Tấn công DDOS website là gì?
Câu hỏi
Tấn công DDOS có nguy hiểm không? Mình nghe nói nhiều trên báo chí về các website bị tấn công bằng phương thức DDOS từ các hacker, kể cả các website lớn cũng bị. Vậy tấn công DDOS là như thế nào?
trong tiến trình
0
Máy tính & Internet
5 năm
2018-11-19T16:28:51+07:00
2018-11-19T16:28:51+07:00 1 Trả lời
552 lượt xem
0
Trả lời ( 1 )
DDOS là viết tắt của Distributed Denial of Service, nghĩa là Tấn công từ chối dịch vụ phân tán. Còn DOS (Denial of Service) là Tấn công từ chối dịch vụ. DDOS là một nỗ lực làm cho những người dùng không thể sử dụng tài nguyên của một máy tính. Mặc dù phương tiện để tiến hành, động cơ, mục tiêu của tấn công từ chối dịch vụ có thể khác nhau, nhưng nói chung nó gồm có sự phối hợp, sự cố gắng ác ý của một người hay nhiều người để một trang, hay hệ thống mạng không thể sử dụng, làm gián đoạn, hoặc làm cho hệ thống đó chậm đi một cách đáng kể với người dùng bình thường, bằng cách làm quá tải tài nguyên của hệ thống. Thủ phạm tấn công từ chối dịch vụ thường nhắm vào các trang mạng hay server tiêu biểu như ngân hàng, cổng thanh toán thẻ tín dụng và thậm chí DNS root servers. Tấn công từ chối dịch vụ là sự vi phạm chính sách sử dụng internet của IAB (Internet Architecture Board) và những người tấn công hiển nhiên vi phạm luật dân sự. (Theo Wikipedia).
DDOS có làm máy tính “tạch” không?
Câu trả lời là CÓ. Bởi khi máy tính bị DDOS luôn trong tình trạng quá tải, CPU hoạt động hết công suất. Nhiệt độ của máy luôn cao sẽ làm giảm tuổi thọ, có khả năng tự khởi động lại hoặc là cháy nguồn, cháy router,… Về mặt thiệt hại vật lý là rất rõ.
Website có lượng băng thông (bandwidth) hạn chế bị DDOS trong thời gian ngắn là hết băng thông, nên website cũng sẽ không truy cập được.
Số lượng máy tấn công gọi là botnet, hacker sẽ tìm mọi cách để có botnet mạnh và nhiều để phục vụ mục đích DDOS. Máy tính mà bị hacker điều khiển được gọi là zombie.
Có 12 loại tấn công DDOS phổ biến:
1. UDP (User Datagram Protocol) Flood: là một giao thức kết nối không tin cậy. Một cuộc tấn công gây ngập lụt UDP có thể được bắt đầu bằng cách gửi một số lượng lớn các gói tin UDP tới cổng ngẫu nhiên trên một máy chủ từ xa và kết quả là các máy chủ ở xa sẽ: Kiểm tra các ứng dụng với cổng; Thấy rằng không có ứng dụng nghe ở cổng; Trả lời với một ICMP Destination Unreachable gói. Như vậy, hệ thống nạn nhân sẽ bị buộc nhận nhiều gói tin ICMP, dẫn đến mất khả năng xử lý các yêu cầu của các khách hàng thông thường. Những kẻ tấn công cũng có thể giả mạo địa chỉ IP của gói tin UDP, đảm bảo rằng ICMP gói trở lại quá mức không tiếp cận họ, và nặc danh hóa vị trí mạng của họ. Hầu hết các hệ điều hành sẽ giảm nhẹ một phần của cuộc tấn công bằng cách hạn chế tốc độ phản ứng ICMP được gửi đi.
2. SYN Flood: là một kiểu tấn công trực tiếp vào máy chủ bằng cách tạo ra một số lượng lớn các kết nối TCP nhưng không hoàn thành các kết nối này. Một người dùng bình thường kết nối tới máy chủ ban đầu thực hiện Request TCP SYN và lúc này máy chủ không còn khả năng đáp lại – kết nối không được thực hiện. Đầu tiên các khách hàng gửi gói tin yêu cầu SYN với số thứ tự x đến các máy chủ. Các máy chủ đáp ứng bằng cách gửi một thông báo nhận (ACK – SYN). Với cờ SYN = y và cờ ACK = x + 1. Khi khách hàng nhận được, khách hàng sẽ gửi một thông báo nhận (ACK) với cờ y + 1.
3. Ping of Death: là một kiểu tấn công khá dễ hiểu. Khi một máy tính nhận một gói ICMP có kích thước dữ liệu quá lớn, nó có thể bị crash. Kiểu tấn công này rất thường gặp trong các hệ điều hành Windows NT trở xuống. Đối với các hệ điều hành đời mới thì việc tấn công này trở nên khó khăn hơn. Tuy nhiên đôi khi các lỗi này vẫn xuất hiện trong các gói phần mềm. Điển hình như Windows IIS Web Server – ‘Ping of Death’ exploit (CVE-2015-1635) trên các máy chủ Windows 7, Windows Server 2008 R2, Windows 8, Windows Server 2012, Windows 8.1 và Windows Server 2012 R2 sử dụng IIS Web Server.
4. Reflected Attack: hay còn gọi là tấn công ánh xạ được thực hiện bằng cách gửi càng nhiều gói tin với địa chỉ giả mạo đến càng nhiều máy tính càng tốt. Các máy tính nhận được các gói tin sẽ trả lời, nhưng tin trả lời này tới địa chỉ nạn nhân bị giả mạo. Tất nhiên các máy tính này sẽ cố gắng trả lời ngay lập tức làm trang web bị ngập lụt đến khi tài nguyên máy chủ bị cạn kiệt.
5. Peer-to-Peer Attacks: là kết nối mạng ngang hàng, nó tạo cơ hội cho kẻ tấn công. Lý do là thay vì dựa vào một máy chủ trung tâm, một peer sẽ phát trực tiếp một truy vấn vào mạng, và bất cứ ai có nguồn lực được mong muốn sẽ đáp ứng. Thay vì sử dụng một máy chủ để đẩy lưu lượng đến đích, máy peer-to-peer được khai thác để định tuyến lưu lượng đến đích. Khi được thực hiện thành công, hacker sử dụng file-sharing sẽ được gửi đến mục tiêu (target) cho đến khi mục tiêu bị quá tải, ngập lụt và ngừng kết nối.
6. Nuke: các gói tin ICMP độc hại và phân mảnh được gửi qua Ping . Nó đã được sửa đổi để các gói tin này đến đích. Cuối cùng máy tính nạn nhân sẽ gián đoạn hoạt động. Cuộc tấn công này tập trung chủ yếu vào mạng máy tính và thuộc loại cuộc tấn công từ chối dịch vụ kiểu cũ.
7. Slowloris: loại tấn công từ chối dịch vụ phân tán này rất khó để phát hiện và hạn chế. Sự việc đáng chú ý nhất là vụ tấn công trong cuộc bầu cử tổng thống Iran năm 2009. Loại tấn công này có kĩ thuật tương tự như SYN flood (tạo nửa kết nối để làm cạn kiệt tài nguyên máy chủ) nhưng diễn ra ở lớp HTTP (lớp ứng dụng). Để tấn công, tin tặc (hacker) gửi yêu cầu HTTP đến máy chủ, nhưng không gửi toàn bộ yêu cầu, mà chỉ gửi một phần (và bổ sung nhỏ giọt, để khỏi bị ngắt kết nối). Với hàng trăm kết nối như vậy, tin tặc chỉ tốn rất ít tài nguyên, nhưng đủ để làm treo máy chủ, không thể tiếp nhận các kết nối từ người dùng hợp lệ.
8. Degradation of Service Attacks: hay còn gọi là tấn công làm suy giảm dịch vụ. Mục đích của cuộc tấn công này là làm chậm thời gian đáp ứng của máy chủ. Thông thường một cuộc tấn công DDoS nhằm mục đích khiến trang web hoặc máy chủ không thể thực hiện tác vụ thông thường. Nhưng mục tiêu của kiểu tấn công này là để làm chậm thời gian phản hồi xuống mức hầu hết mọi người không thể sử dụng được trang web. Máy tính Zombie được sử dụng để làm tràn máy tính mục tiêu với lưu lượng truy cập độc hại, nó sẽ gây ra các vấn đề về hiệu suất và thời gian tải trang. Những loại tấn công này có thể khó phát hiện vì mục tiêu không phải là để đưa trang web ngừng kết nối, nhưng để làm giảm hiệu suất. Chúng thường bị lẫn lộn với sự gia tăng lưu lượng sử dụng website.
9. Unintentional DDoS: hay còn gọi là sự gia tăng không chủ ý. Nó xảy ra khi có sự tăng đột biến trong lưu lượng website khiến máy chủ không thể xử lý tất cả các yêu cầu đến. Càng nhiều lưu lượng truy cập xảy ra, càng nhiều tài nguyên được sử dụng. Điều này khiến thời gian tải trang hết hạn và cuối cùng server sẽ không phản hồi và ngừng kết nối.
10. Application Level Attacks: phương thức này nhằm vào mục tiêu là các ứng dụng có nhiều lỗ hổng. Thay vì cố gắng lụt toàn bộ máy chủ, một kẻ tấn công sẽ tập trung tấn công vào một hoặc một vài ứng dụng. Các ứng dụng email dựa trên web, WordPress, Joomla và phần mềm diễn đàn là những ví dụ điển hình về các mục tiêu cụ thể của ứng dụng.
11. Multi-Vector Attacks: là hình thức phức tạp nhất trong các cuộc tấn công từ chối dịch vụ phân tán (DDoS). Thay vì sử dụng một phương pháp đơn lẻ, nó là một sự kết hợp của nhiều công cụ và chiến lược khác nhau để lụt mục tiêu và làm ngừng kết nối. Thông thường, các Multi-Vector Attacks tấn công các ứng dụng cụ thể trên server mục tiêu cũng như làm tràn mục tiêu với một lượng lớn lưu lượng độc hại. Những kiểu tấn công DDoS kiểu này rất khó để ngăn chặn và hạn chế vì nó là tổng hợp của các hình thức khác nhau và nhắm mục tiêu với nguồn lực khác nhau cùng một lúc.
12. Zero Day DDoS: Cuộc tấn công dựa vào “Zero Day” chỉ đơn giản là một phương pháp tấn công mà chưa có bản vá hoặc chưa được ghi nhận trước đây. Đây là thuật ngữ chung được sử dụng để mô tả các lỗ hổng mới và cách khai thác mới.
CÁCH THỨC PHÒNG THỦ
» Phòng thủ trước Dos attack
Vì cuộc tấn công Dos chỉ bắt nguồn từ một nguồn duy nhất, nên có thể dễ dàng xác định được IP của máy hacker và đưa ra đối sách phù hợp.
– Hạn chế truy cập từ IP bất kì nào đó.
– Giới hạn số request được chấp nhận từ một IP trong một khoảng thời gian xác định (ví dụ một ngày chỉ được tối đa 100 requests).
– Xây dựng và thiết kế máy chủ có khả năng chịu tải lớn.
» Phòng thủ trước DDos attack
Lượng máy tính bị hack từ trước và sử dụng cho cuộc tấn công có thể rất lớn, việc tìm ra IP của máy kẻ chủ mưu cũng rất khó khăn, nên việc đưa ra đối sách để chống lại DDos attack cũng vô cùng khó.
– Giới hạn số request được chấp nhận từ một IP nào đó trong khoảng thời gian xác định (lấy mẫu các gói tin và xác định xu hướng lưu lượng mạng).
– Hạn chế truy cập từ các địa chỉ IP nước ngoài nếu nội dung chỉ dành cho user trong nước.
– Xây dựng và thiết kế máy chủ có khả năng chịu tải lớn.
(Theo Kipalog và Viblo)