Tấn công DoS (Denial of Service) là gì?
Tấn công DoS nhằm làm tê liệt dịch vụ mạng bằng cách inondate (ngập) mục tiêu với traffic giả hoặc khai thác lỗ hổng khiến hệ thống sập. DDoS (Distributed DoS) dùng nhiều máy tính (botnet) cùng tấn công.
Hai giải pháp bảo mật mạng hiệu quả nhất chống DoS
1. Hệ thống Phòng xâm nhập / Ngăn chặn xâm nhập (IPS/IDS) + Rate Limiting / Traffic Shaping
Cơ chế:
- IPS (Intrusion Prevention System): Phân tích traffic real-time, so khớp chữ ký (signature) và hành vi (anomaly) của các cuộc tấn công DoS/DDoS đã biết (SYN flood, UDP flood, ICMP flood, HTTP flood, Slowloris...)
- Rate Limiting / Traffic Shaping: Giới hạn băng thông, số kết nối/giây (connection rate), request/giây cho mỗi IP/subnet/protocol. Traffic vượt ngưỡng bị drop hoặc queue.
- Geo-blocking / Reputation blocking: Chặn traffic từ quốc gia rủi ro cao, IP trong danh sách xấu (threat intelligence feeds)
Triển khai: Thiết bị chuyên dụng (Cisco Firepower, Palo Alto, FortiGate, Check Point), WAF (Web Application Firewall: Cloudflare, AWS WAF, Imperva, F5 ASM), hoặc software (Suricata, Snort, ModSecurity) trên Linux.
Ưu điểm: Phát hiện và chặn real-time, bảo vệ lớp 3-7, tùy chỉnh rule, tích hợp threat intel.
Nhược điểm: Cần điều chỉnh rule (tuning) để tránh false positive, tốn tài nguyên xử lý gói tin sâu (deep packet inspection).
2. Dịch vụ bảo vệ DDoS dựa trên đám mây (Cloud-based DDoS Mitigation / Scrubbing Centers)
Cơ chế:
- Đổi DNS trỏ traffic qua nhà cung cấpscrubbing (Cloudflare, Akamai, AWS Shield, Google Cloud Armor, Radware, Arbor/NETSCOUT)
- Traffic được phân tích tại các trung tâmscrubbing toàn cầu (Tbps capacity)
- Traffic sạch được forward về server gốc (origin) qua tunnel/GRE/anycast
- Ẩn IP thật của origin – kẻ tấn công không tấn công trực tiếp được
Các gói dịch vụ:
- Always-on: Luôn route qua scrubbing (độ trễ thấp, bảo vệ liên tục)
- On-demand: Chỉ bật khi bị tấn công (tiết kiệm chi phí, có độ trễ kích hoạt)
Ưu điểm: Khả năng hấp thụ tấn công khổng lồ (Tbps), không tốn băng thông đường truyền vào, ẩn IP origin, zero-maintenance.
Nhược điểm: Chi phí cao (enterprise), phụ thuộc nhà cung cấp, độ trễ nhỏ, cần cấu hình DNS/SSL đúng.
Bảng so sánh nhanh
| Tiêu chí | IPS/IDS + Rate Limiting (On-premise) | Cloud DDoS Mitigation (Scrubbing) |
|---|---|---|
| Quy mô tấn công chịu đựng | Gbps (phụ thuộc băng thông đường truyền) | Tbps (hấp thụ gần như vô hạn) |
| Bảo vệ Layer 7 (HTTP/HTTPS) | Tốt (WAF tích hợp) | Rất tốt (WAF chuyên biệt, ML/AI) |
| Chi phí | CAPEX (mua thiết bị) + OPEX (bảo trì) | OPEX (subscription theo băng thông/traffic) |
| Độ trễ | Rất thấp (in-line) | Thấp (anycast, edge PoP) |
| Ẩn IP Origin | Không | Có (quan trọng) |
| Phù hợp | Doanh nghiệp vừa, kiểm soát toàn bộ, data sovereignty | Enterprise, e-commerce, ngân hàng, target giá trị cao |
Các biện pháp bổ sung (Defense in Depth)
- Cấu hình Router/Switch:
- Bật TCP Intercept / SYN Cookie (chống SYN flood)
- Control Plane Policing (CoPP) – bảo vệ CPU router
- uRPF (Unicast Reverse Path Forwarding) – chống IP spoofing
- Giữ giới hạn ICMP rate-limiting
- Server/OS Hardening:
- Tăng backlog queue:
net.core.somaxconn,net.ipv4.tcp_max_syn_backlog - Bật SYN Cookies:
net.ipv4.tcp_syncookies=1 - Giảm
tcp_fin_timeout,tcp_keepalive_time - Giới hạn kết nối/IP bằng
iptables/nftableshoặclimitmodule
- Tăng backlog queue:
- CDN (Content Delivery Network): Cloudflare, CloudFront, Fastly – cache tĩnh, ẩn origin, 흡수 traffic lớn
- Anycast DNS: Phân tán DNS, khó DoS được DNS
- Threat Intelligence Feeds: Tự động cập nhật IP xấu vào blocklist (AlienVault OTX, AbuseIPDB, Spamhaus, Emerging Threats)
- Kế hoạch ứng phó (IR Plan): Quy trình phát hiện, báo cáo, kích hoạt mitigation, liên lạc ISP, truyền thông
Câu hỏi trắc nghiệm liên quan (CCNA Security / Network Security)
Câu: Which two network security solutions can be used to mitigate DoS attacks? (Choose two.)
Đáp án đúng: IPS/IDS (Intrusion Prevention System) và Cloud-based DDoS Mitigation / Scrubbing Service.
Giải thích: IPS phát hiện/chặn real-time dựa trên chữ ký/hành vi; Cloud scrubbing hấp thụ traffic tấn công khổng lồ trước khi đến mạng bạn. Hai giải pháp này bổ trợ nhau (on-premise + cloud).
Các đáp án sai thường gặp: Antivirus (chống malware, không chống DoS), VPN (mã hóa, không chống DoS), Firewall truyền thống (stateless/stateful chỉ lọc rule tĩnh, không đủ chống volumetric/advanced DoS), NAC (kiểm soát truy cập endpoint).
Kết luận
Để giảm thiểu DoS hiệu quả: **Kết hợp IPS/IDS on-premise (bảo vệ Layer 7, real-time, kiểm soát) + Cloud DDoS Scrubbing (hấp thụ volumetric attack, ẩn IP origin)**. Bổ sung: Router hardening (CoPP, uRPF, SYN cookie), Server hardening, CDN, DNS Anycast, Threat Intel, IR Plan. Không có giải pháp "bàn phím thần" – cần chiến lược phân lớp (Defense in Depth).