ddos là gì?

Bạn đã từng trải qua những khó khăn khi sử dụng mạng hay chưa? Bạn truy cập web không được, không gửi được mail và không thể làm được gì với chiếc máy tính của mình cả nhưng kiểm tra kết nối mạng internet vẫn bình thường? Có thể bạn đang là nạn nhân của tấn công từ chối dịch vụ. Vậy nó là cái gì ? Bài viết này sẽ làm rõ hơn về vấn đề này

Tấn công từ chối dịch vụ DOS là gì?

DoS là viết tắt của cụm từ tiếng anh Denial of Service, nghĩa tiếng Việt là từ chối dịch vụ. Tấn công từ chối dịch vụ DoS là một sự cố bảo mật xảy ra khi kẻ tấn công có hành động ngăn cản người dùng hợp pháp truy cập hệ thống máy tính, thiết bị hoặc các tài nguyên mạng khác.

Trong tấn công từ chối dịch vụ, kẻ tấn công nhằm vào các máy tính và sử dụng mạng máy tính mà bạn đang dùng để ngăn cản truy cập email, website, tài khoản trực tuyến và các dịch vụ khác.

Một kiểu DoS rõ ràng và phổ biến nhất chính là kẻ tấn công gửi ồ ạt traffic vào máy chủ, hệ thống hoặc mạng để làm cạn kiệt tài nguyên của nạn nhân. Một ví dụ điển hình là mỗi Email đều có một hạn lượng nhất định bộ nhớ tin nhắn, kẻ tấn công có thể gửi rất nhiều mail tới hộp thư của bạn khiến chúng lấp đầy bộ nhớ đến của Email và ngăn cản bạn nhận thêm Email. Đó là một cách tấn công DOS

Tấn công từ chối dịch vụ phân tán DDOS là gì?

DDoS là viết tắt của Distributed Denial of Service, nghĩa tiếng Việt là từ chối dịch vụ phân tán. Tấn công DDoS là nỗ lực làm sập một dịch vụ trực tuyến bằng cách làm tràn ngập nó với traffic từ nhiều nguồn.

DDoS có thể sử dụng một lúc nhiều máy tính trung gian để thực hiện tấn công DoS chúng ta đã nói ở trên. Hình thức này nguy hiểm hơn nhiều vị nó cướp quyền điều khiển của nhiều máy tính khác nhau đồng thời thực hiện tấn công DoS.

Một kẻ tấn công có thể sử dụng máy tính của bạn để tấn công vào các máy tính khác. Bằng cách lợi dụng những lỗ hổng về bảo mật cũng như sự kém hiểu biết, kẻ này có thể giành quyền điều khiển máy tính của bạn. Sau đó chúng sử dụng máy tính của bạn để gửi số lượng lớn dữ liệu đến một website hoặc gửi thư rác đến một địa chỉ hòm thư nào đó. Tấn công này được được gọi là “phân tán” vì kẻ tấn công sử dụng nhiều máy tính trong đó có cả máy tính bạn để thực hiện tấn công Dos.

Có ba loại tấn công cơ bản:

• Volume-based: Sử dụng lưu lượng truy cập cao để làm tràn ngập băng thông mạng
• Protocol: Tập trung vào việc khai thác các tài nguyên máy chủ
• Application: Tập trung vào các ứng dụng web và được xem là loại tấn công tinh vi và nghiêm trọng nhất

Năm 2000, Michael Calce, một cậu bé 15 tuổi, đã sử dụng tên trực tuyến là Mafiaboy, đã đưa ra một trong những cuộc tấn công DDoS được ghi nhận đầu tiên. Calce đã xâm nhập vào mạng máy tính của một số trường đại học. Cậu bé đã sử dụng máy chủ của họ để vận hành một cuộc tấn công DDoS đã đánh sập một số trang web lớn, bao gồm CNN, E-Trade, eBay và Yahoo. Calce bị kết án về tội ác của mình tại Tòa án Thanh thiếu niên Montreal. Khi trưởng thành, anh trở thành một hacker mũ trắng của người Viking, xác định các lỗ hổng trong hệ thống máy tính của các công ty lớn.

Làm thế nào để các cuộc tấn công DDOS hoạt động?

DDoS là một cuộc tấn công mạng trên máy chủ, dịch vụ, trang web hoặc mạng tràn ngập lưu lượng truy cập Internet. Nếu lưu lượng truy cập áp đảo mục tiêu, máy chủ, dịch vụ, trang web hoặc mạng của nó sẽ “bị sập”. Điều đó có nghĩa là kẻ tấn công phải khống chế đủ nhiều máy tính và lượng thông tin gửi đi đủ lớn để làm quá tải bộ xử lý của máy chủ, dịch vụ hay trang web nào đó.

Các kết nối mạng trên Internet bao gồm các lớp khác nhau của mô hình Hệ thống kết nối hệ thống mở (HĐH). Các loại tấn công DDoS khác nhau tập trung vào các lớp cụ thể. Ví dụ:

• Lớp 3, lớp Mạng. Tấn công được gọi là Tấn công Smurf, Lũ ICMP và Phân mảnh IP / ICMP.
• Lớp 4, lớp Vận chuyển. Các cuộc tấn công bao gồm lũ lụt UDP và cạn kiệt kết nối TCP.
• Lớp 7, lớp Ứng dụng. Chủ yếu là các cuộc tấn công được mã hóa HTTP.

Botnet

Cách chính mà DDoS được thực hiện là thông qua một mạng lưới các máy tính hoặc bot bị điều khiển từ xa. Những thứ này thường được gọi là máy tính zombie của Viking. Họ tạo thành cái được gọi là mạng botnet, hay mạng bot. Chúng được sử dụng để làm ngập các trang web, máy chủ và mạng được nhắm mục tiêu với nhiều dữ liệu hơn mức chúng có thể chứa.

Các botnet có thể gửi nhiều yêu cầu kết nối hơn một máy chủ có thể xử lý hoặc gửi số lượng dữ liệu quá lớn vượt quá khả năng băng thông của nạn nhân được nhắm mục tiêu. Botnet có thể từ hàng ngàn đến hàng triệu máy tính được điều khiển bởi tội phạm mạng. Tội phạm mạng sử dụng botnet cho nhiều mục đích khác nhau, bao gồm gửi thư rác và các dạng phần mềm độc hại như ransomware. Máy tính của bạn có thể là một phần của mạng botnet mà bạn không biết.

Lũ truyền tải

Botnet được sử dụng để tạo ra lũ HTTP hoặc HTTPS. Botnet của máy tính được sử dụng để gửi những gì có vẻ là các yêu cầu HTTP hoặc HTTPS hợp pháp để tấn công và áp đảo máy chủ web. HTTP – viết tắt của HyperText Transfer Protocol – là giao thức kiểm soát cách các thông điệp được định dạng và truyền đi. Yêu cầu HTTP có thể là yêu cầu GET hoặc yêu cầu POST. Đây là sự khác biệt:

• Yêu cầu GET là một trong đó thông tin được lấy từ máy chủ.
• Yêu cầu POST là một trong đó thông tin được yêu cầu được tải lên và lưu trữ. Loại yêu cầu này yêu cầu sử dụng nhiều tài nguyên hơn bởi máy chủ web được nhắm mục tiêu.

Botnet là một mặt hàng trên chợ đen

Việc lắp ráp các botnet cần thiết để tiến hành các cuộc tấn công DDoS có thể tốn thời gian và khó khăn.Tội phạm mạng đã phát triển một mô hình kinh doanh hoạt động theo cách này: Tội phạm mạng tinh vi hơn tạo ra các botnet và bán hoặc cho thuê chúng cho các tội phạm mạng tinh vi hơn trên web tối – một phần của Internet nơi bọn tội phạm có thể mua và bán hàng hóa như botnet và số thẻ tín dụng bị đánh cắp nặc danh.

Triệu chứng bị tấn công DDOS ?

Các cuộc tấn công DDoS có các triệu chứng dứt khoát. Vấn đề là, các triệu chứng rất giống với các vấn đề khác mà bạn có thể gặp phải với máy tính của mình – từ vi-rút đến kết nối Internet chậm – đến nỗi khó có thể biết được nếu không có chẩn đoán chuyên nghiệp. Các triệu chứng của DDoS bao gồm:

• Truy cập chậm vào các tệp, cục bộ hoặc từ xa
• Không có khả năng dài hạn để truy cập vào một trang web cụ thể
• Ngắt kết nối Internet
• Sự cố khi truy cập tất cả các trang web
• Quá nhiều email spam

Các kiểu tấn công DDOS phổ biến hiện nay

SYN Flood

Khai thác điểm yếu trong chuỗi kết nối TCP, được gọi là bắt tay ba chiều. Máy chủ sẽ nhận được một thông điệp đồng bộ (SYN) để bắt đầu “bắt tay”. Máy chủ nhận tin nhắn bằng cách gửi cờ báo nhận (ACK) tới máy lưu trữ ban đầu, sau đó đóng kết nối. Tuy nhiên, trong một SYN Flood, tin nhắn giả mạo được gửi đi và kết nối không đóng => dịch vụ sập.

UDP Flood

User Datagram Protocol (UDP) là một giao thức mạng không session. Một UDP Flood nhắm đến các cổng ngẫu nhiên trên máy tính hoặc mạng với các gói tin UDP. Máy chủ kiểm tra ứng dụng tại các cổng đó nhưng không tìm thấy ứng dụng nào.

HTTP Flood

Gần giống như các yêu cầu GET hoặc POST hợp pháp được khai thác bởi một hacker. Nó sử dụng ít băng thông hơn các loại tấn công khác nhưng nó có thể buộc máy chủ sử dụng các nguồn lực tối đa.

Ping of Death

Điều khiển các giao thức IP bằng cách gửi những đoạn mã độc đến một hệ thống. Đây là loại DDoS phổ biến cách đây hai thập kỷ nhưng đã không còn hiệu quả vào thời điểm hiện tại.

Smurf Attack

Khai thác giao thức Internet (IP) và ICMP (Internet Control Message Protocol) sử dụng một chương trình phần mềm độc hại gọi là smurf. Nó giả mạo một địa chỉ IP và sử dụng ICMP, sau đó ping các địa chỉ IP trên một mạng nhất định.

Fraggle Attack

Sử dụng một lượng lớn lưu lượng UDP vào mạng phát sóng của router. Nó giống như một cuộc tấn công Smurf, sử dụng UDP nhiều hơn là ICMP.

Slowloris

Cho phép kẻ tấn công sử dụng nguồn lực tối thiểu trong một cuộc tấn công và các mục tiêu trên máy chủ web. Khi đã kết nối với mục tiêu mong muốn, Slowloris giữ liên kết đó mở càng lâu càng tốt với HTTP tràn ngập. Kiểu tấn công này đã được sử dụng trong một số DDoSing kiểu hacktivist (tấn công vì mục tiêu chính trị) cao cấp, bao gồm cuộc bầu cử tổng thống Iran năm 2009. Việc giảm thiểu ảnh hưởng với loại hình tấn công này là rất khó khăn.

Application Level Attacks

Khai thác lỗ hổng trong các ứng dụng. Mục tiêu của loại tấn công này không phải là toàn bộ máy chủ, mà là các ứng dụng với những điểm yếu được biết đến.

NTP Amplification

Khai thác các máy chủ NTP (Network Time Protocol), một giao thức được sử dụng để đồng bộ thời gian mạng, làm tràn ngập lưu lượng UDP. Đây là reflection attack bị khuếch đại. Trong reflection attack bất kỳ nào đều sẽ có phản hồi từ máy chủ đến IP giả mạo, khi bị khuếch đại, thì phản hồi từ máy chủ sẽ không còn tương xứng với yêu cầu ban đầu. Vì sử dụng băng thông lớn khi bị DDoS nên loại tấn công này có tính phá hoại và volumne cao.

Advanced Persistent DoS (APDoS)

Là một loại tấn công được sử dụng bởi hacker với mong muốn gây ra những thiệt hại nghiêm trọng. Nó sử dụng nhiều kiểu tấn công được đề cập trước đó (như HTTP Flood, SYN Flood, v.v…) và thường nhắm tấn công theo kiểu gửi hàng triệu yêu cầu/giây. Các cuộc tấn công của APDoS có thể kéo dài hàng tuần, phụ thuộc vào khả năng của hacker để chuyển đổi các chiến thuật bất cứ lúc nào và tạo ra sự đa dạng để tránh các bảo vệ an ninh.

Zero-day DDoS Attacks

Là tên được đặt cho các phương pháp tấn công DDoS mới, khai thác các lỗ hổng chưa được vá.

Làm thế nào để tránh tấn công DDOS?

Không có một cách cụ thể nào để tránh việc trở thành nạn nhân của tấn công DoS và DDoS cả. Tuy nhiên bạn có thể làm một số cách để giảm bớt phần nào việc tấn công DDOS mà sử dụng máy tính của bạn:

• Cài đặt và duy trì phần mềm chống virus.
• Cài đặt tường lửa và cấu hình nó để giới hạn lưu lượng đến và đi từ máy tính của bạn.
• Làm theo các hướng dẫn thực hành an toàn về phân phối địa chỉ email của bạn.
• Dùng các bộ lọc email để giúp bạn quản lý lưu lượng không mong muốn.

Nếu nghi ngờ mình đang bị tấn công DOS hoặc DDOS thì nên làm gì?

Cho dù bạn có xác định đúng tấn công DoS hoặc DdoS đi chăng nữa thì bạn cũng không thể xác định được nguồn hoặc đích của tấn công. Chính vì vậy bạn nên liên hệ đến các chuyên gia kỹ thuật để được hỗ trợ.

• Nếu bạn thấy rằng không thể truy cập vào chính các file của mình hoặc vào bất cứ website mở rộng nào từ máy tính thì bạn nên liên hệ với người quản trị mạng của mạng đó. Điều này có thể chỉ ra rằng máy tính của bạn hoặc mạng của tổ chức đang bị tấn công hay không.
• Nếu bạn thấy những vấn đề xảy ra trên chính máy tính của mình, thì bạn hãy liên hệ với nhà cung cấp dịch vụ (ISP). Nếu có vấn đề, ISP có thể khuyên bạn có những hành động thích hợp.