การโจมตีแบบปฏิเสธการให้บริการ

การโจมตีแบบ ปฏิเสธการให้บริการ พยายามทำให้บริการไม่พร้อมใช้งานสำหรับผู้ใช้ที่ชอบด้วยสิทธิ์ ด้วยการส่งภาระจำนวนมากเข้าใส่ แตกต่างจากการโจมตีที่มุ่งขโมยข้อมูล การโจมตีนี้มุ่งเป้าไปที่ ความพร้อมใช้งาน ซึ่งเป็นเสาหลักข้อที่สามของสามประการ CIA

ผู้โจมตีส่งข้อมูลหรือคำขอเข้าสู่เซิร์ฟเวอร์หรือเครือข่ายมากเกินกว่าจะรองรับได้ ทำให้ทรัพยากรถูกใช้จนหมดและผู้ใช้จริงไม่สามารถเข้าถึงบริการได้

การโจมตีแบบ ปฏิเสธการให้บริการทั่วไปมาจากแหล่งเดียว ส่วนการโจมตีแบบ ปฏิเสธการให้บริการแบบกระจายมาจากหลายแหล่งพร้อมกัน ซึ่งมักมีจำนวนหลายพันแหล่ง ทำให้หยุดได้ยากกว่ามาก

การบล็อก IP ของผู้โจมตีเพียงหนึ่งรายทำได้ง่าย แต่การบล็อกข้อมูลจากที่อยู่กระจัดกระจายนับหมื่น ซึ่งหลายที่เป็นเครื่องของผู้บริสุทธิ์ที่ถูกยึดครอง คือความท้าทายที่แท้จริงและเป็นเหตุให้การโจมตีแบบกระจายอันตรายมาก

การโจมตีแบบปฏิเสธการให้บริการแบบกระจายมักขับเคลื่อนด้วย เครือข่ายบอต ซึ่งเป็นเครือข่ายคอมพิวเตอร์และอุปกรณ์ IoT ที่ติดมัลแวร์และผู้โจมตีควบคุมจากระยะไกล เครื่องที่ติดเชื้อแต่ละเครื่อง ซึ่งเรียกว่า บอตหรือซอมบี้ จะส่งข้อมูลโจมตีตามคำสั่ง

เจ้าของมักไม่รู้เลยว่าอุปกรณ์ของตนกำลังมีส่วนร่วม อุปกรณ์ IoT ที่ไม่ปลอดภัย เช่น กล้อง ได้ถูกนำมาสร้างเครือข่ายบอตขนาดใหญ่ที่สามารถสร้างปริมาณการโจมตีมหาศาล

การโจมตีแบบถล่มปริมาณข้อมูลคือการส่งข้อมูลจำนวนมหาศาลเข้าใส่เป้าหมายเพื่อใช้แบนด์วิดท์อินเทอร์เน็ตจนเต็ม หากช่องทางเต็มไปด้วยข้อมูลขยะ ข้อมูลที่ถูกต้องก็จะผ่านเข้ามาไม่ได้

ตัวอย่างได้แก่การถล่มด้วย UDP และการถล่มด้วย ICMP (ping) การป้องกันคือการมีความจุเพียงพอ หรือใช้บริการคัดกรองข้อมูลจากผู้ให้บริการต้นทางเพื่อดูดซับหรือกรองข้อมูลถล่มก่อนที่ลิงก์ของคุณจะเต็ม

การโจมตีโพรโทคอลทำให้ทรัพยากรของเซิร์ฟเวอร์หรืออุปกรณ์หมดลงด้วยการใช้ประโยชน์จากวิธีทำงานของโพรโทคอล ตัวอย่างคลาสสิกคือ การถล่ม SYN ผู้โจมตีเริ่มการเชื่อมต่อ TCP จำนวนมาก (ด้วยการส่งแพ็กเก็ต SYN) แต่ไม่ดำเนินการให้เสร็จ ทำให้ตารางการเชื่อมต่อของเซิร์ฟเวอร์เต็ม

เซิร์ฟเวอร์จะรอการจับมือที่ไม่มีวันเสร็จสิ้น จนไม่สามารถรับการเชื่อมต่อใหม่ได้ และทำให้ผู้ใช้จริงไม่สามารถใช้บริการ

การโจมตีชั้นแอปพลิเคชันมุ่งเป้าไปที่ซอฟต์แวร์โดยตรง ด้วยคำขอที่ดูเหมือนถูกต้องตามปกติแต่ใช้ทรัพยากรประมวลผลสูง เช่น การค้นหาที่ซับซ้อนหรือการโหลดหน้าเว็บซ้ำ ๆ การโจมตีแบบนี้ใช้แบนด์วิดท์น้อยกว่ามาก จึงตรวจจับได้ยากกว่า

เนื่องจากคำขอแต่ละรายการดูเป็นเรื่องปกติ การแยกข้อมูลโจมตีออกจากผู้ใช้จริงจึงทำได้ยาก ทำให้การตรวจจับและกรองการโจมตีเหล่านี้เป็นเรื่องละเอียดอ่อน โดยไม่ให้กระทบผู้เข้าชมที่ถูกต้อง

การโจมตีแบบขยายผลเพิ่มอำนาจการโจมตีของผู้โจมตี ผู้โจมตีส่งคำขอขนาดเล็กโดยใช้ที่อยู่ต้นทางที่ ปลอมแปลงเป็นที่อยู่ของเหยื่อไปยังเซิร์ฟเวอร์ที่ตอบกลับด้วยข้อมูลขนาดใหญ่กว่ามาก เช่น เซิร์ฟเวอร์ DNS หรือ NTP ที่ตั้งค่าไม่ถูกต้อง

คำขอขนาดเล็กทำให้เกิดคำตอบขนาดใหญ่ที่มุ่งไปยังเหยื่อ ผู้โจมตีจึงขยายปริมาณข้อมูลของตนได้หลายเท่า พร้อมซ่อนตัวอยู่เบื้องหลังการปลอมแปลง

สัญญาณของการโจมตีแบบปฏิเสธการให้บริการ ได้แก่ ปริมาณข้อมูลเพิ่มขึ้นอย่างฉับพลัน บริการทำงานช้าหรือหมดเวลา การใช้ทรัพยากรสูงผิดปกติ และการเชื่อมต่อจำนวนมากจากหลายที่อยู่ การเฝ้าระวังและค่าพื้นฐานช่วยตรวจพบการเพิ่มขึ้นผิดปกติได้อย่างรวดเร็ว

การตรวจจับอย่างรวดเร็วมีความสำคัญ ยิ่งแยกการโจมตีออกจากการเพิ่มขึ้นของข้อมูลตามปกติได้เร็วเท่าไร ก็ยิ่งเริ่มลดผลกระทบได้เร็วขึ้นและจำกัดเวลาหยุดให้บริการได้มากเท่านั้น

การป้องกันต้องใช้หลายชั้น:

• การจำกัดอัตราจำกัดจำนวนคำขอจากแต่ละแหล่ง
• ไฟร์วอลล์และ IPSกรองรูปแบบการโจมตีที่รู้จัก
• บริการ คัดกรองการโจมตีแบบกระจายบนคลาวด์ดูดซับข้อมูลถล่มขนาดใหญ่ตั้งแต่ต้นทาง
• เครือข่ายส่งเนื้อหากระจายภาระไปยังเซิร์ฟเวอร์จำนวนมาก

การกรองเพื่อป้องกันการปลอมแปลงบนอินเทอร์เน็ตยังช่วยลดการโจมตีแบบขยายผลตั้งแต่ต้นทางได้ด้วย

การโจมตีแบบปฏิเสธการให้บริการหยุดได้ยากเป็นพิเศษ เพราะข้อมูลโจมตีอาจดูเหมือนข้อมูลที่ถูกต้องและมาจากแหล่งจำนวนนับไม่ถ้วน คุณไม่สามารถบล็อกทุกอย่างได้ง่าย ๆ เพราะจะกลายเป็นการปฏิเสธการให้บริการด้วยตนเอง

การป้องกันที่ทนทานที่สุดต้องผสานความจุที่เพียงพอ การคัดกรองจากต้นทาง การกรองที่ดี และแผนรับมือเหตุการณ์ โดยยอมรับว่าการป้องกันอย่างสมบูรณ์เป็นไปไม่ได้ และเป้าหมายที่เป็นจริงคือการทำให้ระบบฟื้นตัวได้

การโจมตีแบบ ปฏิเสธการให้บริการโจมตีความพร้อมใช้งานด้วยการทำให้เป้าหมายรับภาระมากเกินไป ส่วนการโจมตีแบบ ปฏิเสธการให้บริการแบบกระจายทำเช่นเดียวกันจากหลายแหล่งผ่าน เครือข่ายบอต ประเภทต่าง ๆ ได้แก่ การโจมตีแบบ ถล่มปริมาณข้อมูล การโจมตีแบบ โพรโทคอล เช่น การถล่ม SYN การโจมตี ชั้นแอปพลิเคชัน และการโจมตีแบบ ขยายผล การป้องกันต้องใช้การจำกัดอัตรา ไฟร์วอลล์ เครือข่ายส่งเนื้อหา และการคัดกรองบนคลาวด์ รวมถึงการป้องกันการปลอมแปลงเพื่อลดการขยายผล

ทดสอบความรู้เกี่ยวกับการโจมตีแบบปฏิเสธการให้บริการของคุณ

การโจมตีแบบ ปฏิเสธการให้บริการทำให้บริการรับภาระมากเกินไปเพื่อปฏิเสธ ความพร้อมใช้งาน ส่วนการโจมตีแบบ ปฏิเสธการให้บริการแบบกระจายใช้หลายแหล่งจาก เครือข่ายบอต ประเภทการโจมตีได้แก่ การถล่มแบบ ปริมาณข้อมูล การโจมตีแบบ โพรโทคอล เช่น การถล่ม SYN การโจมตีแบบลับ ๆ ใน ชั้นแอปพลิเคชัน และการโจมตีแบบ ขยายผลผ่านการปลอมแปลง การป้องกันต้องใช้การจำกัดอัตรา ไฟร์วอลล์ เครือข่ายส่งเนื้อหา และการคัดกรองการโจมตีแบบกระจายบนคลาวด์หลายชั้น