Tên vi phạm an ninh mạng: bị ngập replies ICMP (Smurf Attack)

Smurf Attack (Tấn công Smurf) là gì?

Smurf Attack là dạng DDoS (Distributed Denial of Service) ở tầng mạng (Layer 3), sử dụng ICMP Echo Request (ping) với địa chỉ nguồn giả mạo (IP spoofing) gửi đến địa chỉ broadcast của mạng nạn nhân.

Cơ chế hoạt động

1. Kẻ tấn công gửi gói ICMP Echo Request đến địa chỉ broadcast của mạng mục tiêu
2. Địa chỉ nguồn (Source IP) được giả mạo (spoof) thành IP của nạn nhân
3. Tất cả thiết bị trong mạng nhận gói broadcast → tự động reply ICMP Echo Reply về IP nạn nhân
4. Nạn nhân bị ngập gói tin phản hồi → tử thủ tài nguyên, sập mạng

Đặc điểm chính

• Khai thác ICMP Protocol và IP Broadcast
• Sử dụng IP Spoofing (giả mạo địa chỉ nguồn)
• Phóng to lưu lượng (Amplification): 1 gói gửi → nhiều gói phản hồi
• Mã độc "Smurf" tự động hóa tấn công này (năm 1990s)

Phân loại

• Basic Smurf: Đơn giản broadcast đến một mạng
• Advanced/Fraggle: Sử dụng UDP Echo (port 7) thay vì ICMP
• DDoS Smurf: Kết hợp botnet gửi từ nhiều nguồn

Tại sao gọi "Smurf"?

Tên từ công cụ khai thác "smurf.c" (1997) của TFreak. Gói ICMP nhỏ ("smurf" - người lùn xanh) gây ra vấn đề lớn.

Phòng chống Smurf Attack

• Tắt IP Directed Broadcast trên router: no ip directed-broadcast (Cisco)
• Chặn ICMP Echo Request tại firewall/biên giới
• Ingress/Egress Filtering (BCP 38): Chặn gói tin source IP giả mạo
• Rate limiting ICMP
• Cập nhật firmware router, tắt dịch vụ không cần thiết

So sánh với Ping Flood

Tấn công liên quan

• Fraggle Attack: Tương tự Smurf nhưng dùng UDP Echo (port 7) hoặc UDP Chargen (port 19)
• Shrew Attack: DDoS tỷ lệ thấp, khai thác RTO của TCP
• DNS/NTP/SSDP Amplification: DDoS phản xạ hiện đại hơn, hiệu quả hơn Smurf