การลดผลกระทบจากการโจมตี DDoS ที่ปรับแต่งได้ พร้อมการป้องกันการไหลของข้อมูลที่ตั้งโปรแกรมได้

อินฟอร์เมเทค ดิจิตอล » Recursos » การลดผลกระทบจากการโจมตี DDoS ที่ปรับแต่งได้ พร้อมการป้องกันการไหลของข้อมูลที่ตั้งโปรแกรมได้

เราอยู่ในยุคที่เครือข่ายเป็นเหมือนเนื้อเยื่อเชื่อมต่อของเกือบทุกสิ่งที่เราทำ เมื่อบริษัทสูญเสียบริการเนื่องจากการโจมตีแบบปฏิเสธการให้บริการ (Denial-of-Service Attack) ไม่ใช่แค่เว็บไซต์เท่านั้นที่ล่ม แต่ยอดขาย กระบวนการภายใน บริการลูกค้า และในกรณีที่ร้ายแรงที่สุด บริการที่จำเป็นก็อาจหยุดชะงักไปด้วย นั่นเป็นเหตุผลว่าทำไมการบรรเทาผลกระทบจาก DDoS ที่ปรับแต่งได้ พร้อมการป้องกันการไหลของข้อมูลที่ตั้งโปรแกรมได้จึงกลายเป็นองค์ประกอบเชิงกลยุทธ์ของสถาปัตยกรรมสมัยใหม่ทุกรูปแบบ

การเกิดขึ้นของเทคโนโลยีต่างๆ เช่นProgrammable Flow Protection ของ Cloudflare สำหรับ Magic Transitการใช้ตรรกะ C แบบกำหนดเองที่ใช้งานในรูปแบบ eBPF การบูรณาการกับระบบคลาวด์เช่น AWS และ Azure และการสนับสนุนจากบริการป้องกันเฉพาะทาง ได้เปลี่ยนแปลงภูมิทัศน์ไปอย่างสิ้นเชิง ปัจจุบันเป็นไปได้ที่จะสร้างแบบจำลองว่าอะไรคือทราฟฟิก "ที่ดี" หรือ "ที่เป็นอันตราย" ในระดับแพ็กเก็ต ปรับแต่งการบรรเทาผลกระทบให้เหมาะสมกับโปรโตคอล UDP เฉพาะ (เช่นที่ใช้ในเกมออนไลน์หรือ VoIP) และผสานรวมสิ่งนี้เข้ากับระบบธุรกิจอัจฉริยะและโซลูชัน AI ที่เรียนรู้จากแต่ละการโจมตี

การโจมตีแบบ DDoS คืออะไร และเหตุใดจึงกลายเป็นปัญหาที่ร้ายแรงเช่นนี้?

การโจมตีแบบปฏิเสธการให้บริการแบบกระจาย (DDoS) มีเป้าหมายเพื่อทำให้ทรัพยากรของระบบ (เซิร์ฟเวอร์ ลิงก์ แอปพลิเคชัน หรือโครงสร้างพื้นฐานระดับกลาง) ทำงานหนักเกินไป โดยการส่งปริมาณการรับส่งข้อมูลจำนวนมหาศาลจากหลายแหล่งพร้อมกัน แตกต่างจากการโจมตี DoS แบบคลาสสิกที่เริ่มต้นจากแหล่งเดียว การโจมตี DDoS เกี่ยวข้องกับอุปกรณ์ที่ถูกบุกรุกหลายพันหรือหลายล้านเครื่อง ซึ่งรวมตัวกันเป็นบอทเน็ต

แรงจูงใจเบื้องหลังการโจมตี DDoS นั้นมีหลากหลาย ตั้งแต่การข่มขู่ทางเศรษฐกิจ การก่อวินาศกรรมระหว่างคู่แข่ง การเคลื่อนไหวทางการเมือง การแก้แค้นนักข่าวหรือสื่อ หรือเพียงแค่การทดสอบความแข็งแกร่งของบอทเน็ตใหม่ในโหมด "แสดงศักยภาพ" อย่างไรก็ตาม ผลลัพธ์ที่ได้นั้นเหมือนกันเสมอ คือการหยุดชะงักของบริการประสิทธิภาพการทำงานลดลงอย่างมาก และความเสียหายทางเศรษฐกิจและชื่อเสียง

ในช่วงไม่กี่ปีที่ผ่านมา ความถี่และความรุนแรงของการโจมตีเหล่านี้เพิ่มขึ้นอย่างต่อเนื่อง รายงานจากผู้จำหน่ายซอฟต์แวร์รักษาความปลอดภัยรายใหญ่ระบุว่าการโจมตีที่มีปริมาณข้อมูลมหาศาล (มากกว่า 1 Tbps หรือหนึ่งพันล้านแพ็กเก็ตต่อวินาที) มีการเติบโตอย่างต่อเนื่อง โดยมักมุ่งเป้าไปที่โครงสร้างพื้นฐานที่สำคัญ เช่น บริการทางการเงิน สาธารณูปโภค และโทรคมนาคม

ประเภทของการโจมตี DDoS: ตั้งแต่ระดับเครือข่ายไปจนถึงระดับแอปพลิเคชัน

เพื่อให้เข้าใจวิธีการทำงานของการลดผลกระทบจาก DDoS แบบกำหนดเอง จำเป็นต้องทบทวนประเภทหลักของการโจมตี โดยทั่วไปแล้ว เราสามารถจัดกลุ่มการโจมตีเหล่านี้ออกเป็นสี่กลุ่มหลัก ซึ่งเชื่อมโยงกับเลเยอร์ต่างๆ ของโมเดล OSI และทรัพยากรที่พวกมันมุ่งหมายจะทำลาย

การโจมตีระดับเครือข่าย (L3/L4)มุ่งเน้นไปที่การใช้ประโยชน์จากโปรโตคอลเครือข่ายและการขนส่ง (IP, TCP, UDP, ICMP) เพื่อดึงทรัพยากรที่มีจำกัดจากเซิร์ฟเวอร์หรือโครงสร้างพื้นฐานระดับกลาง เช่น CPU, หน่วยความจำ, ตารางไฟร์วอลล์, การเชื่อมต่อที่รอการดำเนินการ หรือบัฟเฟอร์เครือข่าย ตัวอย่างคลาสสิก ได้แก่ การโจมตีแบบ SYN flood (การส่งคำขอเชื่อมต่อ TCP จำนวนมากไปยังเซิร์ฟเวอร์โดยที่การเชื่อมต่อไม่สำเร็จ), การโจมตีแบบ UDP flood ไปยังพอร์ตแบบสุ่ม และการโจมตีแบบ ICMP

การโจมตีระดับแอปพลิเคชัน (L7)มุ่งเป้าไปที่แบนด์วิดท์น้อยกว่าทรัพยากรของเว็บแอปพลิเคชันหรือ API เอง การโจมตีเหล่านี้สร้างคำขอ HTTP (GET/POST) จำนวนมหาศาล การสืบค้นที่ซับซ้อนไปยังเครื่องมือค้นหาภายใน การเรียกใช้ API ที่ใช้ทรัพยากรมาก หรือการโต้ตอบที่ดูเหมือนถูกต้องตามกฎหมาย แต่กลับบังคับให้ระบบแบ็กเอนด์ ฐานข้อมูล หรือระบบสร้างเนื้อหาทำงานจนถึงขีดจำกัด

การโจมตีแบบ Volumetric:เป้าหมายของการโจมตีประเภทนี้คือการทำให้ลิงก์ใช้งานไม่ได้ โดยจะส่งข้อมูลจำนวนมหาศาล มักใช้เทคนิคการขยายและการสะท้อนกลับบนบริการ UDP ที่ตั้งค่าไม่ถูกต้อง เช่นเซิร์ฟเวอร์ DNS สาธารณะ (DNS, NTP, Memcached, CLDAP, SNMP, SSDP, Chargen, SLP เป็นต้น) เพื่อให้แพ็กเก็ตคำขอขนาดเล็กสร้างการตอบสนองที่ใหญ่กว่ามากไปยังเหยื่อที่ถูกปลอมแปลง

การโจมตีแบบหลายเวกเตอร์ในปัจจุบันมีความซับซ้อนที่สุด โดยจะผสมผสานหลายวิธี (เชิงปริมาณ โปรโตคอล และแอปพลิเคชัน) และเปลี่ยนกลยุทธ์แบบเรียลไทม์เมื่อตรวจพบว่าระบบป้องกันกำลังประสบความสำเร็จ การโจมตีเพียงครั้งเดียวอาจเริ่มต้นด้วยการโจมตีแบบ UDP flood จากนั้นเปลี่ยนไปเป็นการโจมตีแบบ SYN flood และต่อมาเปลี่ยนไปเป็นการโจมตี HTTP ในเลเยอร์ 7 บังคับให้เหยื่อต้องใช้ระบบป้องกันที่ครอบคลุมและประสานงานกัน

วิวัฒนาการที่แท้จริงของการโจมตี DDoS: จาก Mirai ไปจนถึงการโจมตีระดับเทราไบต์ต่อวินาที

ทฤษฎีนั้นดี แต่ขนาดที่แท้จริงของปัญหาจะปรากฏชัดเจนในกรณีใช้งานจริง ในช่วงทศวรรษที่ผ่านมา เราได้เปลี่ยนจากการโจมตีที่มีความเร็วหลายร้อยกิกะบิตต่อวินาที ไปสู่เหตุการณ์ที่มีความเร็วเกินหลายเทราบิตต่อวินาที (Tbps)โดยมีอัตราการส่งแพ็กเก็ตสูงถึงหลายพันล้านแพ็กเก็ตต่อวินาที

ในปี 2016 การโจมตี Dyn ซึ่งเป็นผู้ให้บริการ DNS รายใหญ่ มีปริมาณข้อมูลสูงถึงประมาณ 1,2 Tbps และทำให้เว็บไซต์ต่างๆ เช่น Twitter, GitHub, PayPal และ Netflix ล่มชั่วคราว บอตเน็ต Mirai ซึ่งรวบรวมอุปกรณ์ IoT กว่า 600.000 เครื่อง (เราเตอร์ กล้อง และเครื่องบันทึกวิดีโอที่มีข้อมูลประจำตัวเริ่มต้น) ถูกใช้เพื่อสร้างปริมาณการรับส่งข้อมูลมหาศาลไปยังเซิร์ฟเวอร์ DNS ของ Dyn โดยน่าจะใช้เทคนิคการโจมตีแบบ UDP flooding และ amplification ร่วมกัน

ในปีเดียวกันนั้น บล็อกด้านความปลอดภัย KrebsOnSecurity ก็ถูกโจมตีด้วยข้อมูลขนาดประมาณ623 Gbpsซึ่งใช้มัลแวร์ Mirai เช่นกัน เป็นเวลานานเกือบสี่วัน แพ็กเก็ต UDP ขนาดใหญ่ถูกส่งไปยังพอร์ตแบบสุ่มเป็นส่วนใหญ่ ทำให้ลิงก์เต็มและบังคับให้มีการเปลี่ยนเส้นทางการรับส่งข้อมูลไปยังบริการบรรเทาผลกระทบเฉพาะทาง เช่น Akamai Prolexic ซึ่งใช้การกรองตามลายเซ็นและพฤติกรรม

ในปี 2018 GitHub ตกเป็นเป้าหมายของการโจมตีขนาด 1,35 Tbps โดยใช้เทคนิคการขยายสัญญาณของ Memcached ผู้โจมตีส่งคำขอ UDP ขนาดเล็กไปยังเซิร์ฟเวอร์ Memcached ที่เปิดใช้งานพอร์ต 11211 โดยใช้ที่อยู่ IP ของ GitHub ที่ปลอมแปลง คำขอขนาดเล็กแต่ละครั้งกระตุ้นการตอบสนองที่ใหญ่กว่า 50-100 เท่าไปยังระบบของ GitHub ซึ่งถูกบังคับให้เปลี่ยนเส้นทางการรับส่งข้อมูลไปยังศูนย์กรองข้อมูลที่ทำหน้าที่ตรวจสอบรูปแบบเฉพาะของการตอบสนองจาก Memcached

ในปี 2020 Amazon รายงานว่า AWS Shield สามารถลดผลกระทบจากการโจมตีขนาด 2,3 Tbps ที่อาศัยการสะท้อนข้อมูล CLDAP (UDP 389) ได้ วิธีการโจมตีเกี่ยวข้องกับการส่งคำขอจำนวนมากไปยังเซิร์ฟเวอร์ LDAP แบบไร้สถานะ ทำให้เกิดการตอบสนองปริมาณมากไปยังผู้รับ AWS ได้กระจายปริมาณการรับส่งข้อมูลไปยังเครือข่ายทั่วโลกและใช้กฎการกรองสำหรับรูปแบบ CLDAP เฉพาะนั้น

เมื่อไม่นานมานี้ บอทเน็ตอย่างMēris ได้ปรากฏตัวขึ้น โดยใช้ประโยชน์จากช่องโหว่ในเราเตอร์ MikroTik ในปี 2021 มีการบันทึกจำนวนคำขอสูงสุดถึง 21,8 ล้านคำขอต่อวินาที (RPS) และในปี 2022 จำนวนคำขอเหล่านี้พุ่งสูงถึง 46 ล้าน RPS ต่อโครงสร้างพื้นฐานของ Google โดยมีปริมาณข้อมูลโดยประมาณ 1,3 Tbps มาตรการแก้ไขประกอบด้วยการแพตช์อุปกรณ์จำนวนมากการปิดพอร์ต เช่น 5678และการใช้กฎการกรองเฉพาะสำหรับลายเซ็น Mēris บนเครือข่ายเช่น Cloudflare และ Akamai

ในเดือนเมษายน 2025 Cloudflare รายงานการโจมตีครั้งใหญ่ที่มีปริมาณข้อมูลประมาณ 6,5 Tbps และหลายพันล้านแพ็กเก็ตต่อวินาที จากการวิเคราะห์พบว่าเป็นการโจมตีจากบอทเน็ตที่ไม่ระบุแหล่งที่มา มีลักษณะคล้ายกับ Mēris และ Aisuru ซึ่งใช้การโจมตีแบบ UDP flood โดยตรงจากอุปกรณ์ IoT และเซิร์ฟเวอร์ที่ตั้งค่าไม่ถูกต้อง โดยไม่จำเป็นต้องใช้การขยายสัญญาณแบบดั้งเดิม ระบบป้องกันอาศัยเครือข่าย Anycast ทั่วโลกของ Cloudflare การลดผลกระทบจาก XDP/eBPF ที่ขอบเครือข่าย การกรองข้อมูลแบบไดนามิก และการจำกัดอัตราการส่งข้อมูลต่อ IP และต่อภูมิภาค

และในเดือนพฤษภาคม 2025 KrebsOnSecurity ก็สร้างข่าวพาดหัวอีกครั้งด้วยการต้านทานการโจมตีขนาดประมาณ6,3 Tbpsที่ปล่อยออกมาจากบอตเน็ต Aisuru ในครั้งนั้น มีการสร้างแพ็กเก็ต UDP ประมาณ 585 ล้านแพ็กเก็ตต่อวินาที เป็นเวลาประมาณ 40-45 วินาที Google Project Shield ซึ่งปกป้องเว็บไซต์อยู่ ได้เปิดใช้งานนโยบายการกรองที่เข้มงวดสำหรับ UDP ที่ไม่พึงประสงค์ทันที และเปลี่ยนเส้นทางการรับส่งข้อมูลไปยังศูนย์ทำความสะอาดที่กระจายอยู่ทั่วเครือข่ายทั่วโลก ดังนั้นผลกระทบต่อการให้บริการจึงแทบไม่ปรากฏให้เห็น

ทรัพยากรและเทคนิคของผู้โจมตี: บอทเน็ต การขยายสัญญาณ และการหลบเลี่ยง

เพื่อให้ได้ตัวเลขที่น่าตกใจเหล่านี้ ผู้โจมตีใช้ทรัพยากรหลากหลายประเภท โดยผสมผสานกันตามวัตถุประสงค์เครือข่ายบอทขนาดใหญ่เป็นพื้นฐาน: เครือข่ายของอุปกรณ์ที่ถูกบุกรุกทั่วโลก ซึ่งได้มาจากการใช้ประโยชน์จากช่องโหว่ที่ทราบกันดี รหัสผ่านเริ่มต้น หรือบริการผู้ดูแลระบบที่เปิดเผย Mirai, Mēris และ Aisuru เป็นเพียงชื่อตระกูล แต่ยังมีรูปแบบอื่นๆ อีกมากมายที่มุ่งเป้าไปที่ผู้ผลิตหรือบริการต่างๆ

ช่องโหว่สำคัญประการที่สองคือเซิร์ฟเวอร์ที่ตั้งค่าไม่ถูกต้องซึ่งทำหน้าที่เป็นตัวสะท้อนข้อมูล บริการ UDP ใดๆ ที่ไม่ได้รับการตรวจสอบสิทธิ์และตอบกลับด้วยข้อมูลมากกว่าที่ได้รับ ล้วนเป็นเป้าหมายที่เป็นไปได้ เช่น DNS (พอร์ต 53), NTP (123), Memcached (11211), CLDAP (389), SNMP (161), SSDP, Chargen, SLP, TFTP, Portmap, บริการ P2P หรือแม้แต่โปรโตคอลของวิดีโอเกม ผู้โจมตีจะส่งคำขอขนาดเล็กโดยปลอมแปลงที่อยู่ IP ของเหยื่อ และเซิร์ฟเวอร์จะขยายและส่งการตอบกลับไปยังเป้าหมายที่แท้จริง

ยกตัวอย่างเช่น ใน DNS การส่งคำขอ ANY ไปยัง resolver ที่เปิดอยู่สามารถเพิ่มขนาดคำขอได้ประมาณ 28 เท่า ใน NTP คำสั่ง MONLIST แบบเก่าสามารถเพิ่มขนาดคำขอได้ถึง 50-500 เท่า Memcached เป็นกรณีสุดขั้ว: คำขอเล็กๆ อาจส่งคืนข้อมูลหลายร้อยกิโลไบต์ ทำให้ขนาดคำขอเพิ่มขึ้นถึงหลายหมื่นเท่า CLDAP ทำงานที่อัตราส่วน 56-70 เท่า ในขณะที่ SLP เคยถูกใช้กับค่าที่เกิน 2000 เท่า

นอกจากนี้ ผู้โจมตียังพัฒนาเทคนิคการหลบเลี่ยงของตนให้ดียิ่งขึ้นการปลอมแปลง IPยังคงเป็นวิธีการคลาสสิกในการปกปิดแหล่งที่มาที่แท้จริงและใช้ประโยชน์จากการสะท้อนกลับ วิธีการอื่นๆ ได้แก่ การหมุนเวียนเวกเตอร์การโจมตีอย่างต่อเนื่อง การผสมผสานทราฟฟิกที่เข้ารหัสเพื่อบังคับให้ฝ่ายป้องกันต้องประมวลผลหนักขึ้น การใช้เทคนิค "ช้าแต่ได้ผล" (การใช้ทรัพยากรอย่างค่อยเป็นค่อยไปโดยไม่มีการเพิ่มขึ้นอย่างเห็นได้ชัด) หรือการนำทราฟฟิกเข้าใกล้เลเยอร์แอปพลิเคชันมากขึ้น ซึ่งจะคล้ายกับทราฟฟิกที่ถูกต้องตามกฎหมายมากขึ้น

ในขั้นตอนก่อนการโจมตี จะมีการใช้เครื่องมือสแกนข้อมูลจำนวนมาก เช่น masscan หรือ zmap เพื่อค้นหาบริการที่มีช่องโหว่ รวมถึงชุดเครื่องมือเจาะระบบที่ออกแบบมาโดยเฉพาะสำหรับ IoT หรือเซิร์ฟเวอร์ ในระหว่างการโจมตี จะมีการใช้โปรแกรมสร้างทราฟฟิก เช่น hping3, LOIC/HOIC หรือสคริปต์ C/Python ที่ได้รับการปรับแต่ง ในขณะที่สำหรับการวิเคราะห์หลังการโจมตี ผู้โจมตีอาจใช้ Wireshark, tcpdump และแพลตฟอร์มการตรวจสอบต่างๆ

ขั้นตอนต่างๆ ของการโจมตี DDoS และความจำเป็นในการป้องกันแบบปรับตัวได้

แม้ว่าโดยทั่วไปแล้วการโจมตี DDoS จะถูกมองว่าเป็นการระเบิดของปริมาณการรับส่งข้อมูลที่วุ่นวาย แต่การโจมตี DDoS ที่ซับซ้อนนั้นผ่านหลายขั้นตอนที่แตกต่างกันขั้นแรกคือขั้นตอนการสำรวจ ซึ่งผู้โจมตีจะศึกษาพื้นผิวที่เปิดเผย ระบุโดเมน ที่อยู่ IP บริการที่เปิดอยู่ CDN หรือผู้ให้บริการบรรเทาผลกระทบที่มีอยู่ และมองหาช่องโหว่

ขั้นตอนต่อไปคือการเจาะระบบอุปกรณ์ ซึ่งเกี่ยวข้องกับการติดไวรัสคอมพิวเตอร์ที่จะเป็นแหล่งข้อมูลให้กับบอทเน็ต นี่อาจหมายถึงการใช้ประโยชน์จากช่องโหว่ในเราเตอร์ กล้อง ระบบจัดการระยะไกล หรือเซิร์ฟเวอร์ โดยมักจะใช้ประโยชน์จากซอฟต์แวร์ที่ล้าสมัยหรือข้อมูลประจำตัวเริ่มต้น เมื่อถูกชักชวนแล้ว พวกมันจะเชื่อมต่อกับโครงสร้างพื้นฐาน C2 ซึ่งเป็นศูนย์กลางในการออกคำสั่งและอัปเดตต่างๆ

โดยปกติแล้ว ขั้นตอนการโจมตีจะถูกกำหนดเวลาให้ตรงกับช่วงเวลาสำคัญสำหรับเหยื่อ เช่น แคมเปญการตลาด การเปิดตัวผลิตภัณฑ์ วันหยุดสุดสัปดาห์ที่มีพนักงานน้อย หรือวันที่อ่อนไหวทางการเมืองหรือสื่อ เป้าหมายคือการเพิ่มผลกระทบและแรงกดดันให้มากที่สุดในการโจมตีรุ่นใหม่ ยังมีองค์ประกอบของการปรับตัวแบบไดนามิกด้วย กล่าวคือ บอทเน็ตจะตรวจสอบการตอบสนองของเหยื่อและเปลี่ยนวิธีการโจมตีหากตรวจพบมาตรการแก้ไขที่มีประสิทธิภาพ

ในด้านการป้องกัน จำเป็นต้องมีการออกแบบกลยุทธ์ที่ปรับตัวได้เช่นกัน ไฟร์วอลล์แบบคงที่หรือขีดจำกัดแบนด์วิดท์นั้นไม่เพียงพออีกต่อไปแล้ว จำเป็นต้องมีระบบที่สามารถตรวจจับความผิดปกติของปริมาณการรับส่งข้อมูลแบบเรียลไทม์เชื่อมโยงเหตุการณ์ต่างๆ ปรับใช้กฎใหม่ได้ทันที และปรับขนาดทรัพยากร (การประมวลผล การจัดเก็บ และความจุเครือข่าย) ตามความต้องการ

ผลการศึกษาล่าสุดแสดงให้เห็นว่า การโจมตีแบบ DDoS ต่อโครงสร้างพื้นฐานที่สำคัญเพิ่มขึ้นมากกว่า 50% ในช่วงสี่ปี และมักถูกใช้เป็นฉากบังหน้าสำหรับการบุกรุกรูปแบบอื่น เช่น การแพร่กระจายมัลแวร์เรียกค่าไถ่ ในขณะที่ทีมรักษาความปลอดภัยมุ่งเน้นไปที่การ "ดับไฟ" ของการโจมตีแบบปฏิเสธการให้บริการ

มาตรการลดผลกระทบแบบดั้งเดิม: ศูนย์คัดกรองข้อมูล, CDN, ไฟร์วอลล์ และ WAF

ระบบป้องกัน DDoS ระดับมืออาชีพอาศัยการผสมผสานของเทคโนโลยีและผู้ให้บริการหลายราย ส่วนประกอบที่สำคัญที่สุดคือศูนย์คัดกรองทราฟฟิกซึ่งเป็นโครงสร้างพื้นฐานแบบกระจายขนาดใหญ่ที่สามารถรองรับทราฟฟิกได้หลายสิบเทราไบต์ต่อวินาที (Tbps) และกรองทราฟฟิกที่เป็นอันตรายก่อนที่จะส่งเฉพาะการเชื่อมต่อที่ถูกต้องกลับไปยังไคลเอ็นต์

บริษัทต่างๆ เช่น Netscout/Arbor, Akamai/Prolexic, Cloudflare, Radware, Imperva และ AWS Shield บริหารจัดการเครือข่ายระดับโลกที่มีจุดให้บริการหลายจุด เมื่อตรวจพบการโจมตี ทราฟฟิกที่มุ่งไปยังองค์กรเป้าหมายจะถูกเปลี่ยนเส้นทาง (ผ่านการเปลี่ยนแปลง BGP หรือการอัปเดต DNS) ไปยังศูนย์เหล่านี้ ซึ่งจะมีการใช้ตัวกรองตามลายเซ็น พฤติกรรม บัญชีดำ การวิเคราะห์ทางสถิติ และกฎที่กำหนดเอง

ในขณะเดียวกัน หลายองค์กรกำลังติดตั้งอุปกรณ์ป้องกัน DDoSในศูนย์ข้อมูลของตนเองหรือของผู้ให้บริการอินเทอร์เน็ต (ISP) อุปกรณ์ต่างๆ เช่น Arbor TMS, Radware DefensePro, FortiDDoS หรือโซลูชันบางอย่างของ F5 มีหน้าที่ตรวจจับและลดผลกระทบของการโจมตีจนถึงขีดจำกัดความจุที่กำหนดไว้ เป็นเรื่องปกติที่จะใช้อุปกรณ์เหล่านี้ร่วมกับโซลูชันการกรองภัยคุกคามบนคลาวด์สำหรับกรณีที่การโจมตีเกินขีดจำกัดความจุของอุปกรณ์เหล่านั้น

สถาปัตยกรรม CDN และ Anycastเช่นของ Cloudflare, Akamai, Fastly หรือ Google Cloud CDN เพิ่มชั้นการป้องกันอีกชั้นหนึ่งโดยการกระจายภาระการใช้งานไปตามภูมิศาสตร์ การเผยแพร่บริการผ่าน CDN จะกระจายปริมาณการใช้งานไปยังโหนดหลายแห่ง และการโจมตีแบบปริมาณมากจะลดลงเนื่องจากไม่ได้กระจุกตัวอยู่ที่จุดเดียว นอกจากนี้ โดยทั่วไปแล้ว CDN ยังรวมเอา Web Application Firewall (WAF) และนโยบายจำกัดอัตราการรับส่งข้อมูลระดับ HTTP ไว้ด้วย

สุดท้ายนี้ ไฟร์วอลล์เครือข่าย (เช่น Cisco, Palo Alto, iptables บน Linux เป็นต้น) และ WAF เฉพาะทาง (เช่น ModSecurity, Cloudflare WAF, AWS WAF) ช่วยให้คุณสามารถกรองทราฟฟิกตามที่อยู่ IP, พอร์ต, แฟล็ก และรูปแบบแอปพลิเคชันได้แม้ว่าอุปกรณ์เหล่านี้เพียงอย่างเดียวจะไม่สามารถหยุดการโจมตีระดับ Tbps ที่ระดับโครงข่ายหลักได้ แต่ก็มีความสำคัญอย่างยิ่งในการบล็อกช่องทางการโจมตีที่รู้จัก จำกัดการเชื่อมต่อที่น่าสงสัย และปกป้องเลเยอร์ 6 และ 7 ของสแต็ก

ระบบป้องกันการไหลที่ตั้งโปรแกรมได้และการลดผลกระทบที่ปรับแต่งได้ตามต้องการด้วย Magic Transit

ในบริบทของการโจมตีที่ซับซ้อนมากขึ้นเรื่อยๆ และโปรโตคอลที่เฉพาะเจาะจงมากขึ้น โซลูชันต่างๆ เช่นProgrammable Flow Protection สำหรับ Magic Transit ของ Cloudflare จึงถือกำเนิดขึ้น ซึ่งถือเป็นก้าวสำคัญเชิงคุณภาพ: โซลูชันเหล่านี้ช่วยให้บริษัทต่างๆ สามารถเขียนตรรกะการบรรเทาผลกระทบของตนเองและนำไปใช้งานโดยตรงบนเครือข่ายของผู้ให้บริการระดับโลกได้

แนวคิดนี้เรียบง่ายแต่ทรงพลัง: ลูกค้าของ Magic Transit สามารถโหลดโปรแกรมประมวลผลแพ็กเก็ตแบบมีสถานะที่เขียนด้วยภาษา C ได้ Cloudflare จะตรวจสอบความถูกต้อง คอมไพล์ และแปลงโปรแกรมเหล่านี้ให้เป็น eBPF จากนั้นจึงรันโปรแกรมเหล่านั้นในพื้นที่ผู้ใช้ภายในโครงสร้างพื้นฐานระดับโลกของ Cloudflare これにより、ユーザーは UDP ユーザーのユーザーはリンドのユーザー ...�容易になります。 กล่าวคือ สามารถเข้าใจส่วนหัวที่เฉพาะเจาะจงของเกมออนไลน์ ระบบการซื้อขายความถี่สูง บริการ VoIP หรือแพลตฟอร์มสตรีมมิ่ง และตัดสินใจทีละแพ็กเก็ตว่าจะอนุญาตและบล็อกอะไร

ตรรกะที่กำหนดเองนี้ทำงานร่วมกับ Flowtrackd ซึ่งเป็นแพลตฟอร์มการลดผลกระทบแบบมีสถานะของ Cloudflare คุณสมบัตินี้รองรับทั้งโทโพโลยีแบบสมมาตรและแบบไม่สมมาตร แม้ว่าในระยะเบต้าแบบปิดนี้จะเน้นไปที่การวิเคราะห์ทราฟฟิกขาเข้าเป็นหลัก การจัดการทั้งหมดดำเนินการผ่าน Cloudflare API โดยมีเอนด์พอยต์สำหรับการอัปโหลดโปรแกรม การสร้างกฎที่เกี่ยวข้อง การแสดงรายการการกำหนดค่า หรือการลบตามความต้องการที่เปลี่ยนแปลงไป

ประเด็นสำคัญคือ เราไม่พึ่งพาเพียงแค่ลายเซ็นและหลักการวิเคราะห์ทั่วไปของผู้จำหน่ายอีกต่อไปแล้ว ตัวอย่างเช่น บริษัทเกมสามารถกำหนดขั้นตอนการทำงานที่ถูกต้องของโปรโตคอล UDP เฉพาะของตนได้อย่างชัดเจน (การจับมือ การส่งข้อความระบุตำแหน่ง การรักษาการเชื่อมต่อ ฯลฯ) และรูปแบบใดที่บ่งชี้ถึงการโจมตี ตรรกะนี้จะถูกรวบรวมและใช้งานทั่วทุกจุดที่มีการเชื่อมต่อของ Cloudflare ทำให้การตัดสินใจอยู่ใกล้กับขอบเครือข่ายมากขึ้น

สำหรับสภาพแวดล้อมที่มีโปรโตคอลแบบกำหนดเองหรือแอปพลิเคชันที่มีความต้องการความหน่วงแฝงสูงมากการลดผลกระทบจากการโจมตี DDoS ด้วยการป้องกันการไหลของข้อมูลที่ตั้งโปรแกรมได้ นี้ ถือเป็นการเปลี่ยนแปลงครั้งสำคัญ: มันเพิ่มชั้นของความชาญฉลาดเฉพาะทางธุรกิจลงบนการป้องกันมาตรฐาน และเมื่อรวมกับบริการคลาวด์เช่น AWS หรือ Azure และโซลูชันซอฟต์แวร์แบบกำหนดเอง (เช่นที่พัฒนาโดยบริษัทที่เชี่ยวชาญด้าน AI และการวิเคราะห์ เช่น Q2BSTUDIO) จะช่วยให้การตรวจจับและการอัปเดตกฎตามภัยคุกคามที่เกิดขึ้นใหม่เป็นไปโดยอัตโนมัติมากยิ่งขึ้น

เหตุใดผู้ให้บริการอินเทอร์เน็ตและองค์กรต่างๆ จึงต้องการระบบป้องกัน DDoS ขั้นสูง

ผู้ให้บริการอินเทอร์เน็ต (ISP) และองค์กรขนาดใหญ่ต่างอยู่แนวหน้าของการโจมตี การโจมตีที่รุนแรงมากพออาจส่งผลกระทบไม่เพียงแค่ลูกค้ารายเดียว แต่ยังรวมถึงเครือข่ายทั้งหมดของผู้ให้บริการ ทำให้เกิดการหยุดชะงักเป็นลูกโซ่ซึ่งส่งผลกระทบต่อผู้ใช้หลายพันคน ดังนั้น การป้องกัน DDoS จึงกลายเป็นสิ่งจำเป็น ไม่ใช่สิ่งที่ไม่จำเป็นเพิ่มเติม

จากมุมมองทางธุรกิจ ผลที่ตามมาจากการไม่ปกป้องตนเองนั้นชัดเจน ได้แก่ การหยุดชะงักของบริการ การละเมิดข้อตกลงระดับบริการ (SLA) ค่าปรับตามสัญญา การสูญเสียรายได้โดยตรง และการสูญเสียลูกค้าให้กับคู่แข่งที่ถูกมองว่าน่าเชื่อถือกว่า หากแอปพลิเคชันที่สำคัญไม่สามารถใช้งานได้เมื่อผู้ใช้ต้องการใช้งาน พวกเขาย่อมจะมองหาทางเลือกอื่นอย่างแน่นอน

ในภาคส่วนต่างๆ เช่น ธนาคาร ประกันภัย สาธารณูปโภค และการดูแลสุขภาพ ผลกระทบอาจขยายวงกว้างออกไปมากกว่าด้านเศรษฐกิจ: การหยุดชะงักของกระบวนการทางกายภาพความเสี่ยงในการดำเนินงาน และการหยุดชะงักของบริการที่จำเป็น นอกจากนี้ ยังมีต้นทุนด้านชื่อเสียงที่ยากจะกู้คืนได้ เมื่อแบรนด์ถูกเชื่อมโยงกับ "ระบบล่ม" เป็นเวลานานหลายชั่วโมงในโซเชียลมีเดียและสื่อต่างๆ

ที่แย่ไปกว่านั้น การโจมตีแบบ DDoS มักถูกใช้เป็นฉากบังหน้าสำหรับการโจมตีที่รุนแรงกว่า ในขณะที่ทีมรักษาความปลอดภัยมุ่งเน้นไปที่การจัดการปริมาณการรับส่งข้อมูลที่เพิ่มขึ้น ผู้โจมตีอาจพยายามเคลื่อนที่ไปในแนวราบของเครือข่าย ติดตั้งมัลแวร์เรียกค่าไถ่ หรือขโมยข้อมูล กล่าวอีกนัยหนึ่ง การโจมตีแบบ DDoS ทำหน้าที่เป็นตัวล่อและสิ่งเบี่ยงเบนความสนใจในการโจมตีหลายขั้นตอน

โซลูชันการบรรเทาผลกระทบสมัยใหม่ ทั้งในระบบภายในองค์กรและบนคลาวด์ ช่วยลดเวลาหยุดทำงาน รักษาความต่อเนื่องทางธุรกิจ และปกป้องทั้งสินทรัพย์ภายในองค์กรและทรัพยากรคลาวด์สาธารณะได้อย่างมีนัยสำคัญ หัวใจสำคัญคือความสามารถในการปรับขนาดโดยอัตโนมัติเพื่อรองรับปริมาณการใช้งานที่เพิ่มขึ้นอย่างมหาศาล และให้การรับประกันที่ชัดเจนเกี่ยวกับความจุและเวลาตอบสนอง

เทคนิคการลดผลกระทบเฉพาะด้าน: ตั้งแต่การจำกัดอัตราไปจนถึงการปิดกั้นข้อมูล

นอกเหนือจากอุปสรรคทางเทคโนโลยีหลักๆ แล้ว ยังมีเทคนิคเฉพาะอีกหลายอย่างที่ใช้ในชีวิตประจำวันเพื่อต่อสู้กับการโจมตีประเภทต่างๆ หนึ่งในเทคนิคพื้นฐานที่สุดคือการกรองขอบเขตโดยใช้ไฟร์วอลล์และรายการควบคุมการเข้าถึง (ACL) บนเราเตอร์และสวิตช์ เพื่อบล็อกแพ็กเก็ตตามที่อยู่ IP ต้นทาง ที่อยู่ IP ปลายทาง พอร์ต แฟล็ก TCP หรือขนาด

อีกหนึ่งองค์ประกอบคลาสสิกคือการจำกัดอัตราการรับส่งข้อมูลทั้งในเลเยอร์ 3/4 และใน HTTP บนระบบ Linux นั้น iptables มีโมดูลต่างๆ เช่น hashlimit หรือ SYNPROXY เพื่อควบคุมจำนวนการเชื่อมต่อหรือแพ็กเก็ตต่อวินาทีที่ยอมรับได้จากที่อยู่ IP เดียว ในระดับแอปพลิเคชันนั้น พร็อกซีอย่างNginxหรือ HAProxy สามารถกำหนดข้อจำกัดเกี่ยวกับคำขอต่อไคลเอ็นต์หรือต่อเส้นทางได้

สำหรับการโจมตีระดับเลเยอร์ 7 การใช้กลไกการตรวจสอบหรือการยืนยันตัวตนเพิ่มเติม นั้นมีประโยชน์มาก CAPTCHA, การตรวจสอบด้วย JavaScript และกลไกที่คล้ายกันช่วยให้สามารถแยกแยะระหว่างเบราว์เซอร์จริงและบอทอัตโนมัติได้ดีขึ้น ลดภาระการทำงานของแอปพลิเคชัน ใน TCP เทคนิคต่างๆ เช่น SYN cookies ช่วยให้เซิร์ฟเวอร์ไม่ต้องเก็บสถานะสำหรับการพยายามเชื่อมต่อแต่ละครั้งจนกว่าการจับมือจะเสร็จสมบูรณ์

เมื่อปริมาณการโจมตีมีมากเกินกว่าที่โครงสร้างพื้นฐานในการป้องกันจะรับมือได้ การใช้ BGP blackholing สามารถช่วยได้ โดยผู้ให้บริการอินเทอร์เน็ต (ISP) จะประกาศเส้นทางไปยังเครือข่ายที่ถูกโจมตีว่าเป็น "หลุมดำ" และทิ้งทราฟฟิกทั้งหมดที่มุ่งไปยังพรีฟิกซ์นั้นก่อนที่จะเข้าสู่เครือข่ายหลัก วิธีนี้เป็นวิธีสุดท้าย เพราะจะทำให้บริการใช้งานไม่ได้ แต่จะป้องกันไม่ให้การโจมตีส่งผลกระทบต่อส่วนอื่นๆ ของเครือข่าย

บริการคัดกรองภัยคุกคามบนคลาวด์ เช่น บริการจาก Cloudflare, Akamai, AWS Shield, Google Project Shield, Radware และอื่นๆ ช่วยให้คุณสามารถส่งต่อทราฟฟิกทั้งหมดไปยังศูนย์ข้อมูลของพวกเขาและทำการคัดกรองที่นั่น โดยใช้กฎเฉพาะสำหรับช่องโหว่ต่างๆ เช่น การขยายสัญญาณของ Memcached, CLDAP, DNS, NTP, การโจมตีแบบ UDP flood ที่ไม่ได้ขยายสัญญาณ และอื่นๆ การโจมตีที่ถูกบล็อกแต่ละครั้งจะถูกป้อนข้อมูลไปยังโมเดลการเรียนรู้ของเครื่องและฐานข้อมูลลายเซ็น ซึ่งจะนำไปใช้ในความพยายามในการแก้ไขปัญหาในอนาคต

แนวปฏิบัติที่ดีและบทเรียนที่ได้รับจากการรับมือกับการโจมตี DDoS ในปัจจุบัน

มีบทเรียนที่ชัดเจนหลายประการที่สามารถเรียนรู้ได้จากเหตุการณ์สำคัญในช่วงไม่กี่ปีที่ผ่านมา ประการแรกคือการรักษาความปลอดภัยของอุปกรณ์ IoT นั้น มีความสำคัญอย่างยิ่ง พลังส่วนใหญ่ของบอทเน็ต เช่น Mirai, Mēris หรือ Aisuru มาจากเราเตอร์ในบ้าน กล้องวงจรปิด และอุปกรณ์อื่นๆ ที่มีเฟิร์มแวร์ล้าสมัยและรหัสผ่านเริ่มต้นจากโรงงาน

ประการที่สองคือ เราต้องกำจัดช่องทางขยายผลภายในเครือข่ายของเราเอง: ปิดใช้งานบริการ UDP ที่ไม่จำเป็น กรองการรับส่งข้อมูลขาออกของ NTP, DNS หรือ Memcached ใช้กฎไฟร์วอลล์ที่อนุญาตเฉพาะการสอบถามจากช่วงที่ได้รับอนุญาต และตรวจสอบพอร์ตที่เปิดเผยเป็นระยะ เซิร์ฟเวอร์ที่ตั้งค่าไม่ถูกต้องใดๆ ก็สามารถกลายเป็นตัวขยายผลสำหรับผู้โจมตีได้

การตรวจจับความผิดปกติตั้งแต่เนิ่นๆก็มีความสำคัญเช่นกัน ควรตั้งค่า เครื่องมือต่างๆ เช่น NetFlow, sFlow, IDS/IPS (Snort, Suricata), แพลตฟอร์มวิเคราะห์บันทึก หรือ SIEM ให้แจ้งเตือนทันทีที่พบปริมาณการรับส่งข้อมูลที่ผิดปกติ การเปลี่ยนแปลงรูปแบบการเชื่อมต่ออย่างกะทันหัน หรือรูปแบบการโจมตีที่รู้จัก ยิ่งตอบสนองเร็วเท่าไหร่ ก็ยิ่งมีเวลาน้อยลงสำหรับการโจมตีที่จะลุกลามใหญ่ขึ้น

ในสภาพแวดล้อมเว็บ การใช้ WAF ที่อัปเดตแล้ว CAPTCHA เมื่อเหมาะสมกับประสบการณ์ของผู้ใช้ และแคชหรือ CDN เพื่อช่วยดูดซับภาระบางส่วนนั้นแทบจะเป็นสิ่งที่จำเป็น ในระดับระบบ การเปิดใช้งาน SYN cookies การปรับขีดจำกัดการเชื่อมต่อพร้อมกัน และการปิดบริการที่ไม่จำเป็นใดๆ จะช่วยลดพื้นที่เสี่ยงต่อการโจมตีได้

สุดท้ายนี้ ทุกองค์กรควรมีแผนรับมือ DDoS ที่จัดทำเป็นเอกสารไว้อย่างเป็นระบบ : คู่มือปฏิบัติการที่มีขั้นตอนชัดเจน ผู้รับผิดชอบที่ได้รับการแต่งตั้ง ผู้ติดต่อทางเทคนิคที่ผู้ให้บริการด้านการลดผลกระทบและผู้ให้บริการอินเทอร์เน็ต และเกณฑ์ที่กำหนดไว้ล่วงหน้าเกี่ยวกับเวลาที่จะเปิดใช้งานการกรองข้อมูล เวลาที่จะขอให้บล็อกเครือข่าย หรือเวลาที่จะลดฟังก์ชันที่ไม่จำเป็นเพื่อปกป้องธุรกิจหลัก

แนวโน้มชี้ให้เห็นถึงการโจมตีที่รวดเร็ว รุนแรง และปรับตัวได้มากขึ้นเรื่อย ๆ แต่ยังรวมถึงการป้องกันที่ชาญฉลาดและปรับแต่งได้มากขึ้นด้วย การใช้ประโยชน์จากความสามารถของโซลูชันต่าง ๆ เช่น Programmable Flow Protection ร่วมกับการตรวจสอบปริมาณการรับส่งข้อมูลอย่างต่อเนื่อง แนวทางการกำหนดค่าที่ดีที่สุด และสถาปัตยกรรมคลาวด์แบบสำรอง ช่วยให้บริษัทต่าง ๆ สามารถดำเนินงานได้ตามปกติแม้ในขณะที่เกิดพายุแพ็กเก็ต ปกป้องไม่เพียงแต่ข้อมูลของพวกเขาเท่านั้น แต่ยังรวมถึงชื่อเสียงและความไว้วางใจของลูกค้าด้วย