Reflection và Amplification Attack,

[dangquangminh]

Dành cho cộng đồng CCNA/CCNP/CCIE của VnPro – giải thích kỹ càng về Reflection và Amplification Attack, một kiểu tấn công DDoS cực kỳ nguy hiểm mà anh em kỹ sư mạng cần nắm rõ, cùng với các ví dụ thực tế như tấn công Smurf, DNS Amplification, và NTP Amplification.

---

🚨 Kỹ Thuật Tấn Công Phản Chiếu & Khuếch Đại: Khi “kẻ giấu mặt” dùng mạng Internet để tự đánh chính bạn!


Hãy tưởng tượng có một kẻ tấn công không bao giờ để lộ mặt – hắn thao túng các hệ thống hợp pháp để đánh bạn thay hắn. Hắn dùng “gậy ông đập lưng ông”, và đòn đánh lại nặng gấp nhiều lần so với lực hắn bỏ ra. Đó chính là nguyên lý của reflection (phản chiếu) và amplification (khuếch đại) – hai thành phần thường được kết hợp để tạo ra những đợt tấn công từ chối dịch vụ phân tán (DDoS) quy mô hàng trăm Gbps. 🔁 Reflection Attack là gì?


Trong tấn công phản chiếu, kẻ tấn công giả mạo địa chỉ IP nguồn thành địa chỉ của nạn nhân và gửi hàng loạt gói tin yêu cầu đến các hệ thống hợp pháp – gọi là reflector (bộ phản chiếu). Các hệ thống này tin rằng nạn nhân là người gửi, nên chúng phản hồi về địa chỉ nạn nhân, dẫn đến việc nạn nhân bị “dội bom” bằng lưu lượng phản hồi từ hàng nghìn thiết bị khắp nơi trên Internet.

➡️ Kẻ tấn công ẩn mình, nạn nhân bị đánh hội đồng. 📣 Amplification Attack là gì?


Amplification – khuếch đại – xảy ra khi kẻ tấn công gửi các gói tin nhỏ nhưng nhận lại phản hồi lớn hơn nhiều lần từ reflector. Điều này giúp hắn dùng băng thông rất nhỏ để tạo ra sức tấn công cực lớn lên nạn nhân.

Ví dụ nổi bật: Một truy vấn DNS có thể chỉ vài chục bytes, nhưng phản hồi có thể lên đến hàng KB – một tỷ lệ khuếch đại lên đến 70 lần!

⚡ Sự Kết Hợp Sát Thương: Reflection + Amplification


Khi hai kỹ thuật này được kết hợp, hậu quả là:

• Một kẻ tấn công với modem 56 Kbps cũng có thể gây sập một hạ tầng 45 Mbps hoặc hơn.
• Rất khó truy vết vì địa chỉ IP thật bị ẩn (spoofed).
• Các dịch vụ sử dụng giao thức UDP (vốn không có bắt tay ba bước như TCP) rất dễ bị lợi dụng vì không cần xác nhận danh tính.

---

💥 Ví dụ Kinh Điển: Smurf Attack

Huyền thoại một thời từ cuối những năm 1990.

Trong tấn công Smurf, kẻ tấn công:

1. Gửi hàng loạt gói ICMP Echo Request đến địa chỉ broadcast của một mạng lớn.
2. Giả mạo địa chỉ IP nguồn thành địa chỉ của nạn nhân (ví dụ 10.1.1.5).
3. Mỗi thiết bị trong mạng lớn này phản hồi lại nạn nhân, tạo ra một “cơn mưa” Echo Reply đổ về IP 10.1.1.5.

(minh họa nguyên lý Smurf attack)
🎯 Kết quả: Với chỉ vài gói Echo Request, hàng trăm hoặc hàng ngàn máy phản hồi -> khuếch đại cực mạnh.

---

🛡️ Phòng Chống Smurf trên Cisco IOS


Lệnh no ip directed-broadcast được thiết kế để ngăn chặn Smurf. Khi được cấu hình trên interface, thiết bị sẽ không cho phép gói broadcast từ ngoài vào nội mạng.
bash

Copy

Edit


interface FastEthernet0/1 no ip directed-broadcast

✅ Từ Cisco IOS 12.0, lệnh này đã là mặc định.

📌 Lưu ý: IP directed broadcast là gói có đích là broadcast address (VD: 192.168.1.255) nhưng được gửi từ mạng ngoài.

---

🔥 Tấn Công DNS Amplification (2013)

• Kẻ tấn công gửi truy vấn DNS nhỏ đến DNS open resolver.
• Giả địa chỉ nguồn là địa chỉ nạn nhân.
• DNS resolver phản hồi dữ liệu lớn (zone records, DNSSEC) về nạn nhân.

➡️ DDoS đạt 300 Gbps, gây ảnh hưởng toàn cầu – làm chậm Internet tại nhiều khu vực.

Theo Open Resolver Project, có đến 28 triệu DNS resolver mở tồn tại vào năm 2013!

---

🔥 Tấn Công NTP Amplification (2014)

• Sử dụng lệnh monlist trên NTP server để thu được danh sách lên tới 600 máy từng kết nối.
• Gửi truy vấn nhỏ, nhận phản hồi cực lớn.
• Tạo lưu lượng DDoS lên tới 400+ Gbps – kỷ lục thời đó.

🎯 NTP cũng dùng UDP, dễ bị spoofing và amplification.

---

❓ Câu hỏi ôn tập


❓ Spoofing được dùng thế nào trong reflection attack?

✅ Đáp án đúng:
👉 The attacker uses the IP address of the intended target as the source address of the packets that it transmits.

❓ Câu lệnh no ip directed-broadcast thực hiện điều gì?

✅ Đáp án đúng:
👉 Broadcasts destined for the subnet to which that interface is attached will be dropped.

---

📌 Kết luận


Trong thời đại mọi dịch vụ đều lên Internet và DDoS-as-a-Service xuất hiện nhan nhản, kỹ thuật phản chiếu và khuếch đại không hề lỗi thời – ngược lại, chúng là những công cụ lợi hại nhất trong kho vũ khí của kẻ tấn công.

🎯 Admin quản trị hệ thống, kỹ sư mạng, cần:

• Chặn broadcast từ ngoài vào.
• Tắt monlist trên NTP.
• Giới hạn truy vấn trên DNS.
• Triển khai ACL, uRPF, firewall để chống spoofing.
• Giám sát lưu lượng bất thường qua NetFlow, SNMP hoặc SIEM.