DDoS là gì? Cách hoạt động, dấu hiệu và cách phòng chống

Website đột nhiên phản hồi chậm, lượng truy cập tăng bất thường hoặc dịch vụ trực tuyến không thể truy cập dù máy chủ vẫn hoạt động có thể là dấu hiệu của một cuộc tấn công từ chối dịch vụ.

Trong đó, DDoS là một trong những hình thức tấn công phổ biến nhằm tạo ra lượng lớn traffic hoặc request để làm quá tải hạ tầng mục tiêu. Vậy DDoS là gì, cuộc tấn công này hoạt động như thế nào và doanh nghiệp có thể làm gì để giảm thiểu rủi ro?

DDoS là gì?

DDoS (Distributed Denial of Service) là tấn công từ chối dịch vụ phân tán, trong đó kẻ tấn công sử dụng nhiều thiết bị hoặc hệ thống khác nhau để đồng thời gửi lượng lớn traffic, packet hoặc request đến một website, server, ứng dụng hay hệ thống mạng.

Mục tiêu của DDoS là làm cạn kiệt các tài nguyên cần thiết để hệ thống duy trì dịch vụ, chẳng hạn như:

• Băng thông mạng.
• Khả năng xử lý kết nối.
• CPU và RAM.
• Tài nguyên của firewall hoặc load balancer.
• Khả năng xử lý request của web server.
• Tài nguyên của ứng dụng và cơ sở dữ liệu.

Khi lượng traffic hoặc request vượt quá khả năng xử lý, hệ thống có thể phản hồi chậm, xuất hiện timeout hoặc hoàn toàn không thể phục vụ người dùng hợp lệ.

Điểm khác biệt quan trọng của DDoS nằm ở yếu tố “Distributed” – phân tán. Thay vì chỉ phát sinh từ một thiết bị, traffic tấn công có thể đến từ hàng nghìn hoặc thậm chí nhiều hơn các thiết bị nằm ở nhiều vị trí khác nhau.

Tấn công DDoS hoạt động như thế nào?

Một cuộc tấn công DDoS thường được thực hiện thông qua một mạng lưới các thiết bị đã bị chiếm quyền điều khiển gọi là botnet.

Kẻ tấn công có thể khai thác lỗ hổng bảo mật hoặc phát tán mã độc để kiểm soát máy tính, server, router, camera IP, thiết bị IoT và nhiều thiết bị kết nối Internet khác. Mỗi thiết bị bị kiểm soát trở thành một bot trong mạng botnet.

Khi cuộc tấn công bắt đầu, các bot đồng loạt gửi traffic hoặc request đến cùng một mục tiêu.

Quá trình có thể hình dung đơn giản như sau:

Kẻ tấn công → Botnet → lượng lớn traffic/request → hạ tầng mạng → server/ứng dụng → tài nguyên bị quá tải

Ví dụ, một website thông thường có thể xử lý vài nghìn request trong một khoảng thời gian nhất định. Nếu đột nhiên nhận hàng trăm nghìn hoặc hàng triệu request từ nhiều nguồn khác nhau, server và các thành phần phía trước có thể không còn đủ tài nguyên để xử lý request của người dùng thật.

Tuy nhiên, không phải mọi cuộc DDoS đều dựa vào việc tạo ra lượng băng thông cực lớn. Một số hình thức tấn công chỉ cần tạo nhiều connection hoặc gửi những request đặc biệt khiến hệ thống phải tiêu tốn nhiều tài nguyên xử lý.

Đây cũng là lý do việc phòng chống DDoS cần xem xét cả network layer, transport layer và application layer.

DDoS và DoS khác nhau như thế nào?

DoS và DDoS đều thuộc nhóm tấn công từ chối dịch vụ với mục tiêu làm suy giảm khả năng cung cấp dịch vụ của hệ thống. Điểm khác nhau chủ yếu nằm ở số lượng và mức độ phân tán của nguồn tấn công.

Với DoS, việc xác định và chặn nguồn traffic có thể đơn giản hơn nếu cuộc tấn công chỉ đến từ một địa chỉ cụ thể.

Trong khi đó, DDoS có thể tạo traffic từ hàng nghìn địa chỉ IP khác nhau. Vì vậy, chỉ chặn một vài IP thường không đủ để ngăn chặn cuộc tấn công.

Các loại tấn công DDoS phổ biến

DDoS có thể được triển khai theo nhiều kỹ thuật khác nhau. Xét theo lớp tài nguyên bị nhắm tới, các cuộc tấn công thường được chia thành ba nhóm chính:

• Volumetric Attack.
• Protocol Attack.
• Application Layer Attack.

Volumetric Attack

Volumetric Attack là nhóm tấn công tập trung tạo ra lượng traffic rất lớn nhằm làm cạn kiệt băng thông của hệ thống mục tiêu.

Khi lưu lượng tấn công vượt quá dung lượng đường truyền, traffic hợp lệ cũng khó tiếp cận server.

Một số kỹ thuật thường gặp gồm:

• UDP Flood.
• ICMP Flood.
• DNS Amplification.

Điểm đáng chú ý là với Volumetric Attack, vấn đề có thể xuất hiện trước khi traffic đến được máy chủ.

Ví dụ, nếu đường truyền chỉ có khả năng tiếp nhận một mức băng thông nhất định nhưng cuộc tấn công tạo ra lượng traffic lớn hơn nhiều lần, việc tăng thêm CPU hoặc RAM cho server cũng không giải quyết được tình trạng nghẽn mạng.

Protocol Attack

Protocol Attack tập trung khai thác cách các giao thức mạng và transport hoạt động để tiêu thụ tài nguyên của server hoặc các thiết bị mạng trung gian.

Mục tiêu có thể bao gồm:

• Firewall.
• Load Balancer.
• Server.
• Thiết bị mạng.
• Bảng trạng thái kết nối.

Một trong những ví dụ điển hình là SYN Flood.

Khi client muốn thiết lập kết nối TCP với server, hai bên cần thực hiện quá trình TCP three-way handshake. Trong SYN Flood, kẻ tấn công gửi lượng lớn SYN request nhưng không hoàn tất quá trình kết nối.

Server có thể phải duy trì nhiều connection ở trạng thái chờ, từ đó tiêu tốn tài nguyên và làm giảm khả năng tiếp nhận kết nối mới từ người dùng hợp lệ.

Application Layer Attack

Application Layer Attack nhắm vào Layer 7, nơi web server và ứng dụng trực tiếp xử lý request từ người dùng.

Khác với Volumetric Attack, hình thức này không nhất thiết cần tạo lượng băng thông cực lớn.

Một request HTTP có thể kích hoạt nhiều quá trình phía sau như:

• Truy vấn Database.
• Tìm kiếm dữ liệu.
• Xác thực người dùng.
• Xử lý giao dịch.
• Gọi API.
• Render nội dung động.

Nếu kẻ tấn công liên tục gửi request đến những endpoint tiêu tốn nhiều tài nguyên, ứng dụng có thể bị quá tải ngay cả khi tổng băng thông chưa đạt mức quá cao.

HTTP Flood là một trong những hình thức Application Layer DDoS phổ biến.

Dấu hiệu website hoặc server có thể đang bị DDoS

Website phản hồi chậm không đồng nghĩa chắc chắn đang bị DDoS. Database bottleneck, lỗi ứng dụng, thiếu CPU/RAM, sự cố mạng hoặc lượng người dùng thật tăng đột biến cũng có thể tạo ra biểu hiện tương tự.

Tuy nhiên, doanh nghiệp nên kiểm tra khi xuất hiện một số dấu hiệu như:

• Traffic tăng đột biến trong thời gian ngắn.
• Requests per second tăng bất thường.
• Số connection đồng thời tăng mạnh.
• Một endpoint nhận lượng request lớn hơn nhiều so với thông thường.
• Bandwidth bị sử dụng gần hoặc đạt giới hạn.
• Website phản hồi chậm hoặc xuất hiện timeout.
• Server vẫn hoạt động nhưng người dùng không thể truy cập dịch vụ.
• Nhiều request có mẫu hành vi tương tự nhau.
• Traffic tăng bất thường từ một số khu vực hoặc nhóm IP.
• CPU hoặc tài nguyên ứng dụng tăng nhanh cùng với lượng request.

Để xác định chính xác nguyên nhân, cần phân tích đồng thời network traffic, access log, application log, CPU, RAM, connection, bandwidth và các chỉ số liên quan.

Tấn công DDoS gây ra hậu quả gì?

DDoS trực tiếp ảnh hưởng đến tính sẵn sàng của hệ thống.

Khi website hoặc ứng dụng không thể phục vụ người dùng bình thường, doanh nghiệp có thể đối mặt với nhiều hệ quả.

Gián đoạn dịch vụ

Người dùng không thể truy cập website, ứng dụng, API hoặc các dịch vụ trực tuyến.

Đối với những hệ thống hoạt động liên tục, chỉ một khoảng downtime cũng có thể ảnh hưởng đáng kể đến hoạt động kinh doanh.

Ảnh hưởng trải nghiệm người dùng

Không phải cuộc DDoS nào cũng khiến hệ thống sập hoàn toàn.

Trong nhiều trường hợp, người dùng vẫn có thể truy cập nhưng gặp:

• Thời gian phản hồi kéo dài.
• Trang tải chậm.
• API timeout.
• Giao dịch thất bại.
• Mất kết nối giữa chừng.

Tăng áp lực lên hạ tầng

Lượng request bất thường có thể khiến CPU, RAM, bandwidth, connection pool, web server và Database cùng chịu áp lực.

Nếu hệ thống sử dụng cơ chế tự động mở rộng tài nguyên, traffic tấn công thậm chí có thể khiến hạ tầng liên tục scale-out và làm chi phí vận hành tăng lên.

Ảnh hưởng doanh thu và uy tín

Đối với website thương mại điện tử, hệ thống thanh toán, SaaS hoặc dịch vụ trực tuyến, downtime đồng nghĩa với việc người dùng không thể thực hiện giao dịch.

Nếu tình trạng xảy ra thường xuyên, trải nghiệm khách hàng và uy tín của doanh nghiệp cũng có thể bị ảnh hưởng.

Cách phòng chống và giảm thiểu tấn công DDoS

Không có một phương pháp duy nhất có thể chống lại mọi hình thức DDoS.

Một chiến lược bảo vệ hiệu quả thường cần kết hợp nhiều lớp từ hạ tầng mạng đến ứng dụng.

Theo dõi traffic và xây dựng baseline

Doanh nghiệp cần xác định trạng thái hoạt động bình thường của hệ thống trước khi có thể phát hiện bất thường.

Một số chỉ số nên được theo dõi gồm:

• Bandwidth.
• Requests per second.
• Concurrent connections.
• CPU và RAM.
• Network throughput.
• Response time.
• Error rate.
• Traffic theo IP và khu vực.
• Request trên từng endpoint.

Khi các chỉ số tăng vượt xa baseline trong thời gian ngắn, đội ngũ vận hành có thể nhanh chóng kiểm tra nguyên nhân.

Sử dụng Rate Limiting

Rate Limiting giới hạn số request mà một client hoặc nhóm client được phép gửi trong một khoảng thời gian.

Ví dụ, nếu một API thông thường chỉ cần vài chục request mỗi phút từ một người dùng, hệ thống có thể giới hạn những client tạo hàng nghìn request trong cùng khoảng thời gian.

Rate Limiting đặc biệt hữu ích trong việc hạn chế một số hình thức abuse và Application Layer DDoS.

Tuy nhiên, ngưỡng giới hạn cần được thiết kế phù hợp để tránh chặn nhầm người dùng thật.

Triển khai Firewall

Firewall giúp kiểm soát lưu lượng vào và ra khỏi hệ thống dựa trên các chính sách như:

• IP.
• Port.
• Protocol.
• Source.
• Destination.
• Connection state.

Firewall có thể loại bỏ một phần traffic không hợp lệ trước khi chúng tiếp cận sâu hơn vào hạ tầng.

Tuy nhiên, với các cuộc DDoS quy mô lớn, firewall cũng có thể trở thành một trong những tài nguyên bị quá tải nếu toàn bộ traffic tấn công đều phải đi qua thiết bị này.

Sử dụng Web Application Firewall

Web Application Firewall (WAF) tập trung bảo vệ Layer 7 và phân tích HTTP/HTTPS traffic. WAF có thể áp dụng các rule để phát hiện hoặc chặn request bất thường dựa trên URL, header, phương thức HTTP, IP, hành vi request và nhiều điều kiện khác.

Đây là lớp bảo vệ quan trọng với website, web application và API trước các hình thức tấn công ở application layer.

Phân phối traffic bằng CDN

CDN đặt các máy chủ phân tán giữa người dùng và origin server.

Đối với nội dung có thể cache, request có thể được xử lý tại các edge node thay vì liên tục gửi về origin.

Ngoài việc cải thiện tốc độ phân phối nội dung, kiến trúc phân tán còn giúp giảm mức độ phụ thuộc vào một điểm xử lý duy nhất.

Tuy nhiên, khả năng chống DDoS cụ thể vẫn phụ thuộc vào kiến trúc mạng, năng lực hấp thụ traffic và cơ chế lọc của từng hệ thống CDN.

Sử dụng Load Balancer

Load Balancer phân phối request tới nhiều server backend thay vì để toàn bộ lưu lượng tập trung vào một máy chủ. Điều này giúp tăng khả năng chịu tải của ứng dụng và giảm nguy cơ một server đơn lẻ trở thành điểm nghẽn.

Load Balancer đặc biệt hữu ích khi kết hợp với kiến trúc nhiều instance và khả năng scale-out.

Xây dựng hạ tầng có khả năng mở rộng

Cloud giúp doanh nghiệp mở rộng CPU, RAM, server instance và các tài nguyên khác khi nhu cầu tăng. Khả năng scale giúp hệ thống xử lý tốt hơn những đợt traffic hợp lệ tăng đột biến, chẳng hạn trong chiến dịch marketing hoặc sự kiện bán hàng.

Tuy nhiên, cần phân biệt rõ:

Khả năng mở rộng hạ tầng không đồng nghĩa với khả năng chống DDoS. Nếu traffic độc hại tiếp tục tăng không giới hạn, việc chỉ bổ sung server có thể làm tăng chi phí mà không loại bỏ nguồn tấn công.

Sử dụng giải pháp DDoS Protection

Giải pháp DDoS Protection chuyên dụng thường tập trung vào ba nhiệm vụ chính:

1. Phát hiện traffic bất thường.
2. Phân biệt traffic hợp lệ với traffic tấn công.
3. Lọc hoặc giảm thiểu traffic độc hại trước khi chúng làm quá tải hệ thống mục tiêu.

Tùy kiến trúc, cơ chế bảo vệ có thể bao gồm:

• Traffic filtering.
• Rate limiting.
• Packet validation.
• Access Control List.
• Connection validation.
• SYN protection.
• Behavioral analysis.
• Traffic scrubbing.

Mục tiêu cuối cùng không phải chặn toàn bộ traffic mà là giữ cho người dùng hợp lệ vẫn có thể truy cập dịch vụ trong thời gian cuộc tấn công diễn ra.

Doanh nghiệp cần chuẩn bị gì trước nguy cơ DDoS?

Xử lý DDoS sẽ khó khăn hơn nhiều nếu doanh nghiệp chỉ bắt đầu tìm giải pháp sau khi website đã mất kết nối.

Thay vào đó, cần chủ động xây dựng khả năng phát hiện và ứng phó trước.

Trước tiên, doanh nghiệp nên xác định những tài nguyên quan trọng cần bảo vệ như website chính, API, hệ thống thanh toán, cổng khách hàng hoặc ứng dụng nội bộ cung cấp qua Internet.

Tiếp theo là xây dựng hệ thống monitoring để theo dõi traffic, bandwidth, request rate, connection và hiệu suất ứng dụng.

Kiến trúc bảo vệ cũng nên được triển khai theo nhiều lớp thay vì phụ thuộc vào một giải pháp duy nhất. Firewall, WAF, CDN, Load Balancer, DDoS Protection và khả năng mở rộng hạ tầng đảm nhiệm những nhiệm vụ khác nhau trong quá trình bảo vệ hệ thống.

Đối với doanh nghiệp vận hành ứng dụng trên Cloud, việc kết hợp các dịch vụ hạ tầng và bảo mật trên cùng một môi trường cũng giúp đơn giản hóa quá trình mở rộng, giám sát và kiểm soát traffic.

VNPT Cloud cung cấp hệ sinh thái hạ tầng và bảo mật Cloud phục vụ nhiều lớp khác nhau của hệ thống như Cloud Server, Cloud Firewall, Cloud WAAP, Cloud CDN và Cloud Load Balancer. Doanh nghiệp có thể lựa chọn và kết hợp các lớp bảo vệ phù hợp với kiến trúc ứng dụng, mức độ quan trọng của dịch vụ và yêu cầu về tính sẵn sàng.

Câu hỏi thường gặp về DDoS

DDoS viết tắt của từ gì?

DDoS là viết tắt của Distributed Denial of Service, nghĩa là tấn công từ chối dịch vụ phân tán.

DDoS có phải virus không?

Không. DDoS là một hình thức tấn công nhằm làm gián đoạn khả năng cung cấp dịch vụ.

Tuy nhiên, malware có thể được sử dụng để chiếm quyền điều khiển máy tính và thiết bị IoT, sau đó biến chúng thành bot tham gia mạng botnet phục vụ các cuộc tấn công DDoS.

DDoS có làm mất dữ liệu không?

Mục tiêu chính của DDoS là làm suy giảm tính sẵn sàng của hệ thống chứ không trực tiếp tập trung vào đánh cắp dữ liệu.

Tuy nhiên, khi xuất hiện DDoS, doanh nghiệp vẫn nên kiểm tra toàn bộ sự kiện bảo mật vì các hoạt động tấn công khác có thể diễn ra đồng thời.

Firewall có chống được DDoS không?

Firewall có thể đóng vai trò là một lớp trong kiến trúc phòng chống DDoS nhưng không thể xử lý mọi loại tấn công.

DDoS có thể nhắm vào băng thông, giao thức mạng hoặc application layer. Vì vậy, hệ thống thường cần kết hợp Firewall với WAF, Rate Limiting, Load Balancer, CDN, monitoring và giải pháp DDoS Protection phù hợp.

Tăng cấu hình server có chống được DDoS không?

Tăng CPU, RAM hoặc số lượng server giúp hệ thống xử lý được lượng tải lớn hơn nhưng không phải là giải pháp chống DDoS hoàn chỉnh.

Nếu bandwidth đã bị bão hòa hoặc lượng traffic độc hại tiếp tục tăng, server mạnh hơn vẫn có thể không thể phục vụ người dùng bình thường.

Kết luận

DDoS là tấn công từ chối dịch vụ phân tán, sử dụng nhiều nguồn traffic hoặc request để làm quá tải website, server, ứng dụng hoặc hệ thống mạng, từ đó khiến người dùng hợp lệ gặp khó khăn hoặc không thể truy cập dịch vụ.

DDoS có thể diễn ra ở nhiều lớp khác nhau, từ Volumetric Attack làm cạn băng thông đến Protocol Attack nhắm vào tài nguyên kết nối và Application Layer Attack tập trung vào website hoặc API. Do đó, doanh nghiệp cần xây dựng chiến lược bảo vệ nhiều lớp, kết hợp monitoring, Rate Limiting, Firewall, WAF, CDN, Load Balancer và các cơ chế DDoS Protection phù hợp.

Với hệ thống yêu cầu tính sẵn sàng cao, chủ động xây dựng kiến trúc Cloud có khả năng mở rộng và bảo mật ngay từ đầu sẽ giúp doanh nghiệp nâng cao khả năng chống chịu trước các đợt traffic bất thường và giảm nguy cơ gián đoạn dịch vụ.