Malicious TCP
2.7. XÂY DỰNG CƠ CHẾ PHÒNG THỦ:
Không cần quan tâm đến mình có phải là mục tiêu tấn công hay không, hay bắt đầu từng bước xây dựng kịch bản trước cho mình bỏi vì khơng thể nào biết được attacker có “nhắm” đến mình hay khơng, hay mình có bị “trở
thành” agent hoặc hander? Dưới đây là những giai đoạn trong phạm vi “bảo vệ, phát hiện và đáp trả”.
Chuẩn bị: phải hiểu rõ cơ cấu vận hành hệ thống bên trong và phải có
những cơng cụ cần thiết thực hiện bắt gói và phân tích trên cả host lẫn mạng (network). Đó cũng là cách để phịng chống những cuộc tấn công đơn giản trước khi bị DoS/DDoS.
Phát hiện: Không phải tất cả những cuộc tấn công nào cũng đều gây cho
hệ thống của mình bị “lỗi”, tuy nhiên, nếu có lỗi thì phải biết lỗi đó là gì. Từ những vấn đề đơn giản được phát hiện thì mới có thể phòng tránh được những vấn đề phức tạp hơn. Bằng cách ghi lại một cách định kỳ những công việc mà hệ thống hoạt động, tuy nhiên vẫn phải đảm bảo về mặt pháp lý. Chẳng hạn, bạn có thể phân loại những host nào đó mà mình cho là nguy hiểm hay xây dựng một IDS hoạt động trên mạng.
Nhận dạng: nếu không thường xuyên bắt dữ liệu để xác định công
cụ tấn cơng DoS/DDoS. Bạn cũng có thể được hỗ trợ bởi những tổ chức phân tích các cơng cụ hiện có trên internet mà attacker hay sử dụng, từ đó hiểu được cơ chế hoạt động của DoS/DDoS. Bằng cách chia sẽ thật nhiều thơng tin về tấn cơng, nó sẽ hạ thấp một mạng tấn cơng DDoS.
Đáp trả: thực hiện khóa lưu lượng tạm ngưng cuộc tấn cơng, nhận dạng
những máy tính bị thỏa hiệp và thu thập chứng cứ phục vụ về mặt pháp lý, hay tóm lược một bảng báo cáo nhanh cho các điều tra viên để họ giúp đỡ bạn trong thời kỳ “khủng hoảng” vì DDoS.
Phân tích sau một vụ tấn công: điều này rất quan trọng nhằm xác định
những gì bạn làm được và chưa làm được. Bạn thu được những gì? có nhận dạng ra cuộc tấn cơng đó khơng? Nhất định mỗi một cơng cụ viết ra đều phải có một cơ chế hoạt động riêng của nó. DoS/DDoS cũng vậy, và từ “vô số” những packet mà bạn thu được, bạn có thể rút ra dấu hiệu của nó? Đó cũng đồng nghĩa với việc bạn có một “sơ hỡ” nào đó của hệ thống bên trong.