Penolakan Layanan dan DDoS

Serangan Penolakan Layanan (DoS) berupaya membuat sistem atau sumber daya jaringan tidak tersedia bagi pengguna yang sah dengan membebaninya menggunakan lalu lintas dalam jumlah besar atau mengeksploitasi kerentanan yang membuat layanan berhenti.

DoS berasal dari satu sumber. DDoS (DoS Terdistribusi) menggunakan ribuan atau jutaan perangkat yang telah disusupi (botnet) atau teknik amplifikasi untuk menghasilkan lalu lintas serangan. DDoS jauh lebih sulit diblokir karena sumbernya tersebar secara global.

Serangan volumetrik membanjiri bandwidth target dengan lalu lintas mentah:

• Banjir UDP — paket UDP palsu memenuhi bandwidth
• Banjir ICMP — paket ping membebani target
• Amplifikasi DNS — kueri DNS kecil menghasilkan respons besar kepada korban

Diukur dalam Gbps — beberapa serangan melebihi 1 Tbps.

Serangan protokol mengeksploitasi kelemahan dalam protokol jaringan:

• Banjir SYN — mengirim ribuan paket SYN TCP hingga tabel koneksi server habis
• Ping Kematian — mengirim paket ICMP berukuran terlalu besar yang membuat sistem rentan berhenti
• Serangan Smurf — ICMP palsu dikirim ke siaran jaringan, lalu semua host membalas korban

Serangan lapisan aplikasi (Lapisan 7) menargetkan fungsi aplikasi tertentu dengan permintaan yang tampak sah:

• Banjir HTTP — mengirim jutaan permintaan GET/POST
• Slowloris — mengirim header HTTP parsial secara perlahan hingga memenuhi semua koneksi server
• Penghabisan SSL — menyalahgunakan biaya CPU pada jabat tangan TLS

Amplifikasi mengeksploitasi protokol yang mengembalikan data jauh lebih banyak daripada yang diminta:

• Amplifikasi DNS: faktor amplifikasi 60 kali
• Amplifikasi NTP: faktor amplifikasi 556 kali
• Amplifikasi Memcached: faktor amplifikasi 51.000 kali (2018: serangan 1,7 Tbps)

Penyerang memalsukan IP korban sebagai sumber — pemantul mengirim respons berukuran sangat besar kepada korban.

Pusat pembersihan adalah infrastruktur khusus yang menyerap dan menyaring lalu lintas DDoS sebelum mencapai target. Penyedia utama (Cloudflare, Akamai, AWS Shield) memiliki kapasitas pembersihan hingga ratusan Tbps.

Pertahanan pada tingkat aplikasi:

• Pembatasan laju per IP/pengguna
• Tantangan CAPTCHA untuk pola lalu lintas yang mencurigakan
• Perlambatan koneksi
• Pemblokiran berdasarkan reputasi IP (IP botnet yang telah diketahui)

Anycast mendistribusikan lalu lintas serangan ke beberapa pusat data di seluruh dunia. Alih-alih satu target menyerap semua lalu lintas, beban dibagi. Cloudflare dan CDN lainnya menggunakan Anycast untuk menangani serangan volumetrik berskala besar.

DDoS sering digunakan sebagai alat perang siber. Insiden besar meliputi:

• Estonia 2007 — situs pemerintah dan perbankan dilumpuhkan selama krisis politik
• Ukraina 2022 — situs pemerintah Ukraina ditargetkan selama invasi Rusia
• Hacktivis menggunakan DDoS untuk menyampaikan pernyataan politik

Organisasi dapat menguji ketahanan dengan alat pengujian beban yang telah diotorisasi:

• siege — pengujian beban HTTP
• ab (Apache Bench) — pembandingan kinerja HTTP sederhana
• Layanan pengujian beban komersial (dengan otorisasi)

Jangan pernah menguji sistem yang bukan milik Anda atau yang tidak boleh Anda uji berdasarkan izin tertulis.

Jenis serangan apa yang mengirim header HTTP yang tidak lengkap secara sangat perlahan untuk memenuhi semua koneksi server yang tersedia?

Serangan DoS/DDoS menolak layanan dengan membebani target menggunakan lalu lintas atau mengeksploitasi kelemahan protokol. Jenis serangannya mencakup volumetrik (banjir UDP/DNS), protokol (banjir SYN), dan lapisan aplikasi (Slowloris, banjir HTTP). Pertahanan mencakup pusat pembersihan, Anycast, pembatasan laju, dan CAPTCHA. Serangan amplifikasi melipatgandakan kekuatan serangan dengan mengeksploitasi pemantul.