VietNetwork.Vn

Trong số nhiều mối đe dọa an ninh mạng khác nhau xảy ra trên internet, các cuộc tấn công DDoS là một trong những mối đe dọa nguy hiểm nhất và khó ngăn chặn nhất. Số vụ tấn công DDoS trên toàn thế giới không ngừng gia tăng, năm 2020 là một năm đặc biệt tồi tệ do sự chuyển dịch lớn sang hoạt động trực tuyến nhiều hơn. Điều này khiến nhiều doanh nghiệp băn khoăn làm thế nào để ngăn chặn các cuộc tấn công của bot.

Các cuộc tấn công DDoS thường sử dụng botnet, là máy tính hoặc thiết bị khác đã bị nhiễm phần mềm độc hại và hiện nằm dưới sự kiểm soát của tin tặc. Tin tặc cũng có thể sử dụng các botnet này cho nhiều mối đe dọa an ninh mạng khác nhau như đánh cắp dữ liệu, chiếm đoạt tài khoản, thu thập nội dung web, thu thập thông tin yêu cầu, v.v.

Trong hướng dẫn này, chúng tôi sẽ thảo luận về cách ngăn chặn và ngăn chặn các cuộc tấn công botnet trên trang web và máy chủ của bạn. Chúng ta sẽ thảo luận về các loại tấn công botnet khác nhau và cách chúng ta có thể ngăn chặn và giảm thiểu các cuộc tấn công botnet sắp tới một cách hiệu quả.

Tuy nhiên, chúng ta hãy bắt đầu bằng việc thảo luận về các khái niệm về botnet và các cuộc tấn công bằng botnet.

1. Mạng botnet là gì?


Điều đầu tiên trước tiên: bot là một chương trình phần mềm tự động được thiết kế để thực hiện một tác vụ cụ thể qua internet. Ví dụ: bot quét nội dung được thiết kế chỉ để lưu nội dung trên nhiều trang web khác nhau.

Botnet là một mạng hoặc cụm các bot như vậy, thường sử dụng một nhóm máy tính (hoặc thiết bị khác) đã bị nhiễm phần mềm độc hại và hiện nằm dưới sự kiểm soát của chủ sở hữu phần mềm độc hại. Những botnet này đang được sử dụng để tấn công (và thường lây nhiễm) các máy tính và thiết bị khác.

Thông thường, tin tặc sẽ làm tất cả những gì có thể để đảm bảo rằng nạn nhân không biết về sự lây nhiễm, điều này sẽ cho phép họ khai thác mạng botnet càng lâu càng tốt.

2. Botnet được tạo ra như thế nào?

Để tạo botnet, tin tặc bắt đầu bằng cách tạo một phần mềm độc hại (hoặc lấy một phần mềm độc hại sẵn sàng sử dụng có thể sửa đổi) có thể được sử dụng để điều khiển từ xa máy chủ bị nhiễm hoặc thiết bị khác.

Một điều đáng chú ý về botnet là sau khi một máy tính bị xâm nhập, nó có thể lây nhiễm sang các thiết bị khác mà nó tương tác, chẳng hạn như bằng cách tự động gửi email spam. Với phương pháp này, tin tặc có thể kiểm soát hàng trăm, hàng nghìn, thậm chí hàng triệu máy tính.

Phần mềm độc hại được đề cập thường là vi-rút loại Trojan, chúng ngụy trang dưới dạng tệp vô hại, lừa người dùng nhấp vào tệp thực thi. Ví dụ:

• Tệp đính kèm email dường như vô hại như một hình ảnh hấp dẫn, tài liệu có vẻ quan trọng (hóa đơn, ưu đãi đặc biệt), v.v. Nhấp để tải xuống tệp đính kèm sẽ kích hoạt quá trình cài đặt phần mềm độc hại
• Phần mềm (hoặc tệp.exe) được tải xuống từ nguồn không đáng tin cậy, có thể là phần mềm độc hại botnet
• Quảng cáo hoặc thông báo bật lên, khi nhấp vào quảng cáo sẽ tải xuống tệp thực thi

Điều quan trọng cần lưu ý là phần mềm độc hại botnet không chỉ lây nhiễm vào máy tính cá nhân và máy tính xách tay mà còn cả điện thoại thông minh và thậm chí cả các thiết bị IoT như camera giám sát, máy chơi game, v.v.

Botnet có thể 'lây lan', nghĩa là lây nhiễm sang các thiết bị khác, theo cả cách chủ động và thụ động:

• Hoạt động: botnet có thể tự phát tán mà không cần bất kỳ sự can thiệp nào của người dùng. Thông thường, một botnet đang hoạt động có cơ chế được thiết kế để tìm các máy chủ tiềm năng khác trên internet (tức là các máy tính có lỗ hổng đã biết) và sẽ lây nhiễm chúng khi có thể.
• Bị động: botnet chỉ có thể lây nhiễm sang các thiết bị khác khi có sự can thiệp của con người. Ví dụ: botnet có thể thực hiện một cuộc tấn công lừa đảo hoặc kỹ thuật xã hội để lây nhiễm sang các thiết bị khác.

3. Tấn công botnet là gì?

Nói một cách đơn giản, một cuộc tấn công botnet là bất kỳ hoạt động độc hại nào do tin tặc hoặc tội phạm mạng thực hiện bằng cách sử dụng mạng botnet.

Hình thức tấn công botnet phổ biến nhất là tấn công DDoS (Từ chối dịch vụ phân tán). Tin tặc sẽ sử dụng botnet để gửi một lượng lớn yêu cầu và/hoặc lưu lượng truy cập đến một trang web hoặc máy chủ web nhằm làm trang web hoặc máy chủ web choáng ngợp, điều này ngăn cản trang web phục vụ người dùng thực của mình (do đó, từ chối dịch vụ).

Tuy nhiên, cũng có các dạng tấn công độc hại khác có thể được thực hiện bởi botnet, bao gồm nhưng không giới hạn ở:

• Tấn công thư rác: khi máy chủ web có SMTP hoặc POP3 bị biến thành một phần của mạng botnet, nó có thể được sử dụng để gửi email spam và lừa đảo nhằm lừa đảo người nhận, lây nhiễm phần mềm độc hại vào thiết bị và các phương tiện khác.
• Khai thác tiền điện tử: một loại mối đe dọa an ninh mạng phổ biến trong những năm gần đây, mạng botnet bị tấn công để khai thác tiền điện tử nhằm thu lợi tài chính của kẻ tấn công
• Lưu lượng truy cập lừa đảo: tạo lưu lượng truy cập web giả mạo hoặc nhấp vào quảng cáo lừa đảo để tăng doanh thu
• Tiền chuộc: lây nhiễm ransomware vào thiết bị và yêu cầu tiền để 'giải phóng' thiết bị hoặc ép buộc người dùng thanh toán để xóa thiết bị của họ khỏi mạng botnet
• Phần mềm gián điệp: botnet theo dõi các hoạt động của người dùng như mật khẩu, thông tin thẻ tín dụng và các dữ liệu nhạy cảm khác, sau đó báo cáo cho chủ sở hữu botnet. Kẻ tấn công sau đó có thể bán dữ liệu nhạy cảm này trên thị trường chợ đen.

Ngoài ra, botnet có thể được bán hoặc cho các tin tặc khác thuê.

4. Các loại botnet khác nhau

Chúng ta có thể phân biệt các loại botnet khác nhau dựa trên cách chúng được kẻ tấn công kiểm soát. Trên thực tế, có nhiều phương pháp khác nhau mà hacker có thể sử dụng để ra lệnh và kiểm soát mạng botnet; một số phức tạp hơn các phương pháp khác.

Thông thường đối với một mạng botnet lớn hơn, một 'người chăn nuôi' chính hoặc chủ sở hữu có thể kiểm soát toàn bộ mạng botnet từ một máy chủ trung tâm, trong khi những người chăn nuôi nhỏ hơn khác có thể kiểm soát một phần nhỏ hơn của mạng botnet.

Mặc dù có nhiều loại botnet khác nhau nhưng dưới đây là một số loại phổ biến nhất:

• Lệnh và Điều khiển (hoặc C&C): trong loại này, tất cả các thiết bị trong mạng botnet giao tiếp với một máy chủ hoặc máy chủ trung tâm
• IRC: hoặc Trò chuyện chuyển tiếp qua Internet. Loại botnet này tập trung vào việc sử dụng băng thông thấp và giao tiếp đơn giản hơn (như mIRC) để che giấu danh tính và tránh bị phát hiện.
• Telnet: trong kiểu điều khiển botnet này, tất cả các thiết bị trong botnet đều được kết nối với máy chủ lệnh chính nên nó là một kiểu con của C&C. Sự khác biệt chính là các máy tính mới được thêm vào botnet thông qua tập lệnh quét chạy trên máy chủ bên ngoài. Sau khi máy quét tìm thấy thông tin đăng nhập, nó sẽ bị nhiễm phần mềm độc hại thông qua SSH.
• Tên miền: thiết bị bị nhiễm truy cập các trang web hoặc tên miền phân phối lệnh. Chủ sở hữu botnet có thể cập nhật mã theo thời gian.
• P2P: Trong loại này, các botnet không được kết nối với máy chủ trung tâm mà thay vào đó được kết nối ngang hàng. Mỗi thiết bị bị nhiễm trong botnet hoạt động như một máy chủ và máy khách.

5. Những thách thức trong việc ngăn chặn và ngăn chặn các cuộc tấn công của botnet

Với rất nhiều botnet lưu hành trên internet ngày nay, việc bảo vệ là điều cần thiết nhưng điều đó không hề dễ dàng. Các Botnet liên tục biến đổi để tận dụng các lỗ hổng và lỗ hổng bảo mật. Do đó, mỗi mạng botnet có thể khác biệt đáng kể so với các mạng khác.

Các nhà điều hành Botnet biết rằng họ càng sử dụng nhiều địa chỉ IP và thiết bị trong các cuộc tấn công thì các công nghệ phòng thủ bot càng khó tự tin sàng lọc các yêu cầu xấu để truy cập vào trang web và API, đồng thời tự tin cho phép truy cập vào các yêu cầu hợp lệ từ khách hàng hoặc đối tác.

Sự bùng nổ của các thiết bị IoT có địa chỉ IP đã giúp các botnet lây lan các xúc tu của chúng dễ dàng hơn bao giờ hết. Các thiết bị IoT thường dễ bị tổn thương hơn máy tính cá nhân khi có các biện pháp bảo vệ yếu hơn. Các thiết bị IoT bị lây nhiễm khiến kẻ tấn công dễ dàng thực hiện các cuộc tấn công ở mức độ thấp và chậm, trong đó số lượng lớn địa chỉ IP chỉ thực hiện một vài yêu cầu. Kiểu tấn công botnet này đặc biệt khó sàng lọc và bảo vệ ở cấp độ hành vi mạng hoặc IP.

Nói một cách đơn giản, việc ngăn chặn và ngăn chặn các cuộc tấn công của bot đòi hỏi khả năng phát hiện tinh vi.

6. Cách ngăn chặn và ngăn chặn các cuộc tấn công của botnet

6.1. Luôn cập nhật phần mềm của bạn

Virus và phần mềm độc hại mới được tạo ra mỗi ngày, vì vậy điều rất quan trọng là đảm bảo toàn bộ hệ thống của bạn cũng được cập nhật để ngăn chặn các cuộc tấn công của botnet.

Rất nhiều cuộc tấn công bằng botnet được thiết kế để khai thác các lỗ hổng trong ứng dụng hoặc phần mềm, rất nhiều trong số chúng có thể đã được sửa dưới dạng các bản cập nhật hoặc bản vá bảo mật. Vì vậy, hãy tạo thói quen cập nhật phần mềm và hệ điều hành thường xuyên. Bạn sẽ không muốn bị nhiễm phần mềm độc hại hoặc bất kỳ loại mối đe dọa an ninh mạng nào khác chỉ vì bạn sơ ý cập nhật phần mềm.

6.2. Giám sát chặt chẽ mạng của bạn

Giám sát chặt chẽ mạng của bạn để phát hiện các hoạt động bất thường. Điều này sẽ hiệu quả hơn nhiều nếu bạn hiểu rõ hơn về lưu lượng truy cập thông thường của mình và cách mọi thứ thường hoạt động bình thường.

Giám sát mạng 24 giờ nên là chính sách nếu có thể, bằng cách sử dụng các giải pháp phân tích và thu thập dữ liệu có thể tự động phát hiện hành vi bất thường, chẳng hạn như các cuộc tấn công botnet.

6.3. Giám sát các lần đăng nhập thất bại

Một trong những mối đe dọa lớn nhất đối với các công ty trực tuyến là việc chiếm đoạt tài khoản, hay ATO. Botnet thường được sử dụng để kiểm tra khối lượng lớn kết hợp tên người dùng và mật khẩu bị đánh cắp nhằm giành quyền truy cập trái phép vào tài khoản người dùng.

Việc theo dõi tỷ lệ đăng nhập thất bại thông thường của bạn sẽ giúp bạn thiết lập đường cơ sở để bạn có thể thiết lập cảnh báo nhằm thông báo cho bạn về bất kỳ mức tăng đột biến nào trong số lần đăng nhập thất bại, đây có thể là dấu hiệu của một cuộc tấn công mạng botnet. Xin lưu ý rằng các cuộc tấn công "thấp và chậm" đến từ số lượng lớn địa chỉ IP khác nhau có thể không kích hoạt các cảnh báo tấn công botnet này.

6.4. Triển khai giải pháp phát hiện botnet tiên tiến

Cách tiếp cận tốt nhất để bảo vệ trang web và máy chủ web của bạn khỏi các cuộc tấn công của botnet là đầu tư vào phần mềm phát hiện botnet tiên tiến như DataDome, phần mềm này có thể thực hiện phát hiện botnet theo thời gian thực và sử dụng các phương pháp giảm thiểu bot cấp cao nhất.

Mặc dù các nhà điều hành botnet hiện rất tinh vi trong việc che giấu danh tính của botnet, giải pháp hỗ trợ AI của DataDome có thể thực hiện phân tích hành vi theo thời gian thực để phát hiện lưu lượng truy cập botnet và chặn tất cả các hoạt động của botnet trước khi chúng tiếp cận máy chủ web của bạn. Việc triển khai quản lý và bảo vệ bot thậm chí có thể cải thiện thời gian phản hồi máy chủ ban đầu của bạn.

DataDome tập hợp dữ liệu từ hàng nghìn trang web, phân tích hàng tỷ yêu cầu mỗi ngày và sử dụng công nghệ học máy tiên tiến để liên tục cập nhật thuật toán. Bằng cách này, giải pháp ngăn chặn botnet có thể phát hiện cả botnet quen thuộc và các mối đe dọa mới trong thời gian thực.

Điều tuyệt vời nhất là DataDome không yêu cầu bạn phải thực hiện giảm thiểu hoạt động của mạng botnet hoặc sự can thiệp hàng ngày nào khác. Chỉ cần thiết lập danh sách cho phép của các bot đối tác đáng tin cậy, sau đó DataDome sẽ xử lý tất cả lưu lượng truy cập không mong muốn trong khi bạn tập trung vào các dự án có giá trị hơn.

Các cuộc tấn công Botnet có thể cực kỳ nguy hiểm. Sử dụng các phương pháp trên, bạn có thể triển khai biện pháp phòng vệ hiệu quả trước các cuộc tấn công của botnet và phần mềm độc hại. Tuy nhiên, nhìn chung, đầu tư vào phần mềm phát hiện chống botnet theo thời gian thực như DataDome vẫn là phương pháp tốt nhất để bảo vệ trang web của bạn khỏi các cuộc tấn công của botnet và sự lây nhiễm của phần mềm độc hại.