Tin tặc luôn tìm cách mới để ẩn địa chỉ IP. Điều này không chỉ về việc nặc danh; địa chỉ IP cũng có thể bị chặn nếu chúng dường như là nguồn hoạt động độc hại.
Một lựa chọn để giấu địa chỉ IP là dùng giả mạo IP (IP spoofing). Nó có thể che giấu hàng ngàn địa chỉ IP và khiến nạn nhân nghĩ tấn công đến từ bất cứ đâu.
Vậy giả mạo IP chính xác là gì và bạn bảo vệ chống nó như thế nào?
Giả Mạo IP Là Gì?
Giả mạo IP là cuộc tấn công nơi kẻ tấn công ẩn nguồn gói tin IP. Điều này khiến mục tiêu tin rằng họ đang nhận lưu lượng từ nguồn khác.
Điều này không chỉ hữu ích để ẩn danh tính kẻ tấn công; nhiều kỹ thuật bảo mật dựa trên địa chỉ IP và giả mạo IP là công cụ hữu ích khiến các kỹ thuật đó vô hiệu.
Giả Mạo IP Hoạt Động Như Thế Nào?
Tất cả lưu lượng Internet được gửi trong gói tin (packet). Mỗi gói có tiêu đề IP bao gồm địa chỉ IP nguồn và địa chỉ IP đích.
Trong cuộc tấn công giả mạo IP, kẻ tấn công thay đổi địa chỉ IP nguồn trước khi gói tin được gửi. Khi gói tin được nhận, địa chỉ IP sẽ xuất hiện hợp pháp nhưng thực tế không liên quan gì đến kẻ tấn công.
Địa chỉ IP nguồn giả mạo có thể ngẫu nhiên. Địa chỉ IP ngẫu nhiên có thể tạo tự động, hoặc IP giả mạo có thể sao chép từ nơi khác.
Địa chỉ IP sao chép hữu ích vì nó cho phép kẻ tấn công giả vờ là một người cụ thể. Ví dụ, giả mạo IP có thể dùng để khiến nạn nhân tin rằng họ đang nói chuyện với thiết bị họ đã tin tưởng.
Giả Mạo IP Được Dùng Cho Mục Đích Gì?
Giả mạo IP có thể dùng để truy cập máy chủ bị hạn chế, và thực hiện cả tấn công DDoS và Man-in-the-Middle (Người ở giữa).
Tránh Xác Thực IP
Địa chỉ IP thường dùng cho xác thực; ví dụ, xác định người dùng cụ thể có được truy cập máy chủ hoặc mạng cụ thể không.
Nếu kẻ tấn công có tên địa chỉ IP đáng tin cậy, giả mạo IP có thể mô phỏng người dùng đó. Điều này cho phép kẻ tấn công truy cập bất kỳ máy chủ nào chỉ được bảo vệ bằng xác thực IP.
Kỹ thuật này có thể dùng để gieo cấy mã độc, đánh cắp dữ liệu, và/hoặc phát động tấn công tống tiền (ransomware).
Tấn Công DDoS
Tấn công DDoS dựa trên ý tưởng máy chủ chỉ xử lý được lượng lưu lượng nhất định. Chúng cố gắng làm quá tải máy chủ bằng cách gửi lưu lượng lớn hơn ngưỡng đó.
Kỹ thuật phòng chống DDoS dựa trên phân biệt giữa lưu lượng hợp pháp và độc hại. Giả mạo IP có thể ngăn điều này xảy ra.
Tấn công DDoS thành công có thể khiến máy chủ không thể dùng, và do đó đưa cả trang web và mạng hoàn toàn ngoại tuyến.
Tấn Công Man-in-the-Middle (Người Ở Giữa)
Trong tấn công Man-in-the-Middle (MITM), kẻ tấn công chặn giao tiếp giữa hai bên. Mỗi bên tin rằng họ nói trực tiếp với bên kia nhưng tất cả giao tiếp thực tế được định tuyến qua kẻ tấn công.
Để tấn công MITM hiệu quả, kẻ tấn công rõ ràng cần ẩn mình. Giả mạo IP cho phép họ đạt được điều này bằng cách sao chép địa chỉ IP của bên kia.
Tấn công MITM thành công cho phép kẻ tấn công đánh cắp thông tin và/hoặc sửa đổi thông tin trước khi đến người nhận.
Giả Mạo IP Chỉ Dùng Bởi Tin Tặc?
Giả mạo IP chủ yếu dùng bởi tin tặc. Nhưng nó cũng có thể dùng cho mục đích hợp pháp. Ví dụ, chủ sở hữu trang web có thể dùng kỹ thuật này để kiểm tra hiệu suất trang web dưới áp lực.
Giả mạo IP có thể dùng để mô phỏng khách truy cập thật. Điều này cho phép nhà phát triển hiểu trang web sẽ phản ứng như thế nào trước lượng lớn truy cập.
Cách Bảo Vệ Chống Giả Mạo IP
Giả mạo IP hiệu quả vì không luôn phát hiện được nó đang xảy ra. Dưới đây là vài cách làm cho giả mạo IP khó khăn hơn.
Giám Sát Mạng Tìm Hoạt Động Bất Thường
Giả mạo IP luôn được thực hiện vì một lý do. Nếu bạn không thể nói địa chỉ IP cụ thể nào bị giả mạo, bạn vẫn có thể phát hiện tấn công giả mạo IP bằng cách giám sát mạng cẩn thận tìm dấu hiệu hành vi độc hại khác.
Dùng Xác Thực Thay Thế
Giả mạo IP cho phép kẻ tấn công vượt qua xác thực IP. Bất kỳ loại truy cập từ xa nào nên yêu cầu xác thực và phương pháp kiểm chứng thay thế. Ví dụ: yêu cầu tất cả máy trong mạng dùng xác thực dựa trên trao đổi khóa (key exchange).
Dùng IPv6 Trên Trang Web
IPv6 là Giao thức Internet mới nhất. Một ưu điểm so với IPv4 là nó thêm bước mã hóa và xác thực bổ sung. Điều này làm cho trang web IPv6 khó bị nhắm mục tiêu bởi giả mạo IP hơn.
Dùng Tường Lửa (Firewall)
Tường lửa có thể cấu hình để phát hiện một số loại giả mạo IP, đạt được bằng lọc nhập (ingress filtering) và lọc xuất (egress filtering).
Lọc nhập kiểm tra gói tin và từ chối bất cứ thứ gì không có địa chỉ IP đáng tin cậy.
Lọc xuất kiểm tra gói tin đi ra và từ chối bất cứ thứ gì không có IP nguồn từ trong mạng. Điều này ngăn chặn tấn công giả mạo IP đi ra.
Các Loại Giả Mạo Khác Dùng Bởi Tin Tặc
Giả mạo (spoofing) có thể định nghĩa đại khái là hành động mạo danh thứ khác. Khái niệm này hữu ích cho tin tặc vì cho phép họ giành niềm tin của nạn nhân. Ví dụ khác về giả mạo bao gồm:
- Giả mạo Email: Kẻ tấn công sửa tiêu đề thư email để nó xuất hiện như từ người khác.
- Giả mạo ARP: Kỹ thuật này liên kết địa chỉ MAC của kẻ tấn công với địa chỉ IP hợp pháp bằng tin nhắn ARP giả mạo.
- Giả mạo DNS: Cho phép kẻ tấn công chuyển hướng lưu lượng từ trang web được yêu cầu đến trang web kẻ tấn công sở hữu.
Bảo Vệ Tất Cả Mạng Chống Giả Mạo IP
Giả mạo IP là ví dụ của độ dài tin tặc sẵn sàng đi để giấu hoạt động. Nó cũng chứng minh bất kỳ biện pháp bảo mật dựa chỉ trên phát hiện IP đều có thể bị đánh bại.
Giả mạo IP không thể luôn ngăn chặn, nhưng bạn có thể giảm đáng kể hiệu quả của nó. Và đây là bước quan trọng cho bất kỳ quản trị viên mạng nào muốn giữ tin tặc ở ngoài.