โจมตี DoS/DDoS คืออะไร?
Denial of Service (DoS) คือการโจมตีที่ทำให้บริการเครือข่ายไม่สามารถให้บริการผู้ใช้งานได้ จนเกิดจากการส่งทราฟฟิกมากเกินไป (Volumetric) หรือใช้ช่องโหว่โปรโตคอล (Protocol Attacks) หรือโจมตีระดับแอปพลิเคชัน (Application Layer)
2 โซลูชันหลักที่ช่วยลดโจมตี DoS (Choose Two)
1. Intrusion Prevention System (IPS) / Next-Generation Firewall
ทำไมถึงมีผล: IPS สามารถตรวจจับและบล็อกทราฟฟิกผิดปกติแบบ Real-time รวมถึง:
- Signature-based Detection: จับรูปแบบโจมตีที่รู้จัก (SYN Flood, UDP Flood, HTTP Flood)
- Anomaly-based Detection: เรียนรู้ Baseline ทราฟฟิกปกติ → ตรวจจับความผิดปกติ
- Rate Limiting / Connection Limiting: จำกัดจำนวน Connection ต่อ IP/Port
- Geo-blocking: บล็อก IP จากประเทศเสี่ยง
- Reputation-based Blocking: บล็อก IP ที่รู้จักว่าเป็น Botnet/C2/Scanner
ตัวอย่าง: Cisco Firepower, Palo Alto Networks, FortiGate, Check Point, Snort/Suricata (Open Source)
2. DDoS Mitigation Service / Scrubbing Center (Cloud-based)
ทำไมถึงมีผล: จัดการ Volumetric Attack ที่ใหญ่เกิน Bandwidth ขององค์กร:
- BGP Anycast Routing: เปลี่ยนเส้นทางทราฟฟิกผ่าน Scrubbing Center
- Traffic Scrubbing: กรองทราฟฟิกแยก Good/Bad Traffic
- Absorb 大容量 Attack (Tbps scale)
- Always-on หรือ On-demand Activation
ตัวอย่าง: Cloudflare, Akamai, AWS Shield, Google Cloud Armor, Arbor Networks, Radware, Imperva
โซลูชันเสริมที่สำคัญ (Layered Defense)
3. Rate Limiting / Traffic Shaping บน Router/Switch Edge
- ICMP Rate Limiting (ป้องกัน Ping Flood/Smurf)
- SYN Cookie / SYN Proxy (ป้องกัน SYN Flood)
- Connection Rate Limit ต่อ Source IP
- Control Plane Policing (CoPP) ป้องกัน CPU Exhaustion
4. Network Design: Anycast, Load Balancer, CDN
- กระจายโหลดด้วย Anycast DNS / Anycast IP
- CDN (Cloudflare, CloudFront, Akamai) ดูดซับ Application Layer Attack
- Load Balancer ด้วย Health Check + Rate Limit
5. ความปลอดภัยระดับ Host/Server
- Hardening TCP Stack (net.ipv4.tcp_syncookies=1, tcp_max_syn_backlog)
- Web Server Tuning (Nginx/Apache: limit_conn, limit_req, client_body_timeout)
- Application Layer: WAF (ModSecurity, Cloudflare WAF), Bot Management
วิธีลด Ping Sweep และ Port Scan (Reconnaissance)
| เทคนิค | คำอธิบาย | เครื่องมือ |
|---|---|---|
| ICMP Echo Block/Rate Limit | บล็อกหรือจำกัด Ping จาก Internet | Edge Firewall/Router ACL |
| Port Knocking / SPA | ซ่อนพอร์ตจนกว่าจะ Knock Sequence ถูกต้อง | fwknop, knockd |
| Network Segmentation | แยก VLAN/Zone จำกัด Lateral Movement | Firewall, VLAN, VRF |
| Honeypot / Deception | หลอกโจมตีไปที่ Decoy System | Canary, Thinkst, Cowrie |
| IPS/IDS Alert | แจ้งเตือนเมื่อตรวจพบ Scan Pattern | Suricata, Snort, Zeek |
เครื่องมือสแกนที่นิยม (เพื่อทดสอบเอง)
- Nmap - Port Scanner #1 (`nmap -sS -sV target`, `nmap -sP` สำหรับ Ping Sweep)
- Masscan - สแกนพอร์ตทั้ง Internet ได้ใน 6 นาที
- ZMap - Internet-wide Scanner
- Shodan / Censys - Search Engine สำหรับอุปกรณ์ต่อ Internet
สรุป: 2 โซลูชันหลักสำหรับสอบ/งานจริง
- IPS / Next-Gen Firewall - ป้องกันที่ Edge, จำกัด Rate, Signature + Anomaly
- Cloud DDoS Scrubbing Service - จัดการ Volumetric Attack ขนาดใหญ่
หมายเหตุ: ในสอบ Cisco/Network Security มักถามเป็น "Choose Two" คำตอบมักเป็น IPS และ Rate Limiting/Traffic Shaping หรือ IPS และ DDoS Mitigation Service ขึ้นอยู่กับบริบท
