Giải pháp phòng chống tấn công DDoS hiệu quả cho doanh nghiệp

Phòng chống DDoS hiệu quả cần nhiều lớp: dịch vụ lọc lưu lượng ở phía nhà mạng hoặc nhà cung cấp chuyên dụng để chặn tấn công làm ngập băng thông, CDN và tường lửa ứng dụng web để hấp thụ tấn công tầng ứng dụng, cộng với cấu hình máy chủ chịu tải tốt và một kịch bản ứng phó đã tập dượt. Không có thiết bị đơn lẻ nào đặt trong phòng máy của doanh nghiệp đủ sức chống một cuộc tấn công lớn hơn đường truyền Internet của chính doanh nghiệp đó.

DDoS là gì và vì sao khó chặn

Tấn công từ chối dịch vụ phân tán (DDoS) dùng rất nhiều máy, thường là máy tính, camera, router bị nhiễm mã độc tạo thành botnet, cùng lúc gửi lưu lượng tới mục tiêu. Mục tiêu không bị đánh cắp dữ liệu, mà bị làm cho không phục vụ được người dùng thật. Khó chặn vì lưu lượng đến từ hàng nghìn địa chỉ khác nhau, nhiều khi trông giống yêu cầu hợp lệ.

Động cơ có thể là tống tiền, cạnh tranh không lành mạnh, gây rối có mục đích chính trị, hoặc dùng làm màn khói che cho một cuộc xâm nhập khác đang diễn ra cùng lúc.

Ba nhóm tấn công cần phân biệt

Hiểu tấn công thuộc nhóm nào giúp chọn đúng công cụ. Một cuộc tấn công lớp 7 với lưu lượng không lớn có thể làm sập trang web nếu mỗi yêu cầu khiến cơ sở dữ liệu phải làm việc nặng, trong khi băng thông còn dư rất nhiều.

Lớp ngoài cùng: nhà mạng, scrubbing và CDN

Với tấn công khối lượng, việc lọc phải diễn ra trước khi lưu lượng tới đường truyền của bạn. Có ba hướng chính:

• Dịch vụ chống DDoS của nhà mạng: nhiều nhà cung cấp Internet và trung tâm dữ liệu ở Việt Nam có gói lọc lưu lượng cho khách hàng doanh nghiệp. Cần hỏi rõ ngưỡng chống chịu, thời gian kích hoạt và có tính phí theo sự cố không.
• Trung tâm lọc (scrubbing center): lưu lượng được chuyển hướng qua mạng của nhà cung cấp chuyên dụng, lọc sạch rồi mới chuyển về máy chủ gốc, có thể luôn bật hoặc chỉ bật khi bị tấn công.
• CDN và reverse proxy: đặt website sau mạng phân phối nội dung có nhiều điểm hiện diện toàn cầu. Lưu lượng bị phân tán và hấp thụ ở rìa, còn địa chỉ máy chủ gốc được ẩn đi.

Một lỗi hay gặp: dùng CDN nhưng địa chỉ IP thật của máy chủ gốc vẫn bị lộ qua bản ghi DNS cũ, tên miền phụ hay email gửi đi. Kẻ tấn công sẽ đánh thẳng vào IP gốc, bỏ qua lớp bảo vệ. Hãy cấu hình máy chủ gốc chỉ nhận kết nối từ dải địa chỉ của nhà cung cấp CDN.

Lớp ứng dụng và hạ tầng nội bộ

Bên trong, mục tiêu là làm cho hệ thống "khó bị quá tải" hơn:

1. Giới hạn tốc độ theo địa chỉ, theo phiên, theo điểm cuối API, đặc biệt với trang đăng nhập, tìm kiếm, gửi biểu mẫu.
2. Cache nội dung tĩnh và cả trang động ít thay đổi để giảm số yêu cầu chạm tới máy chủ ứng dụng.
3. Tường lửa ứng dụng web với luật chặn bot, thử thách JavaScript khi phát hiện hành vi bất thường.
4. Khả năng mở rộng tự động nếu hạ tầng ở trên đám mây, kèm giới hạn chi phí để tấn công không biến thành hóa đơn khổng lồ.
5. Tách dịch vụ quan trọng như DNS, email, cổng thanh toán ra khỏi cùng một điểm lỗi.

Tường lửa truyền thống và hệ thống ngăn chặn xâm nhập đóng vai trò hỗ trợ, nhưng như đã phân tích trong bài về IDS/IPS, chúng có thể chính là điểm nghẽn nếu bảng trạng thái kết nối bị làm đầy. Cách bố trí các lớp này được bàn kỹ hơn trong bài tường lửa trong kiến trúc mạng.

Kịch bản ứng phó khi đang bị tấn công

Lúc dịch vụ sập không phải lúc để tìm số điện thoại nhà mạng. Kịch bản cần viết sẵn:

• Danh sách liên hệ khẩn cấp của nhà mạng, nhà cung cấp CDN, đối tác hosting.
• Các bước bật chế độ bảo vệ tăng cường, chuyển DNS sang dịch vụ lọc nếu dùng mô hình bật theo yêu cầu.
• Người quyết định và người thông báo cho khách hàng, kèm mẫu thông báo soạn sẵn.
• Cách thu thập nhật ký, mẫu lưu lượng để phân tích và báo cáo cơ quan chức năng khi cần.
• Nguyên tắc không trả tiền chuộc khi bị tống tiền đe dọa DDoS, vì không có gì đảm bảo kẻ tấn công dừng lại.

Kịch bản này nên nằm trong kế hoạch liên tục kinh doanh chung, bên cạnh kế hoạch sao lưu và phục hồi thảm họa, và được diễn tập ít nhất mỗi năm một lần.

Đánh giá mức đầu tư phù hợp

Không phải doanh nghiệp nào cũng cần dịch vụ chống DDoS cao cấp. Câu hỏi cần trả lời: một giờ dịch vụ ngừng hoạt động gây thiệt hại bao nhiêu, doanh nghiệp có phải mục tiêu hấp dẫn không (thương mại điện tử mùa cao điểm, tài chính, game, truyền thông), và hợp đồng với khách hàng có cam kết thời gian hoạt động không. Một website giới thiệu công ty có thể chỉ cần CDN gói cơ bản; một sàn thương mại điện tử cần dịch vụ lọc chuyên dụng luôn bật và đội trực sự cố.