Bảo vệ các Data Center trước sự gia tăng của các cuộc tấn công DDoS

05/10/2018

DDos là gì
DDoS là viết tắt của Distributed Denial of Service, nghĩa tiếng Việt là từ chối dịch vụ phân tán. Tấn công DDoS là nỗ lực làm sập một dịch vụ trực tuyến bằng cách làm tràn ngập nó với traffic từ nhiều nguồn khác nhau.

Nhìn chung thì Các cuộc tấn công từ chối dịch vụ phân tán không có gì mới, nhưng chúng ngày càng trở nên phổ biến hơn, từ các cuộc tấn công mang sắc màu chính trị nhằm vào các tổ chức tài chính và chính phủ cho đến các cuộc tấn công gần đây xảy ra đối với các trung tâm dữ liệu như Digital Ocean. Cụ thể, các cuộc tấn công DDoS là khi tin tặc sử dụng các máy tính tấn công vào các máy chủ, khiến cho các máy chủ bị “ngập lụt” trong các yêu cầu gửi đến và tắt các dịch vụ cơ bản, bằng cách làm tắc nghẽn lưu lượng mạng hoặc gửi số lượng lớn dữ liệu rác đến máy chủ đó. Các quản trị viên đang ngày càng gặp nhiều khó khăn trong việc bảo vệ hệ thống của họ chống lại các vụ DDos khi mà loại hình tấn công mạng này đang ngày càng phát triển về quy mô và độ phức tạp. Hơn nữa bởi vì loại hình tấn công này là sự “hiệp đồng tác chiến” của nhiều các các máy tính bị chiếm hữu khác nhau, do đó, việc chặn lưu lượng truy cập dựa trên địa chỉ IP là hết sức khó khăn.
bao-ve-cac-data-center-truoc-du-gia-tang-cua-cac-cuoc-tan-cong-ddos1.jpg

Phương thức chung của những vụ tấn công DDOS.
Ngày nay, các cuộc tấn công SYN hoặc HTTP GET là những cách phổ biến nhất để làm quá tải tường lửa hoặc hệ thống IPS, và làm cho các máy chủ đứng đằng sau các hệ thống này không thể phản hồi được. Các thiết bị chuyển mạch mạng và máy chủ không có đủ khả năng để đáp ứng một lượng quá tải các yêu cầu đến và do đó gói mạng (network packets) từ bất kỳ nguồn đến nào sẽ bị drop. Lưu lượng traffic xuất phát từ nguồn DDoS có thể đến từ các máy tính tình nguyện (scoundrels!). Đây là một máy tính đơn lẻ giả mạo nhiều địa chỉ IP, hoặc phổ biến nhất là một botnet. Botnet là các mạng máy tính được tạo lập từ các máy tính mà hacker có thể điều khiển từ xa. Các máy tính trong mạng botnet là máy đã bị nhiễm malware và bị hacker điều khiển. Một mạng botnet có thể có tới hàng trăm ngàn, thậm chí là hàng triệu máy tính.
Tấn công SYN Flood:
Các cuộc tấn công SYN flood sẽ sử dụng các gói SYN, đây là gói tin đầu tiên được gửi đến một máy chủ để yêu cầu kết nối. Máy chủ sẽ nhận được một thông điệp đồng bộ (SYN) để bắt đầu "bắt tay". Máy chủ nhận tin nhắn bằng cách gửi cờ báo nhận (ACK) tới máy lưu trữ ban đầu, sau đó đóng kết nối. Tuy nhiên, trong một SYN Flood, tin nhắn giả mạo được gửi đi và kết nối không đóng và điều này dẫn đến dịch vụ sập. SYN floods là một loại tấn công Bulk Volumetric.
Các kiểu tấn công Bulk Volume khác bao gồm
ICMP packet flood: gửi các lệnh “PING”.
TCP/UDP flood: Gửi tới các cổng mạng mở như TCP 81.
Fragment flood: Gửi các gói phân mảnh.
Anomalous packet flood: Gửi các tập lệnh lỗi trong các gói mạng.
DNS amplification: Sử dụng giao thức DNS EDNS0 để khuếch đại cuộc tấn công. Ở ví dụ cuối cùng này, các máy chủ dịch vụ tên miền công cộng (public Domain Name Service servers) được sử dụng để gửi tra cứu DNS đến máy chủ DNS trong khi giả vờ là máy chủ đích, vì vậy máy chủ DNS gửi trả lời đến máy chủ đích.
HTTP GET
HTTP GET là một kiểu tấn công lớp ứng dụng (Application Layer attack), quy mô nhỏ hơn và được nhắm tới những mục tiêu hơn. Application Level Attacks khai thác lỗ hổng trong các ứng dụng. Mục tiêu của loại tấn công này không phải là toàn bộ máy chủ, mà là các ứng dụng với những điểm yếu được biết đến. Kiểu tấn công này sẽ nhắm vào Lớp thứ 7 trong mô hình OSI. Đây là lớp có lưu lượng mạng cao nhất, thay vì hướng vào lớp thứ 3 thường được chọn làm mục tiêu trong các cuộc tấn công Bulk Volumetric. HTTP GET khai thác quy trình trình của một trình duyệt web hoặc ứng dụng HTTP nào đó và yêu cầu một ứng dụng hoặc máy chủ cho mỗi yêu cầu HTTP, đó là GET hoặc POST. HTTP Flood gần giống như các yêu cầu GET hoặc POST hợp pháp được khai thác bởi một hacker. Nó sử dụng ít băng thông hơn các loại tấn công khác nhưng nó có thể buộc máy chủ sử dụng các nguồn lực tối đa. Rất khó để chống lại kiểu tấn công này vì chúng sử dụng các yêu cầu URL tiêu chuẩn, thay vì các tập lệnh bị hỏng hoặc khối lượng lớn.
Hạn chế những vụ DDos và các lựa chọn bảo mật
bao-ve-cac-data-center-truoc-du-gia-tang-cua-cac-cuoc-tan-cong-ddos2.jpg
Các ISP thường có bảo vệ DDoS ở lớp 3 và Lớp 4 (lưu lượng mạng), nhưng lại bỏ qua Lớp 7, nơi bị nhắm làm mục tiêu nhiều hơn, và nhìn chung thì sự đồng đều ở các lớp bảo vệ cũng không được đảm bảo.
Các công ty xử lý DDoS: họ sử dụng cơ sở hạ tầng hiện có của mình để chống lại bất kỳ mối đe dọa nào đến với họ. Thông thường, điều này được thực hiện thông qua cân bằng tải (load balancer), mạng phân phối nội dung (CDN) hoặc kết hợp cả hai. Các trang web nhỏ hơn và các dịch vụ có thể thuê bên ngoài của các bên thứ ba nếu họ không có vốn để duy trì một loạt các máy chủ.
Các nhà cung cấp dịch vụ chống DDoS luôn sẵn sàng. Thông thường, họ sẽ định tuyến lại lưu lượng truy cập đến của bạn thông qua hệ thống của riêng họ và "cọ rửa" nó để chống lại các phương thức tấn công đã biết. Họ có thể quét các lưu lượng truy cập đáng ngờ từ các nguồn hoặc từ các geolocation không phổ biến. Hoặc họ cũng có thể định tuyến lại lưu lượng truy cập hợp pháp của bạn khỏi các nguồn botnet.
Hầu hết các tường lửa hiện đại và Hệ thống bảo vệ xâm nhập (Intrusion Protection Systems - IPS) đều cung cấp khả năng phòng thủ trước các cuộc tấn công DDoS. Các thiết bị này có thể ở dưới dạng một thiết bị duy nhất quét tất cả lưu lượng truy cập đến hệ thống hoặc phần mềm được phân phối ở cấp máy chủ. Các ứng dụng chống DDoS chuyên dụng cũng có sẵn trên thị trường và có thể bảo vệ tốt hơn trước các cuộc tấn công nhắm vào Lớp 7.
Quét mạng thường xuyên và theo dõi lưu lượng với các cảnh báo cũng có thể giúp bạn nắm bắt được những nguy cơ của một cuộc tấn công DDoS sớm, cũng như đưa ra những hành động để giảm thiểu thiệt hại.
Công tác kiểm tra và chuẩn bị trong ứng phó với DDoS tại các trung tâm dữ liệu
Khi bạn sở hữu một hệ thống bảo vệ DDoS tại chỗ, bước đầu tiên cần thực hiện là xác định các phương thức tấn công và các ứng dụng quan trọng. Cổng nào đang mở? Băng thông nào đang có sẵn cho bạn sử dụng? Có khả năng tắc nghẽn mạng ở đâu? Những hệ thống quan trọng nào cần bảo vệ bổ sung?
Lưu ý hơn đến các khu vực dễ bị tổn thương dựa trên sự phụ thuộc vào các hệ thống khác trong cơ sở hạ tầng của bạn, ví dụ như cơ sở dữ liệu trung tâm có thể gỡ bỏ chức năng đối với một số ứng dụng trong trường hợp nó bị quá tải.
Có nhiều công cụ phần mềm mã nguồn mở mà bạn có thể sử dụng để kiểm tra giảm thiểu từ DDoS, cũng như các tùy chọn phần cứng có thể đạt đến mức lưu lượng đa gigabit. Tuy nhiên, tùy chọn phần cứng sẽ là một giải pháp tốn kém. Thay vào đó, một công ty bảo mật mũ trắng chuyên nghiệp có thể cung cấp cho bạn những thử nghiệm như một dịch vụ tùy chọn.
Các cuộc tấn công DDoS chắc chắn sẽ gây ra nhiều phiền toái, nhưng với những sự chuẩn bị kỹ càng, bạn có thể sẵn sàng để ngăn chặn hoặc đưa ra những giải pháp khắc phục một cách nhanh chóng, qua đó tránh những gián đoạn dịch vụ cho người dùng đồng thời giảm thiểu đáng kể những thiệt hại mà DDoS gây ra.
( Theo Phòng Nghiệp Vụ )