Khi dịch vụ bảo mật bị hỏng

Hình dung điều này. Một nhóm học sinh trung học quyết định chơi khăm trường bằng cách gọi điện đến văn phòng và treo lên, lặp đi lặp lại. Thông tin liên lạc của trường dừng lại; không ai có thể thực sự thông qua hiệu trưởng. Điều đó rất giống với những gì xảy ra trong một cuộc tấn công từ chối dịch vụ phân tán. Malefactors tranh thủ một đội quân bot để chặn các máy chủ của mục tiêu với lưu lượng truy cập, cho đến khi máy chủ không thể chịu đựng được nữa. Incapsula, một dịch vụ bảo vệ DDoS, báo cáo một cuộc tấn công DDoS khổng lồ với một bước ngoặt thú vị; các gói tấn công đến từ hai công ty bảo vệ DDoS khác.

Bài đăng trên blog, bởi Igal Zeifman của Incapsula, không xác định các công ty, chỉ nói họ là "một công ty có trụ sở tại Canada, công ty kia ở Trung Quốc." Cả hai công ty đều thừa nhận trách nhiệm và "loại bỏ các bên có trách nhiệm khỏi dịch vụ của họ". Nhưng làm thế nào điều này có thể xảy ra ở nơi đầu tiên?

Lũ so với khuếch đại

Cuộc tấn công DDoS SpamHaus năm ngoái đã sử dụng một kỹ thuật gọi là khuếch đại DNS. Kẻ tấn công gửi một yêu cầu DNS nhỏ trả về một phản hồi lớn và giả mạo gói yêu cầu để phản hồi đến nạn nhân. Điều đó cho phép một số lượng nhỏ máy chủ thực hiện một cuộc tấn công DDoS khổng lồ.

Tuy nhiên, bài đăng trên Incapsula chỉ ra rằng thật dễ dàng để làm cứng một mạng chống lại kiểu tấn công này. Tất cả những gì bạn cần làm là xác định quy tắc từ chối mọi gói thông tin DNS mà máy chủ không yêu cầu.

Cuộc tấn công trong câu hỏi đã không sử dụng bất kỳ loại khuếch đại. Nó chỉ đơn giản là tràn ngập các máy chủ nạn nhân với các yêu cầu DNS bình thường, với tốc độ 1, 5 tỷ mỗi phút. Các yêu cầu này không thể phân biệt với lưu lượng hợp lệ, vì vậy máy chủ phải kiểm tra từng yêu cầu. Loại tấn công này làm quá tải CPU và bộ nhớ của máy chủ, trong khi một cuộc tấn công khuếch đại làm quá tải băng thông, theo bài viết.

Chuyện đã xảy ra như thế nào?

Zeifman chỉ ra rằng một dịch vụ bảo vệ DDoS có chính xác cơ sở hạ tầng mà người ta sẽ cần để thực hiện một cuộc tấn công DDoS. "Điều này, kết hợp với thực tế là nhiều nhà cung cấp quan tâm nhiều hơn đến 'những gì đang đến' trái ngược với 'những gì đang diễn ra', khiến chúng phù hợp với các tin tặc muốn thực hiện các cuộc tấn công DDoS không khuếch đại lớn, " Zeifman lưu ý. "Bên cạnh việc cung cấp 'vòng xoắn thơ mộng' để biến những người bảo vệ thành kẻ xâm lược, những trận lụt lớn như vậy cũng cực kỳ nguy hiểm."

Đúng là một cuộc tấn công ở cấp độ này đòi hỏi tài nguyên mà một băng đảng tội phạm mạng điển hình có thể không thể tập hợp được. Ngay cả mạng botnet lớn nhất cũng không cho phép họ đạt được 1, 5 tỷ yêu cầu mỗi phút. Giải pháp, theo Zeifman, là dành cho các công ty có những tài nguyên đó để bảo vệ họ tốt hơn. "Bất kỳ nhà cung cấp dịch vụ nào cung cấp quyền truy cập bừa bãi vào các máy chủ có công suất cao đều giúp những người vi phạm vượt qua những hạn chế này", Zeifman nói. "Trong trường hợp này, các nhà cung cấp bảo mật đã chơi ngay vào tay của tin tặc."

Bạn có thể đọc toàn bộ bài viết trên trang web của Incapsula. Và này, nếu bạn là một trong số rất ít người quản lý loại máy chủ công suất cao cần thiết cho loại tấn công này, có lẽ bạn nên kiểm tra bảo mật của mình một cách cẩn thận.