Tấn công DDoS là gì? Các loại tấn công DDoS phổ biến

Các cuộc tấn công DDoS là mối quan tâm chính trong bảo mật Internet ngày nay. Đối với các anh em tiếp xúc thường xuyên với internet trong kỉ nguyên công nghệ hiện nay thì việc thấy thuật ngữ DOS và DDOS không còn quá xa lạ. Hãy cùng SEMTEK khám phá chi tiết về cách thức hoạt động của các cuộc tấn công DDoS và giải pháp để ngăn chặn.

Tấn công DDoS là gì?

1. Định nghĩa tấn công DDoS

Một cuộc tấn công từ chối dịch vụ phân tán (DDoS) là một nỗ lực độc hại nhằm phá vỡ lưu lượng truy cập bình thường của máy chủ, dịch vụ hoặc mạng được nhắm mục tiêu bằng cách áp đảo mục tiêu hoặc cơ sở hạ tầng xung quanh với lưu lượng truy cập Internet. Các cuộc tấn công DDoS đạt được hiệu quả bằng cách sử dụng nhiều hệ thống máy tính bị xâm nhập làm nguồn lưu lượng tấn công.

Các máy được khai thác có thể bao gồm máy tính và các tài nguyên được nối mạng khác như thiết bị IoT. Một ví dụ trực quan, cuộc tấn công DDoS giống như việc cố gắng làm tắc nghẽn đường cao tốc, ngăn chặn lưu lượng truy cập thường xuyên đến đích mong muốn.

tấn công ddos

2. Một cuộc tấn công DDoS hoạt động như thế nào?

Một cuộc tấn công DDoS yêu cầu kẻ tấn công giành quyền kiểm soát mạng lưới các máy trực tuyến để thực hiện một cuộc tấn công. Máy tính và các máy khác (như thiết bị IoT) bị nhiễm phần mềm độc hại, biến chúng thành bot (hoặc zombie). Kẻ tấn công sau đó có quyền điều khiển từ xa đối với nhóm bot, được gọi là botnet.

Khi botnet đã được thiết lập, kẻ tấn công có thể điều khiển các máy bằng cách gửi các hướng dẫn cập nhật tới từng bot thông qua một phương pháp điều khiển từ xa. Khi địa chỉ IP của nạn nhân bị botnet nhắm mục tiêu, mỗi bot sẽ phản hồi bằng cách gửi yêu cầu đến mục tiêu.

Có khả năng khiến máy chủ hoặc mạng được nhắm mục tiêu tràn dung lượng, dẫn đến việc từ chối dịch vụ đối với lưu lượng truy cập bình thường. Bởi vì mỗi bot là một thiết bị Internet hợp pháp, việc tách lưu lượng tấn công khỏi lưu lượng thông thường là rất khó khăn.

 Các loại tấn công DDoS phổ biến là gì?

Các vectơ tấn công DDoS khác nhau nhắm vào các thành phần khác nhau của kết nối mạng. Để hiểu cách thức các cuộc tấn công DDoS khác nhau hoạt động, cần phải biết cách kết nối mạng được thực hiện. Một kết nối mạng trên Internet bao gồm nhiều thành phần khác nhau hoặc các lớp (layers) khác nhau. Giống như xây dựng một ngôi nhà từ mặt đất lên, mỗi bước trong mô hình có một mục đích khác nhau. Mô hình OSI (phí bên dưới), là một khung khái niệm được sử dụng để mô tả kết nối mạng trong 7 lớp riêng biệt.

1. UDP Flood

UDP (User Datagram Protocol) là một giao thức kết nối không tin cậy. Một cuộc tấn công gây ngập lụt UDP có thể được bắt đầu bằng cách gửi một số lượng lớn các gói tin UDP tới cổng ngẫu nhiên trên một máy chủ từ xa và kết quả là các máy chủ ở xa sẽ:

• Kiểm tra các ứng dụng với cổng;
• Thấy rằng không có ứng dụng nghe ở cổng;
• Trả lời với một ICMP Destination Unreachable gói.

Như vậy, hệ thống nạn nhân sẽ bị buộc nhận nhiều gói tin ICMP, dẫn đến mất khả năng xử lý các yêu cầu của các khách hàng thông thường. Những kẻ tấn công cũng có thể giả mạo địa chỉ IP của gói tin UDP, đảm bảo rằng ICMP gói trở lại quá mức không tiếp cận họ, và nặc danh hóa vị trí mạng của họ. Hầu hết các hệ điều hành sẽ giảm nhẹ một phần của cuộc tấn công bằng cách hạn chế tốc độ phản ứng ICMP được gửi đi.

2. SYN Flood

Kiểu tấn công TCP SYN flood là một kiểu tấn công trực tiếp vào máy chủ bằng cách tạo ra một số lượng lớn các kết nối TCP nhưng không hoàn thành các kết nối này.

Một người dùng bình thường kết nối tới máy chủ ban đầu thực hiện Request TCP SYN và lúc này máy chủ không còn khả năng đáp lại – kết nối không được thực hiện.

Đầu tiên các khách hàng gửi gói tin yêu cầu SYN với số thứ tự x đến các máy chủ.

Các máy chủ đáp ứng bằng cách gửi một thông báo nhận (ACK – SYN) . Với cờ SYN =  y và cờ  ACK = x + 1 .

Khi khách hàng nhận được, khách hàng sẽ gửi một thông báo nhận (ACK) với cờ  y + 1.

SYN Flood là một loại tấn công website bằng DDOS. Ở đây, kẻ tấn công gửi các yêu cầu SYN vĩnh viễn để ăn tài nguyên máy chủ nhiều nhất có thể. Hacker không bao giờ trả lời SYN-ACK hoặc thậm chí nếu nó trả lời nó sử dụng một địa chỉ IP giả. Vì vậy, các máy chủ không bao giờ nhận được các gói tin trả lời thậm chí chờ đợi cho đến khi hết thời gian chờ.

3. Dạng tấn công DDoS – Ping of Death

Đây cũng là một kiểu tấn công khá dễ hiểu. Khi một máy tính nhận một gói ICMP có kích thước dữ liệu quá lớn, nó có thể bị crash. Kiểu tấn công này rất thường gặp trong các hệ điều hành Windows NT trở xuống. Đối với các hệ điều hành đời mới thì việc tấn công này trở nên khó khăn hơn. Tuy nhiên đôi khi các lỗi này vẫn xuất hiện trong các gói phần mềm.

Điển hình như Windows IIS Web Server – ‘Ping of Death’ exploit (CVE-2015-1635) trên các máy chủ Windows 7, Windows Server 2008 R2, Windows 8, Windows Server 2012, Windows 8.1 và Windows Server 2012 R2 sử dụng IIS Web Server.

Đây là 1 kiểu tấn công khá nguy hiểm vào những năm 1996 nhưng ngày nay thì nó không thực sự hiệu quả. Hầu hết các ISP chặn được gói tin ICMP hoặc gói tin ping ngay tại tường lửa. Tuy nhiên, có rất nhiều hình thức khác của cuộc tấn công này nhằm vào đích là các phần cứng hoặc 1 ứng dụng duy nhất. Đôi lúc nó còn được gọi với những cái tên khác như:”Teardrop”, “Bonk”, và “Boink”

4. Reflected Attack

Reflected Attack hay còn gọi là tấn công ánh xạ được thực hiên bằng cách gửi càng nhiều gói tin với địa chỉ giả mạo đến càng nhiều máy tính càng tốt. Các máy tính nhận được các gói tin sẽ trả lời, nhưng tin trả lời này tới địa chỉ nạn nhân bị giả mạo. Tất nhiên các máy tính này sẽ cố gắng trả lời ngay lập tức làm trang web bị ngập lụt đến khi tài nguyên máy chủ bị cạn kiệt

5. Peer-to-Peer Attacks

Mô hình tấn công ddos máy chủ thư mục tập chung

Peer-to-Peer là kết nối mạng ngang hàng, nó tạo cơ hội cho kẻ tấn công. Lý do là thay vì dựa vào một máy chủ trung tâm, một peer sẽ phát trực tiếp một truy vấn vào mạng, và bất cứ ai có nguồn lực được mong muốn sẽ đáp ứng.

Thay vì sử dụng một máy chủ để đẩy lưu lượng đến đích, máy  peer-to-peer được khai thác để định tuyến lưu lượng đến đích. Khi được thực hiện thành công, hacker sử dụng file-sharing sẽ được gửi đến mục tiêu (Target) cho đến khi mục tiêu bị quá tải, ngập lụt và ngừng kết nối.

tấn công ddos

6. Nuke

Các gói tin ICMP độc hại và phân mảnh được gửi qua Ping . Nó đã được sửa đổi để các gói tin này đến đích. Cuối cùng máy tính nạn nhân sẽ gián đoạn hoạt động. Cuộc tấn công này tập trung chủ yếu vào mạng máy tính và thuộc loại cuộc tấn công từ chối dịch vụ kiểu cũ.

7. Slowloris

Loại tấn công từ chối dịch vụ phân tán náy rất khó để phát hiện và hạn chế. Sự việc đáng chú ý nhất là vụ tấn công trong cuộc bầu cử tổng thống Iran năm 2009.

Loại tấn công này có kĩ thuật tương tự như SYN flood (tạo nửa kết nối để làm cạn kiệt tài nguyên máy chủ) nhưng diễn ra ở lớp HTTP (lớp ứng dụng). Để tấn công, tin tặc gửi yêu cầu HTTP đến máy chủ.

Nhưng không gửi toàn bộ yêu cầu, mà chỉ gửi một phần (và bổ sung nhỏ giọt, để khỏi bị ngắt kết nối). Với hàng trăm kết nối như vậy, tin tặc chỉ tốn rất ít tài nguyên, nhưng đủ để làm treo máy chủ, không thể tiếp nhận các kết nối từ người dùng hợp lệ.

8. Degradation of Service Attacks

Degradation of Service Attacks hay còn gọi là tấn công làm suy giảm dịch vụ. Mục đích của cuộc tấn công này là làm chậm thời gian đáp ứng của máy chủ. Thông thường một cuộc tấn công DDoS nhằm mục đích khiến trang web hoặc máy chủ không thể thực hiện tác vụ thông thường. Nhưng mục tiêu của kiểu tấn công này là để làm chậm thời gian phản hồi xuống mức hầu hết mọi người không thể sử dụng được trang web.

Máy tính Zombie được sử dụng để làm tràn máy tính mục tiêu với lưu lượng truy cập độc hại, nó sẽ gây ra các vấn đề về hiệu suất và thời gian tải trang. Những loại tấn công này có thể khó phát hiện vì mục tiêu không phải là để đưa trang web ngừng kết nối, nhưng để làm giảm hiệu suất. Chúng thường bị lẫn lộn với sự gia tăng lưu lượng sử dụng website.

9. Unintentional DDoS

Unintentional DDoS hay còn gọi là sự gia tăng không chủ ý . Nó xảy ra khi có sự tăng đột biến trong lưu lượng web khiến máy chủ không thể xử lý tất cả các yêu cầu đến. Càng nhiều lưu lượng truy cập xảy ra, càng nhiều tài nguyên được sử dụng. Điều này khiến thời gian tải trang hết hạn và cuối cùng server sẽ không phản hồi và ngừng kết nối.

10. Application Level Attacks

Application level attacks nhằm vào mục tiêu là các ứng dụng có nhiều lỗ hổng. Thay vì cố gắng lụt toàn bộ máy chủ, một kẻ tấn công sẽ tập trung tấn công vào một hoặc một vài ứng dụng. Các ứng dụng email dựa trên web, WordPress, Joomla và phần mềm diễn đàn là những ví dụ điển hình về các mục tiêu cụ thể của ứng dụng.

11. Multi-Vector Attacks

Multi-Vector Attacks là hình thức phức tạp nhất trong các cuộc tấn công từ chối dịch vụ phân tán (DDoS). Thay vì sử dụng một phương pháp đơn lẻ, nó là một sự kết hợp của nhiều công cụ và chiến lược khác nhau để lụt mục tiêu và làm ngừng kết nối.

Thông thường, các Multi-Vector Attacks tấn công các ứng dụng cụ thể trên server mục tiêu cũng như làm tràn mục tiêu với một lượng lớn lưu lượng độc hại. Những kiểu tấn công DDoS kiểu này rất khó để ngăn chặn và hạn chế vì nó là tổng hợp của các hình thức khác nhau và nhắm mục tiêu với nguồn lực khác nhau cùng một lúc.

12.  Zero Day DDoS

Cuộc tấn công dựa vào “Zero Day” chỉ đơn giản là một phương pháp tấn công mà chưa có bản vá hoặc chưa được ghi nhận trước đây. Đây là thuật ngữ chung được sử dụng để mô tả các lỗ hổng mới và cách khai thác mới .

Quá trình để giảm thiểu một cuộc tấn công DDoS là gì?

Giảm thiểu một cuộc tấn công DDoS đa vector đòi hỏi nhiều chiến lược khác nhau để chống lại các quỹ đạo khác nhau. Nói chung, cuộc tấn công càng phức tạp, càng có nhiều khả năng giao thông sẽ khó tách khỏi lưu lượng  – mục tiêu của kẻ tấn công là hòa trộn càng nhiều càng tốt. Nếu bạn giảm thiểu bằng cách giảm hoặc hạn chế traffic một cách bừa bãi có thể khiến những traffic tốt bị chặn lại và kẻ tấn công có thể sửa đổi và thích ứng. Bạn cần một giải pháp với nhiều lớp để mang lại lợi ích cao nhất.

tấn công ddos

1. Định tuyến hố đen giảm thiểu tấn công DDoS

Một giải pháp khả dụng cho hầu hết tất cả các quản trị viên mạng là tạo tuyến đường lỗ đen và chuyển traffic vào tuyến đường đó. Ở dạng đơn giản nhất, khi lọc lỗ đen được triển khai mà không có tiêu chí hạn chế cụ thể, cả lưu lượng truy cập mạng hợp pháp và độc hại được chuyển đến tuyến đường rỗng hoặc lỗ đen và bị loại khỏi mạng. Nếu một tài sản Internet đang gặp phải một cuộc tấn công DDoS, nhà cung cấp dịch vụ Internet (ISP) thuộc tính có thể gửi tất cả lưu lượng truy cập của trang web vào một lỗ đen như một sự bảo vệ.

2. Giới hạn tỷ lệ

Giới hạn số lượng yêu cầu mà máy chủ sẽ chấp nhận trong một cửa sổ thời gian nhất định cũng là một cách để giảm thiểu các cuộc tấn công từ chối dịch vụ. Mặc dù giới hạn tốc độ rất hữu ích trong việc làm chậm các kẻ tấn công web khỏi ăn cắp nội dung và để giảm thiểu các nỗ lực đăng nhập brute force, nhưng một mình nó sẽ không đủ khả năng để xử lý một cuộc tấn công DDoS phức tạp một cách hiệu quả. Tuy nhiên, giới hạn tỷ lệ là một thành phần hữu ích trong chiến lược giảm thiểu DDoS hiệu quả.

3. Tường lửa ứng dụng web (Web Application Firewall)

Tường lửa ứng dụng web (WAF) là một công cụ có thể hỗ trợ giảm thiểu tấn công DDoS lớp 7. Bằng cách đặt WAF giữa Internet và máy chủ gốc, WAF có thể hoạt động như một proxy ngược, bảo vệ máy chủ được nhắm mục tiêu khỏi một số loại lưu lượng độc hại. Bằng cách lọc các yêu cầu dựa trên một loạt các quy tắc được sử dụng để xác định các công cụ DDoS, các cuộc tấn công lớp 7 có thể bị cản trở. Một giá trị quan trọng của WAF hiệu quả là khả năng thực hiện nhanh chóng các quy tắc tùy chỉnh để đáp ứng với một cuộc tấn công.

4. Anycast Network Diffusion

Cách tiếp cận giảm thiểu này sử dụng mạng Anycast để phân tán lưu lượng tấn công qua mạng của các máy chủ phân tán đến điểm lưu lượng được mạng hấp thụ. Giống như chuyển một dòng sông ào ạt xuống các kênh nhỏ hơn, cách tiếp cận này lan truyền tác động của lưu lượng tấn công phân tán đến điểm có thể quản lý được, khuếch tán bất kỳ khả năng gây rối nào. Độ tin cậy của mạng Anycast để giảm thiểu cuộc tấn công DDoS phụ thuộc vào quy mô của cuộc tấn công và hiệu quả của mạng.

Tìm kiếm liên quan đến tấn công ddos

• giả lập tấn công ddos
• virus tấn công ddos
• tấn công ddos website
• ngăn chặn tấn công ddos
• thiết bị chống tấn công ddos
• cách phát hiện tấn công ddos
• mục tiêu của tấn công ddos

Nội dung liên quan:

• 21 công cụ hỗ trợ seo youtube để tăng thứ hạng video của bạn
• Những yếu tố quan trọng trong lập kế hoạch công việc bằng excel
• Vai trò của cạnh tranh là gì? Có bao nhiêu loại hình cạnh tranh hiện nay?