ตลอดหลายปี การโจมตี DDoS (Distributed Denial of Service) เป็นวิธีที่น่าเชื่อถือมากในการทำให้บริการที่โฮสต์ (เช่นเว็บไซต์หรือบริการอย่าง PlayStation Network) ไม่ได้เห็นแสงสว่างอย่างน้อยเป็นระยะหนึ่ง
พลังที่การโจมตีเหล่านี้ใช้ทำให้คนอยากรู้จักกลไกเบื้องหลัง ซึ่งเป็นเหตุผลที่เราใช้เวลาอธิบายว่ามันทำงานอย่างไร และแม้แต่ไปไกลถึงการสาธิตอย่างละเอียดว่าการโจมตีบางอย่างใหญ่เพียงไหน จนถึงขั้นหนึ่งในนั้นสามารถทำให้ภาคส่วนทั้งหมดของอินเทอร์เน็ตหยุดทำงานสำหรับคนหลายล้านคน อย่างไรก็ตาม มีการสนทนาสาธารณะน้อยมากเกี่ยวกับวิธีที่มาตรการต่อต้าน (เช่น DDoS Protection) ทำงาน
ปัญหาในการพูดถึง DDoS Protection
อินเทอร์เน็ตเป็นอาร์เรย์ขนาดใหญ่ของเครือข่ายที่เชื่อมต่อข้ามว่างโหว่ใหญ่โตมาก มีแพ็กเก็ตทริลเลียนๆ กำลังเดินทางด้วยความเร็วใกล้เคียงแสงทั่วโลก เพื่อทำความเข้าใจการทำงานภายในที่ทำให้สับสนและลึกลับ อินเทอร์เน็ตถูกแบ่งเป็นกลุ่ม กลุ่มเหล่านี้มักถูกแบ่งเป็นซับกลุ่ม และต่อไปเรื่อยๆ
สิ่งนี้ทำให้การพูดถึง DDoS Protection ซับซ้อนขึ้นเล็กน้อย วิธีที่คอมพิวเตอร์บ้านป้องกันตัวเองจาก DDoS ทั้งคล้ายและแตกต่างเล็กน้อยจากวิธีที่ Data Center ของบริษัทหลายล้านดอลลาร์ทำ และเรายังไม่ถึง ISP (Internet Service Providers) เลย มีวิธีจัดหมวดหมู่ DDoS Protection เยอะเท่าจำนวนวิธีจัดหมวดหมู่ชิ้นส่วนต่างๆ ที่ประกอบอินเทอร์เน็ต ด้วยการเชื่อมต่อหลายพันล้าน การจุมโหมด การแลกเปลี่ยนทวีป และซับเน็ต
ด้วยสิ่งที่กล่าวมาทั้งหมด มาลองใช้แนวทางผ่าตัดที่สัมผัสรายละเอียดที่เกี่ยวข้องและสำคัญทั้งหมด
หลักการเบื้องหลัง DDoS Protection
หากคุณอ่านเรื่องนี้โดยไม่มีความรู้ชัดเจนว่ DDoS ทำงานอย่างไร ขอแนะนำให้อ่านคำอธิบายที่ลิงก์ไว้ก่อนหน้านี้ มิฉะนั้นอาจมีความรู้สึก overwhelming มีสองสิ่งที่คุณทำกับแพ็กเก็ตที่เข้ามาได้: คุณสามารถ เพิกเฉย (ignore) มัน หรือ เปลี่ยนเส้นทาง (redirect) มัน คุณไม่สามารถหยุดมันไม่ให้มาถึงได้ เพราะคุณไม่มีการควบคุมแหล่งที่มาของแพ็กเก็ต มันอยู่ที่นี่แล้ว และซอฟต์แวร์ของคุณอยากรู้ว่าจะทำกับมันอย่างไร
นี่คือความจริงทั่วไปที่เราทุกคนยึดถือ และรวมถึง ISP ที่เชื่อมเราเข้ากับอินเทอร์เน็ต นี่คือเหตุผลที่การโจมตีหลายอย่างประสบความสำเร็จ: เนื่องจากคุณไม่สามารถควบคุมพฤติกรรมของแหล่งที่มา แหล่งที่มาจึงสามารถส่งแพ็กเก็ตให้เพียงพอที่จะ overwhelm การเชื่อมต่อของคุณ
ซอฟต์แวร์และ Router (ระบบบ้าน) ทำอย่างไร
หากคุณรัน Firewall บนคอมพิวเตอร์ของคุณ หรือ Router ของคุณมี Firewall คุณมักจะติดอยู่กับหลักการพื้นฐานหนึ่ง: หากトラフィก DDoS บินเข้ามา ซอฟต์แวร์จะทำรายการ IP ที่เข้ามาพร้อมกับトラフィกที่ไม่ถูกต้อง
มันทำได้โดยการสังเกตเมื่อมีบางอย่างส่งข้อมูลขยะหรือคำขอเชื่อมต่อเข้ามาที่ความถี่ที่ไม่เป็นธรรมชาติ เช่น มากกว่า 50 ครั้งต่อวินาที มันจะบล็อกธุรกรรมทั้งหมดที่มาจากแหล่งนั้น ด้วยการบล็อก คอมพิวเตอร์ของคุณไม่ต้องใช้ทรัพยากรเพิ่มเติมในการแปลข้อมูลที่อยู่ภายใน ข้อความจะไม่ไปถึงจุดหมาย หากคุณถูกบล็อกโดย Firewall ของคอมพิวเตอร์และพยายามเชื่อมต่อ คุณจะได้ Connection Timeout เพราะสิ่งที่คุณส่งจะถูกเพิกเฉยอย่างง่ายดาย
นี่เป็นวิธีที่ยอดเยี่ยมในการป้องกัน DoS (Denial of Service) แบบ Single-IP เนื่องจากผู้โจมตีจะเห็น Connection Timeout ทุกครั้งที่เช็คว่างานของพวกเขากำลังก้าวหน้าหรือไม่ ด้วย DDoS นี้ทำงานได้เพราะข้อมูลทั้งหมดที่มาจาก IP โจมตีจะถูกเพิกเฉย
แตมีปัญหากับแผนนี้
ในโลกของอินเทอร์เน็ต ไม่มีสิ่งที่เรียกว่า "Passive blocking" คุณต้องการทรัพยากรแม้แต่เมื่อคุณเพิกเฉยแพ็กเก็ตที่มาหาคุณ หากคุณใช้ซอฟต์แวร์ จุดโจมตีหยุดที่คอมพิวเตอร์ของคุณ แต่มันยังผ่าน Router ของคุณเหมือนกระสุนผ่านกระดาษ นั่นหมายถึง Router ของคุณกำลังทำงานอย่างหนักเพื่อ Route แพ็กเก็ตที่ไม่ถูกต้องทั้งหมดไปในทิศทางของคุณ
หากคุณใช้ Firewall ของ Router ทุกอย่างจะหยุดที่นี่ แต่ยังคงหมายถึง Router ของคุณกำลังสแกนแหล่งที่มาของแต่ละแพ็กเก็ต และวนลูปรายการ IP ที่บล็อก เพื่อดูว่าควรเพิกเฉยหรือปล่อยผ่าน
ตอนนี้ ลองจินตนาการ Router ของคุณต้องทำสิ่งที่กล่าวมา ล้านครั้งต่อวินาที Router ของคุณมีกำลังประมวลผลจำกัด เมื่อถึงขีดจำกัดนั้น มันจะมีปัญหาในการจัดลำดับความสำคัญของトラフィกที่ถูกต้อง ไม่ว่าจะใช้วิธีขั้นสูงใดๆ
ลองวางเรื่องนี้ไว้ก่อน เพื่อพูดถึงอีกประเด็นหนึ่ง สมมติคุณมี Router 魔法ที่มีกำลังประมวลผลไม่จำกัด ISP ของคุณยังคงให้ Bandwidth จำกัด เมื่อ Bandwidth cap ถูกถึง คุณจะต้องต่อสู้เพื่อทำงานแม้แต่ง่ายที่สุดบนเว็บ
ดังนั้น โซลูชันสูงสุดสำหรับ DDoS คือการมีกำลังประมวลผลไม่จำกัด และ Bandwidth ไม่จำกัด หากใครค้นพบวิธีทำได้ เราก็จะรอด!
บริษัทใหญ่จัดการโหลดอย่างไร
ความสวยงามของวิธีที่บริษัทจัดการ DDoS อยู่ที่ความอันเป็นที่น่าประทับใจ: พวกเขาใช้โครงสร้างพื้นฐานที่มีอยู่เพื่อต้านทานภัยคุกคามที่มาทางเข้า ปกติแล้ว ทำได้ผ่าน Load Balancer, Content Distribution Network (CDN) หรือการผสมผสานทั้งสอง เว็บไซต์และบริการขนาดเล็กอาจจ้างภายนอก (outsource) ให้บริษัทอื่น หากพวกเขาไม่มีทุนเพื่อดูแลอาร์เรย์เซิร์ฟเวอร์ที่กว้างขวางอย่างนั้น
ด้วย CDN เนื้อหาของเว็บไซต์ถูกคัดลอกไปยังเครือข่ายเซิร์ฟเวอร์ขนาดใหญ่ที่กระจายอยู่ทั่วพื้นที่ทางภูมิศาสตร์หลายแห่ง สิ่งนี้ทำให้เว็บไซต์โหลดเร็ว ไม่ว่าคุณจะอยู่ที่ไหนในโลกเมื่อเชื่อมต่อ
Load Balancers เสริมสิ่งนี้โดยการกระจายข้อมูลและจัดทำแคตตาล็อกในเซิร์ฟเวอร์ที่ต่างกัน จัดลำดับความสำคัญของトラフィกโดยประเภทของเซิร์ฟเวอร์ที่เหมาะสมที่สุดสำหรับงาน เซิร์ฟเวอร์แบนด์วิดท์ต่ำพร้อมฮาร์ดดิสก์ดี สามารถจัดการไฟล์เล็กจำนวนมาก เซิร์ฟเวอร์ที่มีการเชื่อมต่อแบนด์วิดท์มหาศาล สามารถจัดการสตรีมไฟล์ใหญ่ได้ (คิดถึง "YouTube")
และนี่คือวิธีที่มันทำงาน
เห็นภาพไหม? หากการโจมตีตกบนเซิร์ฟเวอร์หนึ่ง Load Balancer สามารถติดตาม DDoS และปล่อยให้มันตีก เซิร์ฟเวอร์นั้นต่อไป ในขณะที่ Redirect ทราฟฟิกที่ถูกต้องทั้งหมดไปที่อื่นบนเครือข่าย ไอเดียคือใช้เครือข่ายแบบกระจายศูนย์ (decentralized) ให้เป็นประโยชน์ จัดสรรทรัพยากรที่ต้องการ เพื่อให้เว็บไซต์หรือบริการยังคงทำงาน ในขณะที่การโจมตีถูกนำไปที่ "Decoy" (เป้าปลอม) น่าสนใจใช่ไหม?
เนื่องจากเครือข่ายเป็นแบบกระจายศูนย์ มันได้ข้อได้เปรียบที่สำคัญเหนือ Firewall แบบง่ายและการป้องกันที่ Router ส่วนใหญ่เสนอ ปัญหาคือ คุณต้องการเงินมากมายเพื่อเริ่มดำเนินการของคุณเอง ในขณะที่พวกเขากำลังเติบโต บริษัทสามารถพึ่งพาผู้ให้บริการเฉพาะทางที่ใหญ่กว่า เพื่อให้การป้องกันที่พวกเขาต้องการ
ยักษ์ใหญ่ๆ ทำอย่างไร
เราได้ท่องเที่ยวเครือข่ายบ้านขนาดเล็ก และแม้แต่冒險 เข้าสู่อาณาจักรของ Mega Corporations ตอนนี้ถึงเวลาเดินเข้าสู่ขั้นสุดท้ายของภารกิจนี้: เราจะดูว่าบริษัทที่ให้คุณการเชื่อมต่ออินเทอร์เน็ต ป้องกันตัวเองไม่ให้ตก vào Abyss สูญสลายอย่างไร นี่กำลังจะซับซ้อนนิดหน่อย แต่ผมจะพยายามกระชับที่สุดเท่าที่จะเป็นไปได้ โดยไม่ต้องเขียน Thesis เกี่ยวกับวิธี DDoS Protection ต่างๆ ที่ทำให้ไหลน้ำลาย
ISP มีวิธีเฉพาะตัวของตนในการจัดการการผันผวนของทราฟฟิก การโจมตี DDoS ส่วนใหญ่เกือบไม่ขึ้นบนเรดาร์ของพวกเขา เนื่องจากพวกเขามีการเข้าถึง Bandwidth เกือบไม่จำกัด ทราฟฟิกประจำวันที่ 7-11 โมงเย็น (a.k.a. "Internet Rush Hour") ถึงระดับที่เกิน Bandwidth ที่คุณได้จาก DDoS stream เฉลี่ยมาก
當然 เนื่องจากนี่คืออินเทอร์เน็ตที่เราพูดถึง มีโอกาส (และเคยมีบ่อย) ที่ทราฟฟิกจะกลายเป็นสิ่งที่มากกว่าแค่ Blip บนเรดาร์
การโจมตีเหล่านี้มาพร้อมลมพายุพราม พยายามทับทับโครงสร้างพื้นฐานของ ISP ขนาดเล็ก เมื่อ Provider ของคุณยกคิ้ว มันจะเร็วๆ เข้าถึงอาร์เซนัลเครื่องมือที่มีอยู่เพื่อต่อสู้ภัยคุกคำนี้ จำไว้ พวกเขามีโครงสร้างพื้นฐานมหาศาลที่สามารถใช้ได้ มีหลายวิธีที่สิ่งนี้จะเกิดขึ้น นี่คือวิธีที่พบบ่อยที่สุด:
- Remotely Triggered Black Hole (RTBH) - 聽起來像科幻電影 但 RTBH 是真實的 有 Cisco 文件記錄 有很多方法可以做 但我給你 "Quick and Dirty" 版本: ISP จะสื่อสารกับเครือข่ายที่การโจมตีมาจาก และบอกมันให้บล็อก Outgoing traffic ทั้งหมดที่โยนไปในทิศทางของมัน มันง่ายกว่าที่จะบล็อก Incoming packets ทุกอย่างจาก Target ISP จะดูเหมือนออฟไลน์ต่อคนที่เชื่อมต่อจากแหล่งโจมตี แต่ทำงานได้และไม่ต้องยุ่งยาก ทราฟฟิกส่วนที่เหลือของโลกไม่ได้รับผลกระทบ
- Scrubbers - ISP ขนาดใหญ่มากบางแห่งมี Data Center เต็มไปด้วยอุปกรณ์ประมวลผล ที่สามารถวิเคราะห์รูปแบบทราฟฟิกเพื่อแยก Трафиกที่ถูกต้องจาก DDoS traffic เนื่องจากต้องการกำลังคอมพิวเตอร์มาก และโครงสร้างพื้นฐานที่มั่นคง ISP ขนาดเล็กมักจะจ้างภายนอกงานนี้ให้บริษัทอื่น ทราฟฟิกบนภาคที่ได้รับผลกระทบผ่าน Filter และ DDoS packets ส่วนใหญ่ถูกบล็อก ในขณะที่ Трафиกที่ถูกต้องได้รับอนุญาตให้ผ่าน นี่รับประกันการทำงานปกติของ ISP ในราคากำลังคอมพิวเตอร์มหาศาล
- Traffic Voodoo บางอย่าง - ใช้วิธีที่เรียกว่า "Traffic Shaping" ISP จะแค่ผลักทุกอย่างที่การโจมตี DDoS นำมาด้วย เข้าไปใน Destination IP ในขณะที่ปล่อย Node อื่นๆ ทั้งหมดคนเดียว นี่คือการโยนเหยื่อใต้รถบัสเพื่อช่วยเหลือเครือข่ายส่วนที่เหลือ มันเป็นโซลูชันที่น่ารังเกียจ และมักเป็นตัวสุดท้ายที่ ISP จะใช้ หากเครือข่ายอยู่ในวิกฤตการณ์ร้ายแรง และต้องการการกระทำที่รวดเร็ว ตัดสินใจ เพื่อให้แน่ใจว่าทั้งหมดรอดชีวิต คิดว่ามันเป็นสถานการณ์ "ความต้องการของคนส่วนมากหนักกว่าความต้องการของคนส่วนน้อย"
ปัญหาของ DDoS คือ ความมีประสิทธิภาพของมันไปพร้อมกับการก้าวหน้าของกำลังคอมพิวเตอร์และความพร้อมของ Bandwidth เพื่อต่อสู้ภัยคุกคำนี้อย่างจริงจัง เราต้องใช้วิธีการปรับเปลี่ยนเครือข่ายขั้นสูง ที่เกินความสามารถของผู้ใช้บ้านเฉลี่ยมาก มันอาจเป็นเรื่องดีที่ครัวเรือนไม่ได้เป็นเป้าหมายโดยตรงของ DOffS บ่อยครั้ง!
เพราะเหตุนี้ หากคุณอยากดูว่าการโจมตีเหล่านี้เกิดขึ้นที่ไหนใน Real-time ให้เช็ค Digital Attack Map
คุณเคยเป็นเหยื่อการโจมตีแบบนี้ที่บ้านหรือที่ทำงานไหม? บอกเรื่องราวของคุณในความคิดเห็น!
