Trong thời đại các hoạt động kinh doanh, giải trí và giao tiếp ngày càng phụ thuộc vào Internet, tính ổn định của website và máy chủ trở thành yếu tố đặc biệt quan trọng. Chỉ cần hệ thống ngừng hoạt động trong vài phút, doanh nghiệp có thể mất khách hàng, doanh thu, uy tín thương hiệu và nhiều cơ hội kinh doanh.
Một trong những mối đe dọa phổ biến nhất đối với hệ thống trực tuyến hiện nay là tấn công DDoS. Hình thức tấn công này có thể nhắm đến website, máy chủ game, VPS, máy chủ ứng dụng, API, hệ thống thanh toán hoặc toàn bộ hạ tầng mạng của doanh nghiệp.
Tấn công DDoS không chỉ đơn giản là gửi thật nhiều lượt truy cập vào một website. Kẻ tấn công có thể khai thác nhiều giao thức mạng, dịch vụ trung gian và điểm yếu trong ứng dụng để làm cạn kiệt băng thông, tài nguyên xử lý hoặc số lượng kết nối mà máy chủ có thể đáp ứng.
Vậy có những hình thức tấn công DDoS nào phổ biến hiện nay? Làm thế nào để nhận biết và phòng chống hiệu quả? Bài viết dưới đây sẽ giúp bạn hiểu rõ hơn.
Tấn Công DDoS Là Gì?
DDoS là viết tắt của Distributed Denial of Service, có nghĩa là tấn công từ chối dịch vụ phân tán.
Mục tiêu của một cuộc tấn công DDoS là khiến website, máy chủ hoặc dịch vụ trực tuyến không thể tiếp tục phục vụ người dùng bình thường. Kẻ tấn công thường sử dụng một số lượng lớn thiết bị đã bị chiếm quyền điều khiển để đồng loạt gửi yêu cầu đến hệ thống mục tiêu.
Những thiết bị này có thể bao gồm:
Máy tính cá nhân bị nhiễm mã độc.
VPS hoặc máy chủ bị chiếm quyền kiểm soát.
Camera giám sát kết nối Internet.
Router, modem và thiết bị mạng.
Điện thoại hoặc thiết bị IoT.
Máy chủ có cấu hình sai và có thể bị lợi dụng để khuếch đại lưu lượng.
Tập hợp những thiết bị bị kiểm soát được gọi là botnet. Khi nhận lệnh từ kẻ tấn công, hàng nghìn hoặc hàng triệu thiết bị trong botnet có thể cùng gửi dữ liệu đến một địa chỉ IP, website hoặc máy chủ game.
Do lưu lượng tấn công đến từ nhiều nguồn khác nhau nên việc ngăn chặn DDoS thường khó hơn nhiều so với tấn công từ một địa chỉ IP đơn lẻ.
Các Nhóm Tấn Công DDoS Phổ Biến
Các hình thức tấn công DDoS thường được chia thành ba nhóm chính:
Tấn công làm cạn kiệt băng thông.
Tấn công vào giao thức mạng.
Tấn công vào tầng ứng dụng.
Ngoài ra, kẻ tấn công có thể kết hợp nhiều phương thức trong cùng một thời điểm. Đây được gọi là tấn công DDoS đa vector.
1. UDP Flood
UDP Flood là một trong những hình thức tấn công DDoS phổ biến nhất. Kẻ tấn công gửi một lượng lớn gói tin UDP đến nhiều cổng khác nhau trên máy chủ mục tiêu.
Khi nhận được gói tin UDP, máy chủ có thể phải kiểm tra xem có ứng dụng nào đang sử dụng cổng đó hay không. Nếu không có dịch vụ phù hợp, máy chủ sẽ phản hồi bằng một gói tin thông báo rằng cổng không khả dụng.
Khi số lượng gói UDP quá lớn, hệ thống phải liên tục xử lý và phản hồi. Điều này có thể làm cạn kiệt băng thông, CPU hoặc tài nguyên mạng của máy chủ.
UDP Flood thường được sử dụng để tấn công:
Máy chủ game.
Máy chủ thoại và truyền phát trực tuyến.
Dịch vụ DNS.
VPS hoặc Dedicated Server.
Hệ thống sử dụng nhiều cổng UDP.
Đối với game server, UDP Flood đặc biệt nguy hiểm vì nhiều trò chơi sử dụng giao thức UDP để truyền dữ liệu theo thời gian thực. Khi bị tấn công, người chơi có thể gặp tình trạng ping cao, mất kết nối, giật lag hoặc không thể truy cập máy chủ.
2. ICMP Flood
ICMP Flood, đôi khi còn được gọi là Ping Flood, là hình thức gửi một số lượng lớn gói ICMP Echo Request đến máy chủ mục tiêu.
Trong điều kiện bình thường, các gói ICMP thường được sử dụng để kiểm tra khả năng kết nối giữa hai thiết bị. Lệnh ping là một ví dụ quen thuộc của việc sử dụng giao thức ICMP.
Trong một cuộc tấn công ICMP Flood, máy chủ phải liên tục tiếp nhận và xử lý hàng loạt yêu cầu ping. Nếu lưu lượng đủ lớn, đường truyền hoặc tài nguyên của hệ thống có thể bị quá tải.
Hậu quả thường gặp gồm:
Tăng độ trễ của hệ thống.
Mất gói tin.
Website tải chậm.
Máy chủ game bị lag.
Người dùng không thể kết nối đến dịch vụ.
Băng thông bị sử dụng hết.
Việc chặn hoàn toàn ICMP không phải lúc nào cũng phù hợp vì giao thức này vẫn cần thiết cho việc chẩn đoán mạng. Giải pháp tốt hơn là giới hạn tốc độ, lọc lưu lượng bất thường và triển khai hệ thống chống DDoS ở lớp mạng.
3. SYN Flood
SYN Flood là hình thức tấn công khai thác quá trình thiết lập kết nối TCP.
Thông thường, một kết nối TCP được hình thành qua ba bước:
Thiết bị gửi yêu cầu SYN.
Máy chủ phản hồi SYN-ACK.
Thiết bị gửi ACK để hoàn tất kết nối.
Trong cuộc tấn công SYN Flood, kẻ tấn công gửi một lượng lớn yêu cầu SYN nhưng không hoàn tất bước cuối cùng. Máy chủ vẫn phải giữ các kết nối đang chờ trong một khoảng thời gian nhất định.
Khi số lượng kết nối chưa hoàn thành tăng quá cao, bảng kết nối của máy chủ có thể bị lấp đầy. Người dùng thật sau đó không thể thiết lập kết nối mới.
SYN Flood có thể nhắm đến nhiều loại dịch vụ sử dụng TCP như:
Website sử dụng HTTP hoặc HTTPS.
Máy chủ đăng nhập.
API.
Cơ sở dữ liệu.
Máy chủ thư điện tử.
SSH, FTP và các cổng quản trị.
Một số loại máy chủ game.
Đây là một dạng tấn công giao thức nguy hiểm vì không nhất thiết phải sử dụng lượng băng thông cực lớn. Chỉ cần tạo đủ nhiều kết nối chưa hoàn thành, kẻ tấn công có thể làm gián đoạn dịch vụ.
4. ACK Flood
ACK Flood là hình thức gửi số lượng lớn gói TCP ACK đến hệ thống mục tiêu.
Các thiết bị tường lửa, bộ cân bằng tải và máy chủ phải kiểm tra từng gói ACK để xác định gói tin có thuộc một kết nối hợp lệ hay không. Nếu khối lượng gói tin quá lớn, thiết bị mạng hoặc tài nguyên máy chủ có thể bị quá tải.
ACK Flood thường được sử dụng để:
Làm cạn kiệt tài nguyên của tường lửa.
Gây quá tải bảng theo dõi kết nối.
Kiểm tra khả năng lọc lưu lượng của hệ thống.
Kết hợp với SYN Flood hoặc UDP Flood.
Làm suy giảm hiệu suất mạng.
Hình thức tấn công này có thể khó xử lý nếu hệ thống chỉ chặn dựa trên cổng hoặc địa chỉ IP, bởi các gói ACK vẫn có thể mang đặc điểm giống lưu lượng TCP thông thường.
5. DNS Amplification
DNS Amplification là hình thức tấn công phản xạ và khuếch đại lưu lượng thông qua các máy chủ DNS có cấu hình không an toàn.
Kẻ tấn công giả mạo địa chỉ IP nguồn thành địa chỉ IP của nạn nhân, sau đó gửi truy vấn đến nhiều máy chủ DNS công khai. Những máy chủ này sẽ gửi phản hồi đến địa chỉ IP của nạn nhân thay vì gửi về thiết bị của kẻ tấn công.
Điểm nguy hiểm của DNS Amplification nằm ở khả năng khuếch đại. Một truy vấn có kích thước nhỏ có thể tạo ra phản hồi lớn hơn nhiều lần. Khi hàng nghìn máy chủ DNS cùng phản hồi, mục tiêu có thể phải tiếp nhận lượng băng thông rất lớn.
Hình thức này thường gây ra:
Nghẽn đường truyền Internet.
Quá tải thiết bị mạng.
Mất kết nối đến máy chủ.
Gián đoạn website và dịch vụ game.
Ảnh hưởng đến nhiều hệ thống sử dụng chung hạ tầng.
Để hạn chế DNS Amplification, quản trị viên cần cấu hình máy chủ DNS đúng cách, không cho phép truy vấn đệ quy công khai không cần thiết và sử dụng hệ thống lọc lưu lượng tại trung tâm dữ liệu.
6. NTP Amplification
NTP là giao thức dùng để đồng bộ thời gian giữa các thiết bị trên mạng. Một số máy chủ NTP cũ hoặc cấu hình không an toàn có thể bị lợi dụng để khuếch đại lưu lượng tấn công.
Tương tự DNS Amplification, kẻ tấn công gửi yêu cầu đến máy chủ NTP nhưng giả mạo địa chỉ IP nguồn của nạn nhân. Máy chủ NTP sau đó gửi dữ liệu phản hồi đến mục tiêu.
Nếu phản hồi lớn hơn nhiều so với yêu cầu ban đầu, kẻ tấn công chỉ cần sử dụng một lượng tài nguyên tương đối nhỏ để tạo ra lưu lượng lớn hơn rất nhiều tại phía nạn nhân.
NTP Amplification chủ yếu nhắm đến băng thông mạng. Khi đường truyền bị lấp đầy, ngay cả khi máy chủ vẫn còn CPU và RAM, người dùng cũng không thể truy cập dịch vụ.
7. Memcached Amplification
Memcached là hệ thống lưu trữ dữ liệu tạm thời trong bộ nhớ, thường được sử dụng để tăng tốc độ truy xuất cho website và ứng dụng.
Các máy chủ Memcached không được bảo vệ và mở trực tiếp ra Internet có thể bị lợi dụng để thực hiện tấn công khuếch đại. Kẻ tấn công gửi yêu cầu nhỏ nhưng có thể khiến máy chủ Memcached trả về phản hồi với kích thước rất lớn đến địa chỉ IP của nạn nhân.
Memcached Amplification từng được xem là một trong những hình thức khuếch đại nguy hiểm do tỷ lệ giữa kích thước yêu cầu và phản hồi có thể rất cao.
Biện pháp phòng ngừa quan trọng là:
Không mở dịch vụ Memcached công khai trên Internet.
Giới hạn kết nối bằng tường lửa.
Chỉ cho phép các máy chủ ứng dụng nội bộ truy cập.
Tắt giao thức UDP nếu không cần thiết.
Thường xuyên kiểm tra các cổng dịch vụ đang mở.
8. SSDP và CLDAP Amplification
SSDP là giao thức được sử dụng trong một số thiết bị UPnP để tự động phát hiện thiết bị trên mạng. CLDAP là một biến thể của giao thức truy cập thư mục LDAP.
Các thiết bị hoặc máy chủ hỗ trợ SSDP, CLDAP nhưng cấu hình không an toàn có thể bị biến thành nguồn phản xạ DDoS. Kẻ tấn công giả mạo địa chỉ IP của nạn nhân và yêu cầu các hệ thống trung gian gửi phản hồi đến mục tiêu.
Mặc dù người dùng thông thường ít khi nghe đến SSDP hoặc CLDAP, đây vẫn là những giao thức có thể bị lợi dụng trong các cuộc tấn công khuếch đại băng thông.
Điều này cho thấy một cuộc tấn công DDoS không nhất thiết phải xuất phát trực tiếp từ thiết bị của kẻ tấn công. Nhiều cuộc tấn công sử dụng các máy chủ và thiết bị hợp pháp trên Internet làm trung gian.
9. HTTP Flood
HTTP Flood là hình thức tấn công vào tầng ứng dụng. Kẻ tấn công gửi số lượng lớn yêu cầu HTTP GET hoặc POST đến website, API hoặc ứng dụng web.
Khác với UDP Flood hoặc ICMP Flood, lưu lượng HTTP Flood có thể trông giống hoạt động của người dùng thật. Mỗi yêu cầu đều có thể truy cập một trang, tìm kiếm dữ liệu, đăng nhập, thêm sản phẩm vào giỏ hàng hoặc gửi biểu mẫu.
Khi số lượng yêu cầu tăng cao, máy chủ phải tiêu tốn tài nguyên để:
Xử lý mã nguồn.
Truy vấn cơ sở dữ liệu.
Kiểm tra phiên đăng nhập.
Tải nội dung.
Gọi API.
Mã hóa kết nối HTTPS.
Tạo phản hồi cho người dùng.
HTTP Flood đặc biệt nguy hiểm với website thương mại điện tử, hệ thống WHMCS, trang đăng nhập, API và các website sử dụng cơ sở dữ liệu lớn.
Do lưu lượng có thể giống người dùng hợp lệ nên việc chỉ chặn theo địa chỉ IP thường không đủ. Hệ thống cần phân tích hành vi, tốc độ truy cập, mẫu yêu cầu, cookie, phiên đăng nhập và nhiều yếu tố khác.
10. Slowloris
Slowloris là hình thức tấn công duy trì nhiều kết nối HTTP mở trong thời gian dài.
Thay vì gửi lượng dữ liệu khổng lồ, kẻ tấn công gửi yêu cầu rất chậm hoặc không hoàn thành toàn bộ nội dung yêu cầu. Máy chủ vẫn phải giữ kết nối và chờ dữ liệu tiếp theo.
Khi đủ nhiều kết nối bị giữ lại, máy chủ có thể hết số lượng kết nối được phép phục vụ. Người dùng bình thường sau đó không thể truy cập website dù băng thông mạng chưa chắc đã bị sử dụng hết.
Slowloris thường hiệu quả đối với các hệ thống:
Có giới hạn kết nối thấp.
Không cấu hình thời gian chờ hợp lý.
Không sử dụng reverse proxy.
Thiếu bộ cân bằng tải.
Không có hệ thống phát hiện kết nối bất thường.
Đây là ví dụ cho thấy một cuộc tấn công DDoS không phải lúc nào cũng cần lượng băng thông lớn. Một số phương thức tập trung vào việc chiếm dụng tài nguyên máy chủ trong thời gian dài.
11. TLS/SSL Exhaustion
Các website sử dụng HTTPS phải thực hiện quá trình mã hóa và giải mã dữ liệu. Việc thiết lập kết nối TLS cũng yêu cầu máy chủ sử dụng tài nguyên xử lý.
Trong cuộc tấn công TLS/SSL Exhaustion, kẻ tấn công liên tục tạo mới hoặc thương lượng lại các kết nối mã hóa. Điều này buộc máy chủ phải thực hiện nhiều phép xử lý liên quan đến bảo mật.
Nếu không có hệ thống cân bằng tải hoặc chống DDoS phù hợp, CPU của máy chủ có thể tăng cao, làm website phản hồi chậm hoặc ngừng hoạt động.
Hình thức này thường nhắm đến:
Website HTTPS.
API bảo mật.
Cổng thanh toán.
Trang đăng nhập.
Hệ thống quản trị.
Dịch vụ sử dụng chứng chỉ SSL/TLS.
12. Tấn Công DDoS Đa Vector
DDoS đa vector là hình thức kết hợp nhiều phương thức tấn công cùng lúc hoặc thay đổi liên tục trong quá trình tấn công.
Ví dụ, kẻ tấn công có thể bắt đầu bằng UDP Flood để làm nghẽn băng thông, sau đó chuyển sang SYN Flood để làm đầy bảng kết nối và tiếp tục sử dụng HTTP Flood để gây quá tải ứng dụng.
Tấn công đa vector khó xử lý vì mỗi hình thức yêu cầu một cơ chế phòng vệ khác nhau. Chặn được lưu lượng UDP không có nghĩa là hệ thống đã an toàn trước HTTP Flood hoặc Slowloris.
Một hệ thống chống DDoS hiệu quả cần có khả năng bảo vệ nhiều lớp, bao gồm:
Lớp mạng.
Lớp giao thức.
Lớp vận chuyển.
Lớp ứng dụng.
Website và API.
Các cổng game sử dụng TCP và UDP.
13. Carpet Bombing DDoS
Carpet Bombing là hình thức phân tán lưu lượng tấn công đến nhiều địa chỉ IP trong cùng một dải mạng thay vì chỉ tập trung vào một máy chủ duy nhất.
Ví dụ, thay vì tấn công một địa chỉ IP cụ thể, kẻ tấn công có thể gửi lưu lượng đến hàng trăm địa chỉ trong cùng subnet. Mỗi địa chỉ chỉ nhận một lượng lưu lượng vừa phải, nhưng tổng lưu lượng trên toàn bộ đường truyền vẫn rất lớn.
Hình thức này có thể vượt qua những hệ thống chỉ kích hoạt bảo vệ khi một địa chỉ IP riêng lẻ vượt ngưỡng lưu lượng.
Carpet Bombing đặc biệt nguy hiểm đối với:
Nhà cung cấp hosting.
Trung tâm dữ liệu.
Hệ thống có nhiều VPS.
Cụm máy chủ game.
Hạ tầng sử dụng chung đường truyền.
Doanh nghiệp có nhiều địa chỉ IPv4.
Dấu Hiệu Website Hoặc Máy Chủ Đang Bị DDoS
Một số dấu hiệu phổ biến cho thấy hệ thống có thể đang bị tấn công DDoS gồm:
Băng thông tăng đột biến không rõ nguyên nhân.
CPU hoặc RAM liên tục ở mức cao.
Website tải chậm hoặc xuất hiện lỗi 502, 503, 504.
Máy chủ game có ping cao bất thường.
Người chơi liên tục bị mất kết nối.
Số lượng kết nối TCP tăng nhanh.
Có nhiều yêu cầu đến từ các địa chỉ IP lạ.
Một URL hoặc API bị truy cập lặp lại liên tục.
Firewall hoặc router bị quá tải.
Dịch vụ không thể truy cập dù máy chủ vẫn đang hoạt động.
Lưu lượng tập trung vào một cổng TCP hoặc UDP cụ thể.
Tuy nhiên, không phải mọi trường hợp website chậm đều do DDoS. Nguyên nhân cũng có thể đến từ mã nguồn chưa tối ưu, cơ sở dữ liệu quá tải, lỗi phần cứng, đường truyền không ổn định hoặc máy chủ thiếu tài nguyên.
Do đó, quản trị viên cần theo dõi biểu đồ băng thông, log hệ thống, số lượng kết nối và mức sử dụng tài nguyên để xác định chính xác nguyên nhân.
Cách Phòng Chống Tấn Công DDoS Hiệu Quả
Không có một giải pháp đơn lẻ nào có thể ngăn chặn mọi cuộc tấn công DDoS. Biện pháp hiệu quả nhất là xây dựng hệ thống bảo vệ nhiều lớp.
Trước tiên, doanh nghiệp nên sử dụng nhà cung cấp máy chủ có hạ tầng chống DDoS chuyên dụng. Hệ thống cần có khả năng phát hiện và lọc lưu lượng tấn công trước khi dữ liệu đi đến máy chủ thật.
Bên cạnh đó, quản trị viên nên:
Cấu hình firewall và giới hạn tốc độ kết nối.
Chỉ mở những cổng thực sự cần thiết.
Cập nhật hệ điều hành và phần mềm thường xuyên.
Sử dụng reverse proxy hoặc CDN cho website.
Thiết lập giới hạn yêu cầu đối với API và trang đăng nhập.
Theo dõi băng thông và tài nguyên máy chủ.
Tối ưu cơ sở dữ liệu và mã nguồn.
Tách biệt hệ thống website, cơ sở dữ liệu và máy chủ game.
Sao lưu dữ liệu định kỳ.
Chuẩn bị phương án chuyển hướng lưu lượng khi xảy ra sự cố.
Sử dụng địa chỉ IP được bảo vệ cho các dịch vụ quan trọng.
Đối với máy chủ game, giải pháp chống DDoS cần hỗ trợ cả TCP và UDP, nhiều cổng game và khả năng lọc lưu lượng theo từng giao thức. Việc chỉ sử dụng dịch vụ bảo vệ website thông thường có thể không đủ để bảo vệ Minecraft, SA-MP, open.mp, FiveM, Rust hoặc các game server khác.
Vì Sao Doanh Nghiệp Nên Chủ Động Bảo Vệ DDoS?
Nhiều đơn vị chỉ tìm đến giải pháp chống DDoS sau khi website hoặc máy chủ đã bị tấn công. Tuy nhiên, khi sự cố xảy ra, doanh nghiệp có thể đã phải đối mặt với nhiều thiệt hại như:
Website ngừng hoạt động.
Khách hàng không thể đặt dịch vụ.
Người chơi rời khỏi máy chủ game.
Hệ thống thanh toán bị gián đoạn.
Nhân viên không thể truy cập công cụ quản trị.
Uy tín thương hiệu bị ảnh hưởng.
Phát sinh chi phí xử lý khẩn cấp.
Dữ liệu và hoạt động kinh doanh bị gián đoạn.
Chủ động triển khai bảo vệ DDoS giúp hệ thống duy trì hoạt động ổn định hơn, giảm thời gian gián đoạn và hạn chế thiệt hại khi xuất hiện lưu lượng bất thường.
Kết Luận
Tấn công DDoS ngày càng đa dạng và không còn giới hạn ở việc gửi một lượng lớn truy cập đến website. Kẻ tấn công có thể sử dụng UDP Flood, SYN Flood, HTTP Flood, DNS Amplification, NTP Amplification, Slowloris, TLS Exhaustion, Carpet Bombing hoặc kết hợp nhiều phương thức cùng lúc.
Mỗi hình thức tấn công nhắm đến một phần khác nhau của hệ thống, từ băng thông, giao thức mạng, bảng kết nối cho đến CPU, cơ sở dữ liệu và ứng dụng web.
Để bảo vệ website, VPS hoặc máy chủ game, doanh nghiệp cần kết hợp cấu hình bảo mật phù hợp với hạ tầng chống DDoS chuyên dụng. Việc theo dõi lưu lượng, giới hạn kết nối, tối ưu hệ thống và lựa chọn nhà cung cấp uy tín sẽ giúp giảm đáng kể nguy cơ dịch vụ bị gián đoạn.
ObeGames cung cấp các giải pháp Game Hosting, VPS Hosting, VPS NVMe, Hosting Bot, Dedicated Server và bảo vệ DDoS, phù hợp với ứng dụng và máy chủ game cần vận hành ổn định 24/7. Một hạ tầng được chuẩn bị tốt ngay từ đầu sẽ giúp bạn chủ động hơn trước các nguy cơ tấn công mạng và mang đến trải nghiệm ổn định cho người dùng.