Flow Flood Strikes: บทความหนึ่งเข้าใจคู่มือการโจมตี DDoS และการป้องกันองค์กรอย่างละเอียด

หากคุณเปิดห้างสรรพสินค้าออนไลน์ที่มีธุรกิจร้อนแรงกระแสผู้โดยสารจะคงที่ทุกวันทันใดนั้นวันหนึ่งคู่แข่งของพวกเขาจ้างนักเลงข้างถนนหลายพันคนเพื่อล้อมประตูร้านของคุณหากพวกเขาไม่ได้ซื้อของพวกเขาก็ส่งเสียงดังที่ประตูและปิดกั้นทางเดินด้วยเหตุนี้ลูกค้าที่ต้องการซื้อของจริงๆจึงไม่สามารถเข้าไปได้เลยและแม้แต่พนักงานก็ไม่สามารถทำงานได้ตามปกติ

ในโลกออนไลน์พฤติกรรม "ปิดกั้นประตู" ที่ไม่ดีแบบนี้คือสิ่งที่เรามักพูดกัน

การโจมตี DDoS (Distributed Denial of Service, การโจมตีปฏิเสธการให้บริการแบบกระจาย)

。

ไม่ว่าจะเป็นสตาร์ทอัพที่เพิ่งเริ่มต้นหรือแพลตฟอร์มอินเทอร์เน็ตขนาดใหญ่ตราบใดที่บริการอยู่บนเครือข่ายสาธารณะการโจมตี DDoS ก็เหมือนกับดาบของ Damocles ที่ห้อยอยู่เหนือศีรษะวันนี้เราจะใช้ภาษาที่ได้รับความนิยมมากที่สุดในการพูดคุยเกี่ยวกับสิ่งที่เกิดขึ้นจากการโจมตี DDoS และวิธีที่บริษัทต่างๆควรสร้างเขื่อนป้องกันน้ำท่วมที่แข็งแกร่งเมื่อเผชิญกับ "น้ำท่วมไหล" นี้

การโจมตี DDoS คืออะไร? จากการต่อสู้เดี่ยวไปจนถึง "กองทัพซอมบี้"

เพื่อให้เข้าใจ DDoS คุณต้องเริ่มจากรุ่นก่อน

DoS(Denial of Service, ปฏิเสธการโจมตีบริการ)

พูดถึง.

แฮกเกอร์ในยุคแรกๆมักใช้คอมพิวเตอร์ของตัวเองเพื่อส่งคำขอจำนวนมากไปยังเซิร์ฟเวอร์เป้าหมายเพื่อพยายามเติมเต็ม CPU หรือแบนด์วิดท์ของเซิร์ฟเวอร์การรุกและการป้องกันแบบ "ตัวต่อตัว" แบบนี้ค่อนข้างง่ายในการแก้ไข-ผู้ดูแลระบบเซิร์ฟเวอร์จะต้องดูบันทึกและบล็อกที่อยู่ IP ของผู้โจมตี (Blacklist) จากนั้นการโจมตีจะสิ้นสุดลง

แต่แฮกเกอร์ตระหนักได้อย่างรวดเร็วว่าประสิทธิภาพในการต่อสู้เพียงอย่างเดียวนั้นต่ำเกินไปพวกเขาจึงอัปเกรดกลยุทธ์และพัฒนาเป็น

DDoS (การโจมตีปฏิเสธการให้บริการแบบกระจาย)

:

การปลูกฝัง "บอตเน็ต" (Botnet): แฮกเกอร์ใช้ช่องโหว่ของระบบหรือโทรจันที่เป็นอันตรายเพื่อควบคุมอุปกรณ์เครือข่ายหลายพันเครื่องทั่วโลกรวมถึงเซิร์ฟเวอร์ที่ขาดการป้องกันคอมพิวเตอร์ส่วนบุคคลและแม้แต่กล้องอัจฉริยะเราเตอร์และ Internet of Things อื่นๆ (IoT)) อุปกรณ์. อุปกรณ์ที่ควบคุมเหล่านี้เรียกว่า "เครื่องซอมบี้" หรือ "ไก่เนื้อ"

ยิงลูกศรทั้งหมด: แฮกเกอร์จะต้องกดปุ่มที่ด้านควบคุมเท่านั้นและ "ไก่เนื้อ" หลายหมื่นตัวจะเริ่มคำขอที่ไม่ถูกต้องหลายพันรายการไปยังเซิร์ฟเวอร์เป้าหมายในเวลาเดียวกัน

เป็นอัมพาตโดยสิ้นเชิง: เมื่อเผชิญกับปริมาณการใช้งานปลอมจำนวนมากแบนด์วิดท์เครือข่ายของเซิร์ฟเวอร์เป้าหมายจะเต็มทันทีซีพียูและหน่วยความจำพุ่งสูงถึง100% และคำขอของผู้ใช้ปกติถูกบีบออกจากประตูซึ่งนำไปสู่ระบบที่ติดขัดและบริการขัดข้องในที่สุด

ส่วนที่น่ากลัวที่สุดของ DDoS คือ "การปลอมตัวตามกฎหมาย"

กับ

"กระจาย": การเข้าชมการโจมตีมาจาก IP จริงจากทั่วทุกมุมโลกเป็นการยากที่คุณจะแยกแยะได้ในทันทีว่าผู้ใช้รายใดเป็นผู้ใช้ปกติและ "ไก่เนื้อ" ของแฮ็กเกอร์ดังนั้นวิธีการป้องกันจุดเดียวแบบเดิมจึงล้มเหลวเกือบทั้งหมด

2.วิธีทั่วไปในการแยกชิ้นส่วน DDoS: แฮกเกอร์ทำลายระบบได้อย่างไร?

แม้ว่าการโจมตี DDoS จะมีหลายรูปแบบแต่จากมุมมองของสแต็กโปรโตคอลเครือข่ายสามารถแบ่งออกเป็นสามประเภทดังต่อไปนี้:

1.ประเภทการใช้แบนด์วิดท์: เสียบ "ท่อ" โดยตรง

เต็ม (ชั้นเครือข่าย/ชั้นขนส่งโจมตี)

ตัวแทนย้าย: UDP Flood, ICMP Flood 。

หลักการ: หากแบนด์วิดท์การ์ดเครือข่ายเซิร์ฟเวอร์ของคุณคือ1Gbps แฮกเกอร์จะใช้ "ไก่เนื้อ" โดยตรงเพื่อส่งแพ็กเก็ตสแปม10Gbps หรือแม้แต่100Gbps ไปยังเซิร์ฟเวอร์ของคุณมันเหมือนกับการบังคับให้เทน้ำที่เกินความสามารถในการรับน้ำหนักหลายสิบเท่าลงในท่อน้ำท่อจะระเบิดโดยตรงและไม่สามารถป้อนแพ็กเก็ตข้อมูลปกติได้เลย

2.ประเภทช่องโหว่ของโปรโตคอล: บีบทรัพยากรการเชื่อมต่อของเซิร์ฟเวอร์ (การโจมตีเลเยอร์การขนส่ง/เลเยอร์เครือข่าย)

การย้ายตัวแทน: SYN Flood, ACK Flood 。

หลักการ: ยกตัวอย่าง SYN Flood ที่คลาสสิกที่สุดซึ่งใช้กลไกการจับมือสามครั้งของ TCP แฮกเกอร์ส่งคำขอการเชื่อมต่อ SYN จำนวนมากไปยังเซิร์ฟเวอร์แต่จงใจไม่ตอบสนองต่อแพ็กเก็ตยืนยัน ACK สุดท้ายเพื่อรักษา "การเชื่อมต่อแบบกึ่งเปิด" เหล่านี้เซิร์ฟเวอร์จะเก็บทรัพยากรไว้เป็นจำนวนมากและรอต่อไปจนกว่าหน่วยความจำและคิวการเชื่อมต่อจะหมดลงอย่างสมบูรณ์และไม่สามารถจัดการการเชื่อมต่อปกติใหม่ได้อีกต่อไป

3.การโจมตีที่แม่นยำบนชั้นแอปพลิเคชัน: ลากฐานข้อมูลลงโดยเสียค่าใช้จ่ายเพียงเล็กน้อย (การโจมตีชั้นแอปพลิเคชัน/การโจมตี CC)

ย้ายตัวแทน: HTTP/HTTPS Flood (รู้จักกันทั่วไปในชื่อ CC Attack, Challenge Collapsar)

หลักการ: ปัจจุบันเป็นวิธีการโจมตีที่ซ่อนอยู่และยากที่สุดในการป้องกันแฮกเกอร์ไม่ต้องการการรับส่งข้อมูลจำนวนมากหลายร้อย G พวกเขาจำเป็นต้องควบคุม "ไก่เนื้อ" เพียงเล็กน้อยและรีเฟรชหน้าเว็บที่ต้องใช้ทรัพยากรคอมพิวเตอร์เซิร์ฟเวอร์จำนวนมากบ่อยๆ (เช่นการค้นหาผลิตภัณฑ์ที่ซับซ้อนการสืบค้นฐานข้อมูลแบบเต็มตารางการสร้างรหัสยืนยันฯลฯ)

ผลที่ตามมา: คำขอแต่ละคำขอดูเหมือนจะเป็นไปตามข้อกำหนดอย่างสมบูรณ์แต่เซิร์ฟเวอร์จำเป็นต้องมีการอ่านและเขียนฐานข้อมูลที่ซับซ้อนและการคำนวณ CPU คำขอพร้อมกันหลายพันคำขอสามารถลากฐานข้อมูลลงได้ทันทีทำให้หน้าส่วนหน้าส่งคืนข้อผิดพลาด502/504

3.ผลกระทบร้ายแรงของการโจมตี DDoS

สำหรับบริษัทใดๆที่ต้องพึ่งพาอินเทอร์เน็ตในการดำเนินธุรกิจการถูกโจมตีโดย DDoS นั้นไม่เพียงแต่ "ไม่สามารถเปิดเว็บไซต์ได้":

การสูญเสียทางเศรษฐกิจโดยตรง: เมื่อห้างสรรพสินค้าออนไลน์บริการเกมและแพลตฟอร์มการซื้อขายทางการเงินหยุดชะงักการปิดตัวลงทุกนาทีหมายถึงการสูญเสียเงินจริง

ความเสียหายต่อชื่อเสียงของแบรนด์: ผู้ใช้มักพบการทำงานล่วงเวลาหรือขัดข้องเมื่อเยี่ยมชมบริการของคุณและพวกเขาจะสูญเสียความไว้วางใจอย่างรวดเร็วและเปลี่ยนไปใช้อาวุธของคู่แข่ง

การขู่กรรโชกและการขู่กรรโชก: จุดประสงค์พื้นฐานของแฮกเกอร์จำนวนมากที่เริ่มการโจมตี DDoS คือการขู่กรรโชกโดยกำหนดให้บริษัทต่างๆต้องจ่ายเงินในสกุลเงินดิจิทัลที่สูงเพื่อหยุดการโจมตี

Sound East and Strike West (ครอบคลุมการโจมตีจริง): บางครั้งแฮกเกอร์ใช้การโจมตี DDoS เพื่อดึงดูดความสนใจทั้งหมดของทีมปฏิบัติการและการบำรุงรักษาและทีมรักษาความปลอดภัยแอบใช้ช่องโหว่อื่นๆเพื่อขโมยข้อมูลหลักหรือฝังแบ็คดอร์

ประการที่สี่ทหารจะหยุด: โซลูชันที่ครอบคลุมสำหรับ DDoS ป้องกันองค์กร

เมื่อเผชิญกับการโจมตี DDoS ที่ซับซ้อนมากขึ้นการเพิ่มการกำหนดค่าฮาร์ดแวร์เซิร์ฟเวอร์ภายในเครื่องเพียงอย่างเดียวนั้นไม่เพียงพออีกต่อไป (ต้นทุนฮาร์ดแวร์สูงกว่าค่าใช้จ่ายในการโจมตีของแฮ็กเกอร์มาก) การป้องกัน DDoS สมัยใหม่ให้ความสำคัญกับ"

การกรองตามลำดับชั้นการตั้งเวลาที่ยืดหยุ่นการป้องกันที่ใช้งานอยู่"

1.การเข้าถึงระดับมืออาชีพสูงป้องกันบริการ (Cloud anti D/สูงป้องกัน IP / CDN)

ปัจจุบันเป็นโซลูชันที่มีประสิทธิภาพและเป็นกระแสหลักที่สุดในการจัดการกับ DDoS ที่มีการจราจรสูง

IP ที่มีการป้องกันสูง/CDN ที่มีการป้องกันสูง: แก้ไขชื่อโดเมนธุรกิจไปยังโหนดที่มีการป้องกันสูงการรับส่งข้อมูลภายนอกทั้งหมดจะผ่านศูนย์ป้องกันการทำความสะอาดสูงก่อน

กลไกการทำความสะอาดการไหล: ระบบป้องกันสูงใช้ฮาร์ดแวร์ประสิทธิภาพสูงและอัลกอริธึมอัจฉริยะ AI เพื่อระบุและกรองการรับส่งข้อมูลขยะที่เป็นอันตรายเช่น UDP Flood และ SYN Flood แบบเรียลไทม์และส่งต่อคำขอปกติที่สะอาดไปยังเซิร์ฟเวอร์ต้นทาง (Origin Server) เท่านั้น

Anycast: ผู้ให้บริการระบบคลาวด์รายใหญ่ได้ติดตั้งศูนย์ซักผ้าความจุขนาดใหญ่หลายแห่งทั่วโลกโดยใช้เทคโนโลยี Anycast เพื่อกระจายปริมาณการโจมตีไปยังโหนดต่างๆทั่วโลกเพื่อทำความสะอาดในบริเวณใกล้เคียงเพื่อหลีกเลี่ยงแบนด์วิดท์จุดเดียว

2.ชั้นแอปพลิเคชัน CC โจมตีการป้องกันเป้าหมาย

สำหรับการโจมตี CC ที่ซ่อนอยู่ในคำขอ HTTP ปกติจำเป็นต้องรวมกับไฟร์วอลล์เลเยอร์แอปพลิเคชัน (WAF) สำหรับการโจมตีที่แม่นยำ:

การตรวจสอบการระบุตัวเครื่อง: แนะนำรหัสยืนยัน CAPTCHA การตรวจสอบแบบเลื่อนความท้าทาย JavaScript (JS Challenge) และกลไกอื่นๆเพื่อบล็อกสคริปต์อัตโนมัติ

ขีดจำกัดความถี่: จำกัดอัตราการเข้าถึงสำหรับ IP เดียวหรือ User-Agent (ตัวอย่างเช่น IP เดียวกันไม่สามารถขออินเทอร์เฟซการเข้าสู่ระบบได้เกิน5ครั้งต่อวินาที)

การวิเคราะห์ลักษณะพฤติกรรม: วิเคราะห์ลักษณะส่วนหัวของคำขอคุกกี้และเส้นทางการเข้าถึงผ่าน WAF เพื่อสกัดกั้นการเข้าชมที่ผิดปกติ

3.การป้องกันและการปกปิดสถาปัตยกรรมสถานีต้นทาง

ซ่อน IP จริงของสถานีต้นทาง: นี่คือความสำคัญสูงสุด! หากผู้โจมตีข้าม CDN หรือการป้องกันระดับสูงและโจมตี IP ของไซต์ต้นทางโดยตรงแนวป้องกันทั้งหมดจะไร้ประโยชน์ IP ของไซต์ต้นทางต้องเป็นความลับอย่างเคร่งครัดจากเครือข่ายสาธารณะและอนุญาตให้เข้าถึงเฉพาะส่วน IP ของโหนดป้องกันสูงเท่านั้น

การขยายตัวแบบยืดหยุ่น: อาศัยสถาปัตยกรรมเนทีฟบนคลาวด์กำหนดค่ากลุ่มการขยายตัวแบบยืดหยุ่นขยายอินสแตนซ์เซิร์ฟเวอร์โดยอัตโนมัติเมื่อพบการรับส่งข้อมูลอย่างกะทันหันและซื้อเวลาบัฟเฟอร์สำหรับระบบทำความสะอาด

4.สร้างการตอบสนองฉุกเฉินเสียงและการฝึกซ้อมประจำวัน

การตรวจสอบและการเตือนแบบเรียลไทม์: ตั้งค่าการเตือนเกณฑ์สำหรับตัวบ่งชี้หลักเช่นการใช้แบนด์วิดท์อัตราความผิดพลาด HTTP 5xx และจำนวนการเชื่อมต่อใหม่เพื่อให้แน่ใจว่าสามารถตรวจจับการโจมตีได้ไม่กี่นาทีก่อนเกิดการโจมตี

กำหนดแผนฉุกเฉิน: ชี้แจงการแบ่งหน้าที่ความรับผิดชอบของการดำเนินการและการบำรุงรักษาความปลอดภัยธุรกิจและทีมบริการลูกค้าเมื่อเกิดการโจมตีเพื่อให้บรรลุ "การสลับการป้องกันระดับสูงในคลิกเดียวและการลดระดับธุรกิจที่ไม่ใช่ธุรกิจหลักอย่างรวดเร็ว"

ห้าข้อสรุป

ความปลอดภัยของเครือข่ายเป็นเกมที่มีพลวัตในระยะยาวเหตุผลพื้นฐานที่การโจมตี DDoS ถูกห้ามซ้ำแล้วซ้ำเล่าเป็นเวลาหลายปีคือค่าใช้จ่ายของทั้งฝ่ายรุกและฝ่ายรับไม่เท่ากันอย่างยิ่ง-เกณฑ์สำหรับแฮกเกอร์ในการโจมตีนั้นต่ำมากและค่าใช้จ่ายในการป้องกันค่อนข้างแพง

อย่างไรก็ตามการเข้าถึงระบบคลาวด์สูงป้องกัน/WAF ผ่าน "สถานีต้นทางที่ซ่อนอยู่

ด้วยการรวมกันของ "การกำหนดมาตรฐานการจำกัดกระแสของเลเยอร์แอปพลิเคชัน" บริษัทต่างๆสามารถสร้างระบบป้องกันที่ยืดหยุ่นและพร้อมใช้งานได้สูงเพื่อลดผลกระทบจากการโจมตี DDoS และทำให้มั่นใจได้ว่าธุรกิจยังคงมีเสถียรภาพในทะเลที่มีพายุ