Một lần phỏng vấn dẫn đến vụ tấn công DDoS lên máy chủ của Alibaba Cloud

Ngày cập nhật: 16-07-2020 | Số lượt đọc: 5943 | Số từ: 673 | Phân loại: Bảo mật

Chiều nay, gần lúc tan ca, đồng nghiệp nhận được một tin nhắn cảnh báo từ Alibaba Cloud. Nội dung nói rằng một trong những máy chủ của chúng tôi đang bị tấn công DDoS và đã vượt ngưỡng miễn phí bảo vệ, vì vậy địa chỉ IP mạng công cộng của máy chủ đã bị đưa vào “đen” (blackhole), với thời gian chờ mở lại là 300 phút.

Từ khi tiếp quản mảng kinh doanh này, đây là lần đầu tiên chúng tôi gặp phải tình trạng tấn công DDoS. Điều đó cho thấy mức độ chuyên nghiệp trong ngành vẫn còn khá cao. Vậy tại sao bỗng dưng máy chủ của chúng tôi lại bị tấn công? Tôi liền tắt quảng cáo trên Baidu để tránh ảnh hưởng thêm, vừa định kiểm tra nhật ký tấn công thì người phụ trách nhân sự chạy tới và nói:

Trang web công ty có vẻ không truy cập được rồi. Một ứng viên đến phỏng vấn ngày mai nói rằng anh ấy đã khiến trang web của chúng ta sập.

Đó là lần đầu tiên tôi chứng kiến một ứng viên ngu ngốc đến như vậy.

Dù đã tìm ra nguồn gốc tấn công và ngừng hoạt động gây hại, nhưng trang web đã không thể truy cập. Theo thông báo từ bảng điều khiển Alibaba Cloud, phải đợi ít nhất 5 tiếng nữa mới được mở khóa. Ai mà đủ kiên nhẫn để ngồi chờ như vậy?

Tôi liền nhắn qua DingTalk một nhân viên bán hàng của Alibaba Cloud – người mà tôi đã thêm lâu rồi nhưng chưa từng liên lạc. Anh ấy phản hồi rất nhanh, yêu cầu gọi điện trực tiếp để trao đổi rõ hơn. Sau khi tôi mô tả vấn đề, anh ấy gửi link dịch vụ chống DDoS trả phí qua DingTalk…

Tôi nói rằng mình không cần và cũng không đủ khả năng chi trả. Có thể giải phóng IP sớm không?

Anh nhân viên bán hàng khá nhiệt tình, nói rằng anh không có quyền tự quyết, phải nhờ kỹ sư xử lý. Rồi sau đó khoảng nửa tiếng, anh gọi lại, hướng dẫn tôi tạo đơn đặt hàng dịch vụ để xin mở khóa theo quy trình… Thôi, dù sao cũng nên tôn trọng công sức của họ, vì cuối cùng ai cũng làm việc vì mục tiêu KPI. Vì vậy tôi chấp nhận và nộp đơn yêu cầu hỗ trợ.

Lại mất thêm nửa tiếng nữa, trang web mới quay trở lại hoạt động bình thường.

Thời gian cứ thế trôi đi vô ích.

Thời gian bị đưa vào “đen” trên Alibaba Cloud thường kéo dài bao lâu?

Thông thường, thời gian bị blackhole là khoảng 2 giờ rưỡi, tùy theo đánh giá cấp độ khách hàng mà Alibaba Cloud sẽ áp dụng các chính sách khác nhau. Tuy nhiên, tôi không hiểu tại sao – dù là khách hàng trung thành và đã thanh toán đều đặn nhiều năm – lại bị khóa IP tận 5 tiếng. Nhân viên chăm sóc khách hàng lý giải rằng thời gian bị khóa phụ thuộc vào lượng lưu lượng tấn công và đây là lần đầu tiên máy chủ bị DDoS, nên thời gian giữ nguyên lâu hơn. Tôi cho rằng đây chỉ là lý do giấu nhẹm sự thiếu linh hoạt trong hệ thống. Một tên cắp nhỏ tuổi làm sao có thể gây ra một lượng lưu lượng đáng kể? Và nếu là lần đầu, tại sao lại không rút ngắn thời gian khóa?

Tóm lại, tôi cực kỳ không hài lòng với chính sách blackhole DDoS của Alibaba Cloud. Đó là một ví dụ điển hình cho việc xử lý lười biếng.

Làm thế nào để phòng chống DDoS với chi phí thấp?

TODO