều máy tính càng tốt. Các máy tính nhận được các gói tin sẽ trả lời, nhưng tin trả lời này tới địa chỉ nạn nhân bị giả mạo. Tất nhiên các máy tính này sẽ cố gắng trả lời ngay lập tức làm trang web bị ngập lụt đến khi tài nguyên máy chủ bị cạn kiệt.
5. Peer-to-Peer Attacks
6. Nuke
7. Slowloris
Loại tấn công từ chối dịch vụ phân tán náy rất khó để phát hiện và hạn chế. Sự việc đáng chú ý nhất là vụ tấn công trong cuộc bầu cử tổng thống Iran năm 2009. Loại tấn công này có kĩ thuật tương tự như SYN flood (tạo nửa kết nối để làm cạn kiệt tài nguyên máy chủ) nhưng diễn ra ở lớp HTTP (lớp ứng dụng). Để tấn công, tin tặc gửi yêu cầu HTTP đến máy chủ, nhưng không gửi toàn bộ yêu cầu, mà chỉ gửi một phần (và bổ sung nhỏ giọt, để khỏi bị ngắt kết nối). Với hàng trăm kết nối như vậy, tin tặc chỉ tốn rất ít tài nguyên, nhưng đủ để làm treo máy chủ, không thể tiếp nhận các kết nối từ người dùng hợp lệ.
8. Degradation of Service Attacks
9. Unintentional DDoS
10. Application Level Attacks
11. Multi-Vector Attacks
12. Zero Day DDoS
Cuộc tấn công dựa vào “Zero Day” chỉ đơn giản là một phương pháp tấn công mà chưa có bản vá hoặc chưa được ghi nhận trước đây. Đây là thuật ngữ chung được sử dụng để mô tả các lỗ hổng mới và cách khai thác mới .
Như bạn thấy, các loại tấn công DDoS sẽ khác nhau, nhưng tất cả đều có thể ảnh hưởng đến hiệu suất trang web của bạn. Chính vì vậy, các tổ chức và các nhà bán lẻ trực tuyến cần phải phải hiểu và lường trước những rủi ro có thể xảy ra. Qua đó có thể giảm thiểu những nguy cơ và khôi phục hệ thống một cách nhanh chóng.