DDoS Server là gì? Nguyên nhân, Dấu hiệu và Cách phòng chống hiệu quả

Chắc hẳn bạn đã từng gặp tình trạng truy cập vào một trang báo điện tử lớn hay một sàn thương mại điện tử trong ngày sale nhưng chỉ nhận lại thông báo “Website không thể truy cập” hoặc “Service Unavailable”. Dù sở hữu hạ tầng cực kỳ mạnh mẽ, các trang web khổng lồ này thỉnh thoảng vẫn bị sập bất ngờ. Một trong những “thủ phạm” giấu mặt nguy hiểm và phổ biến nhất gây ra tình trạng trên chính là các cuộc tấn công DDoS.

Vậy thực chất DDoS Server là gì? Hiểu một cách đơn giản, tấn công DDoS (Distributed Denial of Service – Từ chối dịch vụ phân tán) là hành vi tin tặc sử dụng một mạng lưới gồm hàng ngàn, thậm chí hàng triệu thiết bị máy tính bị nhiễm mã độc (Botnet) để đồng loạt gửi các yêu cầu truy cập rác đến một server mục tiêu. Lượng “giao thông” rác khổng lồ này đổ bộ cùng một lúc khiến server bị quá tải tài nguyên (băng thông, RAM, CPU), dẫn đến tê liệt hoàn toàn và không thể phục vụ những khách hàng hay người dùng thật sự.

Dù bạn là một quản trị viên hệ thống (Sysadmin) mới vào nghề hay một chủ doanh nghiệp đang vận hành website, việc lơ là trước mối đe dọa này có thể dẫn đến những thiệt hại nặng nề về doanh thu và uy tín. Bài viết chuyên sâu này sẽ giúp bạn hiểu thấu đáo bản chất của DDoS, cách nhận biết sớm các dấu hiệu khi server đang bị nhắm mục tiêu, và quan trọng nhất là trang bị những phương pháp phòng thủ hiệu quả nhất để bảo vệ “ngôi nhà số” của bạn.

DDoS Server là gì?

DDoS là viết tắt của cụm từ Distributed Denial of Service. Dịch sang tiếng Việt là từ chối dịch vụ phân tán. Tấn công DDoS là nỗ lực làm sập một dịch vụ trực tuyến bằng cách làm tràn ngập nó với traffic từ nhiều nguồn. Mục đích thực sự của DDoS chính là kẻ xâm nhập sẽ cố tình chiếm dụng một lượng lớn thông tin hay tài nguyên như băng thông, bộ nhớ… và làm cho các người dùng khác không thể yêu cầu sự truy xuất yêu cầu dữ liệu.

Server chỉ có thể xử lý một số yêu cầu cùng một lúc. Nếu như một kẻ tấn công gửi quá nhiều các yêu cầu cùng một lúc để làm cho máy chủ đó bị quá tải. Máy chủ sẽ không thể xử lý các yêu cầu khác của bạn. Tấn công từ chối dịch vụ là sự vi phạm chính sách sử dụng internet của IAB (Internet Architecture Board) và những người tấn công hiển nhiên vi phạm luật dân sự.

Phân biệt giữa DoS và DDoS

Nhiều người thường đánh đồng DoS (Denial of Service) và DDoS (Distributed Denial of Service), nhưng thực tế chữ “D” đầu tiên (Distributed – Phân tán) tạo ra sự khác biệt sống còn về độ nguy hiểm.

Dưới đây là bảng phân tích sự khác biệt cốt lõi giữa hai loại hình tấn công này:

Tiêu chí so sánh	Tấn công DoS (Từ chối dịch vụ)	Tấn công DDoS (Từ chối dịch vụ phân tán)
Số lượng nguồn tấn công	Chỉ xuất phát từ MỘT nguồn duy nhất (một máy tính hoặc một địa chỉ IP).	Xuất phát từ NHIỀU nguồn khác nhau (có thể là hàng ngàn hoặc hàng triệu thiết bị phân tán khắp toàn cầu, gọi là Botnet).
Quy mô lưu lượng	Tương đối nhỏ, bị giới hạn bởi cấu hình và băng thông của thiết bị tấn công.	Khổng lồ, tạo ra lưu lượng rác cực lớn trong thời gian cực ngắn.
Mức độ thiệt hại	Thấp đến trung bình. Thường chỉ làm chậm server hoặc sập các hệ thống nhỏ, yếu.	Cực kỳ nghiêm trọng. Có thể đánh sập hoàn toàn cả những server mạnh mẽ và hạ tầng mạng lớn nhất.
Khả năng ngăn chặn	Dễ dàng. Quản trị viên chỉ cần xác định và block (chặn) địa chỉ IP duy nhất đang gửi request rác là xong.	Rất khó khăn. Vì lưu lượng đến từ hàng vạn IP thật/giả lẫn lộn trên toàn thế giới, việc chặn IP thủ công là bất thi và có thể vô tình chặn cả người dùng thật.

Một số loại tấn công Ddos mà Hacker hay sử dụng

– Tấn công vào băng thông (Bandwidth).

– Tấn công vào Giao thức.

– Tấn công bằng cách gói tin bất thường.

– Tấn công qua phần mềm trung gian.

– Các công cụ tấn công dùng Proxy ví dụ như: Trinoo, Flood Network,Trinity, Knight, Kaiten, MASTER HTTP, …

Dấu hiệu nhận biết Sever đang bị tấn công từ DDOS

Các cuộc tấn công từ DDoS có thể gây ra tình trạng quá tải mạng, làm cho hệ thống trở nên chậm chạp hoặc không hoạt động. Để nhận biết và phòng ngừa các cuộc tấn công DDoS, thì dưới đây là một số dấu hiệu và biểu hiện cần chú ý để nhận biết các cuộc tấn công DDoS:

• Thư rác bỗng nhiên tăng nhanh trong tài khoản
• Tăng đột ngột lưu lượng truy cập: Nếu một trang web hoặc ứng dụng bị tấn công DDoS, lưu lượng truy cập có thể tăng đột ngột và vượt quá ngưỡng bình thường. Điều này có thể dẫn đến tình trạng quá tải mạng và gây hại trong việc làm gián đoạn hoạt động của hệ thống.
• Giảm hiệu suất, mạng chậm hơn so với thông thường: Điều này làm hệ thống bị chậm, giảm hiệu suất dẫn đến tình trạng như không phản hồi, hoặc phản hồi chậm chạm đối với yêu cầu của người dùng.
• Tăng đột ngột yêu cầu dùng từ một địa chỉ IP: Thông thường các cuộc tấn công DDoS thường được thực hiện từ nhiều máy tính và địa chỉ IP khác nhau. Tuy nhiên, trong một số trường hợp thì việc thấy được sự tăng đột suất lượng lớn yếu cầu từ 1 địa chỉ IP, đây có thể là dấu hiệu của một cuộc tấn công DDoS.
• Cảnh báo từ hệ thống bảo mật: Các giải pháp bảo mật và hệ thống theo dõi mạng có thể cung cấp cảnh báo về các cuộc tấn công DDoS đang diễn ra. Nếu hệ thống bảo mật cảnh báo về lưu lượng không bình thường hoặc các hành vi có thể đã bị tấn công. Vì vậy. nên kiểm tra và xác minh xem có cuộc tấn công DDoS nào đang xảy ra hay không nhé.

Hậu quả của DDoS là gì?

DDoS gây ra hậu quả rất nguy hại cho website cũng như máy chủ, bên dưới đây là điển hình những hậu quả đã xảy ra khi bị DDoS tấn công:

• Hệ thống máy chủ bị sập khiến người dùng không truy cập được.
• Doanh nghiệp sở hữu máy chủ, hệ thống sẽ bị gián đoạn. Cộng thêm khoản chi phí để khắc phục sự cố.
• Khi hệ thống bị gián đoạn, gây ảnh hưởng đến hiệu suất công việc.
• Ảnh hưởng xấu đến trải nghiệm khách hàng.
• Ảnh hưởng đến danh tiếng của công ty.
• Đối với những vụ tấn công DDoS kỹ thuật cao có thể dẫn đến việc lấy trộm tiền bạc, dữ liệu khách hàng của công ty.

Top 6 cách phòng chống DDoS hiệu quả nhất

 Sử dụng Firewall cứng chống DDoS

Đây cũng chính là cách chống DDoS tối ưu nhất thời điểm hiện tại.

Firewall bằng server cài đặt phần mềm chống DDoS PfSense. Bởi phần mềm mã nguồn mở PfSense khá mạnh mẽ đồng thời có thể chặn được tất cả những cuộc tấn công quy mô trung bình. Bên cạnh đó, sức mạnh của PfSense cũng phụ thuộc vào sức mạnh của Server (Ram, CPU, SS, port mạng). Ngoài ra, bạn cũng có thể dùng Firewall cứng chuyên dụng.

Sử dụng Firewall mềm trên VPS để chống DDoS cho website

Firewall mềm trên VPS có khả năng chống ddos bằng cách chặn IP đó nếu IP đó gửi quá nhiều yêu cầu đến VPS. Tuy nhiên, phương án này không được nhiều người dùng đánh giá khả quan lắm.

Sử dụng Cloudflare để chống DDoS cho website

Cloudflare có cả phiên bản miễn phí và phiên bản mất phí. Phiên bản miễn phí chỉ phù hợp với quy mô DDoS nhỏ. Ở quy mô lớn, Cloudflare sẽ khoá trang web của bạn với mục đích đảm bảo tài nguyên của Cloudflare. Phiên bản mất phí thì tương đối đắt nhưng khá tốt.

Giới hạn số kết nối website tại một thời điểm

Khi người dùng truy cập vào website thì sẽ tạo nên 1 truy vấn kết nối với cơ sở dữ liệu để lấy thông tin khách truy cập sau đó trả về bằng thông báo của website. Mỗi máy chủ sẽ bị giới hạn số lượng truy vấn kết nối, khi xảy ra tình huống quá hạn mức này thì việc truy vấn sẽ khó khăn hoặc có thể xảy ra vấn đề là không thể truy xuất được. Những kẻ xấu có thể lợi dụng chút sơ hở này để tạo ra những truy vấn ảo, kết nối ảo thông qua proxy hay là bởi mạng botnet với mục đích đánh sập những website, sau đó phá hỏng CSDL trang web. Để hạn chế điều này, người dùng có thể sử dụng đoạn mã sau vào trang chủ của website:

function server_busy($numer) {

if (THIS_IS == 'WEBSITE' && PHP_OS == 'Linux' and @file_exists ( '/proc/loadavg' ) and $filestuff = @file_get_contents ( '/proc/loadavg' )) {

$loadavg = explode ( ' ', $filestuff );

if (trim ( $loadavg [0] ) > $numer) {

print '';

print 'Lượng truy cập đang quá tải, mời bạn quay lại sau vài phút.';

exit ( 0 );

}

}

}

$srv = server_busy ( 100 );

Trong đó 100 là số lượng người có thể vào website trong 1 thời điểm. Trong trường hợp số lượng người truy cập vượt quá quy định chủ sở hữu website đặt ra lúc này là 100 người, thì khách truy nhập vào website sẽ nhận được thông báo lượng truy cập bị quá tải.

Lưu ý: đoạn mã này chỉ áp dụng cho ngôn ngữ lập trình PHP.

Chống tải lại trang web có ác ý để bảo vệ website

Một trong những hình thức tấn công khác chính là một nhóm người xấu sử dụng phím F5 liên tục hay sử dụng 1 phần mềm được lập trình sẵn với công dụng tương tự khiến cho website của bạn reload liên tục. Điều này sẽ gây ra những tổn hại như là làm tốn băng thông của website hay làm website chạy chậm vì những kết nối ảo.

Bằng hình thức tấn công này thì bạn hãy sử dụng tập tin .htaccess cùng với nội dung:

RewriteEngine on

RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?domain.com [NC]

RewriteRule !antiddos.phtml http://www.domain.com/antiddos.phtml?%{REQUEST_URI} [QSA]

Tiếp theo, bạn cần tạo thêm 1 tập tin antiddos.phtml có nội dung là:

<?

$text = $HTTP_SERVER_VARS['QUERY_STRING'];

$text = preg_replace("#php\&#si",'php?',$text);

echo('<center><a href=http://www.domain.com/?'.$text.'>;<font color=red size=5 face=Monotype>[CLICK HERE TO ENTER]</font></a</center>');

?>

Cuối cùng, bạn cần upload 2 tập tin này lên thư mục gốc của website.

Chống iframe để chống DDoS

Những kẻ tấn công vào website bạn sẽ lấy 1 website có nhiều lượt người truy cập lớn nào đó để chèn những iframe với mục đích hướng đến website của bạn, rồi chạy lệnh refresh để tải lại nhiều lần hoặc những kẻ tấn công này sẽ viết sẵn 1 tập tin flash với công dụng tương tự rồi đặt lên website. Sau đó, khách truy cập vào website này sẽ trở thành người tấn công website một cách vô tình.

Để giải quyết hình thức tấn công kiểu này thì bạn có khả năng chống lại bằng cách chèn 1 đoạn mã Javascript từ những website khác đến website của bạn như sau:

<script language="JavaScript">

if (top.location != self.location)

{top.location = self.location}

</script>

Ngoại trừ 6 cách trên, BKNS sẽ giúp bạn hiểu thêm các cách đơn giản khác để chống DDoS nhé:

• Nhắc phục lỗ hổng bảo mật của server: Cách tốt nhất để ngăn chặn các cuộc tấn công DDoS Server là loại bỏ tất cả lỗ hổng bảo mật của server. Một server được bảo mật bởi một mạng lưới mạnh mẽ sẽ giảm thiểu khả năng bị tấn công DDoS.
• Tăng dung lượng băng thông: Lý do chính khiến website bị sập chính là không đủ lưu lượng để xử lý các truy cập từ DDoS. Mua thêm băng thông và tăng dung lượng server cũng là một cách rất tốt.
  Ví dụ: Server có thể xử lý 1 triệu người dùng cùng lúc và một cuộc tấn công DDoS chỉ gửi 500.000 truy cập giả. Thì lúc đó website vẫn sẽ xử lý được và hoạt động một cách bình thường.
• Bảo vệ máy chủ DNS: Một cách hiệu quả nữa để phòng chống DDoS là đặt các máy chủ DNS ở các trung tâm dữ liệu khác nhau. Hoặc muốn tốt hơn nữa, hãy chuyển DNS sang nền tảng cloud.
• Phân tán cơ sở hạ tầng: Phân tán các server về mặt địa lý thì sẽ phần nào giúp cho các server không bị ảnh hưởng cùng 1 lúc bởi tấn công DDoS. Tất nhiên các trung tâm này phải có hệ thống load balancing tốt nhằm phân tán được các lưu lượng giữa chúng. Thậm chí, sẽ tốt hơn nếu các trung tâm này nằm ở nhiều quốc gia hoặc khu vực khác nhau.
• Sử dụng WAF và CDN: WAF là một dạng tường lửa cho ứng dựng web. WAF có thế phát hiện và ngăn chặn tấn công DDoS bằng cách theo dõi lưu lượng bất thường và ngăn chặn chúng.
  CDN là mạng lưới phân phối nội dung. Nó có thể cân bằng lưu lượng trên website bằng cách phân bố chúng trên các máy chủ khác nhau trên toàn cầu.

Nên làm gì khi bị tấn công từ chối dịch vụ DDoS?

Người dùng không thể nào xác định được mục đích hoặc nguồn của việc tấn công cho dù xác định đúng tấn công đó là DDoS. Cách tốt nhất là bạn nên tìm các chuyên gia kỹ thuật hỗ trợ.

• Nếu máy tính xuất hiện các vấn đề bất thường, thì bạn nên tìm đến các nhà cung cấp dịch vụ (ISP). Từ đó, ISP sẽ khuyên bạn những hành động thích hợp để xử lý các vấn đề xảy ra.
• Nếu bất cứ website nào hoặc các file bạn không thể truy cập vào thì bạn hãy liên hệ với các nhà quản trị mạng của mạng đó. Đây có thể là mạng hoặc máy tính của bạn đang bị tấn công bởi một tổ chức.

Câu hỏi thường gặp

Khi đối mặt với nguy cơ sập server, người dùng thường có rất nhiều thắc mắc. Dưới đây là giải đáp cho 3 câu hỏi phổ biến nhất về tấn công DDoS:

Tấn công DDoS có đánh cắp dữ liệu của tôi không?

Không, nhưng hãy cẩn thận! Bản chất cốt lõi của một cuộc tấn công DDoS là nhắm vào tính sẵn sàng của hệ thống (làm cạn kiệt tài nguyên, gây sập server) chứ không nhắm vào tính bảo mật dữ liệu. DDoS không có cơ chế xâm nhập vào cơ sở dữ liệu để lấy cắp thông tin khách hàng hay mã nguồn của bạn.

Một cuộc tấn công DDoS kéo dài bao lâu?

Thời gian diễn ra một cuộc tấn công DDoS không cố định và phụ thuộc hoàn toàn vào mục đích cũng như nguồn lực của kẻ tấn công:

• Vài phút đến vài giờ: Thường là các cuộc tấn công quy mô nhỏ, do những tin tặc nghiệp dư thực hiện để “thử nghiệm” hoặc quấy rối tạm thời.
• Vài ngày đến vài tuần: Đây là những cuộc tấn công có chủ đích rõ ràng, quy mô lớn và tinh vi. Chúng có thể được thực hiện để tống tiền doanh nghiệp, phá hoại đối thủ cạnh tranh trong các dịp lễ tết/ngày sale lớn, hoặc mang động cơ chính trị. Các cuộc tấn công này thường đến theo từng đợt sóng (waves) và liên tục thay đổi phương thức để vượt qua các hệ thống phòng thủ.

Làm sao để biết IP nào đang tấn công DDoS mình?

Trong một cuộc tấn công DDoS, việc xác định chính xác danh tính kẻ chủ mưu là rất khó vì chúng ẩn nấp sau hàng ngàn thiết bị bị nhiễm mã độc (Botnet).

Bài viết trên là những thông tin đầy đủ về DDoS bao gồm: khái niệm về DDoS, các kiểu tấn công DDoS, cách nhận biết, giải pháp khi bị tấn công từ chối dịch vụ. Hy vọng qua bài viết bạn có thể hiểu rõ hơn về DDoS và tránh chúng.

Nếu bạn còn thắc mắc nào hãy để lại bình luận ở dưới hoặc liên hệ với chúng tôi để được giải đáp nhanh nhất nhé. Đừng quên truy cập BKNS để biết thêm nhiều thông tin hữu ích khác nhé.