DDoS & บอตเน็ต

01เสาต้นที่สามของความปลอดภัย Availability

เที่ยงวันก่อนประกาศผลสอบ เว็บมหาวิทยาลัยค้างทั้งมหาลัย กดเข้าไปกี่ครั้งก็หมุนติ้ว ๆ ไม่มีใครล็อกอินได้ ข้อมูลในระบบไม่ได้หายไปไหน ไม่มีใครขโมยอะไร แต่ “ใช้งานไม่ได้” ก็สร้างความเสียหายได้พอ ๆ กับการถูกเจาะ

ในโลกความปลอดภัย เรามักพูดถึงหลักสามข้อที่เรียกรวมกันว่า CIA ย่อมาจากความลับของข้อมูล (Confidentiality) ความถูกต้องครบถ้วน (Integrity) และ ความพร้อมใช้งาน (Availability) สองข้อแรกคือ “ห้ามให้คนอื่นแอบอ่าน” และ “ห้ามให้ใครแอบแก้” ส่วนข้อที่สามเรียบง่ายกว่านั้นมาก คือ “เมื่อเราอยากใช้ มันต้องใช้ได้”

การโจมตีแบบ DDoS เล็งเป้าที่เสาต้นที่สามโดยตรง มันไม่สนใจจะอ่านหรือแก้ข้อมูลของเราเลย เป้าหมายเดียวคือทำให้ระบบ ล่ม จนคนที่ควรใช้ได้ กลับใช้ไม่ได้ นี่คือการโจมตีที่เห็นผลทันตา และน่าแปลกที่มันเป็นหนึ่งในการโจมตีที่ “เข้าใจง่ายที่สุด” แต่ “กันยากที่สุด” ในเวลาเดียวกัน

ศัพท์น่ารู้: ความพร้อมใช้งาน (Availability)

หนึ่งในสามเสาหลักของความปลอดภัย (CIA) หมายถึงระบบและข้อมูลต้องเข้าถึงได้เมื่อผู้ใช้ที่ถูกต้องต้องการ การทำให้ระบบล่ม ช้า หรือเข้าไม่ได้ ถือเป็นการทำลายความพร้อมใช้งาน แม้ไม่มีข้อมูลรั่วออกไปเลยก็ตาม

02DoS กับ DDoS ต่างกันอย่างไร DoS vs DDoS

ลองนึกถึงร้านข้าวมันไก่เจ้าดังที่รับลูกค้าได้พร้อมกันสิบโต๊ะ ถ้ามีคนกลั่นแกล้งคนเดียว สั่งแล้วไม่กิน นั่งยึดโต๊ะไว้ ร้านก็พอรับมือได้ ไล่ออกไปโต๊ะเดียวจบ แต่ถ้าจู่ ๆ มีคนเป็นพันมายืนออกันหน้าร้านพร้อมกัน แกล้งสั่งแกล้งถาม ลูกค้าจริงก็เข้าไม่ได้เลย นี่คือหัวใจของความต่างระหว่าง DoS กับ DDoS

DoS (Denial of Service) คือการทำให้บริการใช้ไม่ได้ โดยยิงคำขอจำนวนมากจาก จุดเดียว ข้ออ่อนของมันคือ ถ้ารู้ว่ามาจากไหน ก็บล็อกต้นทางนั้นทิ้งได้ไม่ยาก

DDoS (Distributed Denial of Service) เติมคำว่า “กระจาย” (Distributed) เข้าไป คือยิงพร้อมกันจาก เครื่องนับหมื่นนับแสนทั่วโลก ทีนี้จะบล็อกต้นทางก็ยาก เพราะมันไม่ได้มีต้นทางเดียว แถมหลายเครื่องที่ยิงมา ก็เป็นเครื่องของคนบริสุทธิ์ที่ถูกยึดไปใช้โดยไม่รู้ตัว

จุดที่ควรจำคือ DDoS ไม่ได้ “เจาะ” อะไรเลย มันไม่ได้หาช่องโหว่หรือขโมยรหัสผ่าน มันแค่ใช้ของที่เว็บทุกเว็บมีจำกัดอยู่แล้วให้หมดลง นั่นคือแบนด์วิดท์ (ความกว้างของท่อเน็ต) และกำลังประมวลผลของเซิร์ฟเวอร์ เปรียบเหมือนไม่ต้องงัดกุญแจบ้าน แค่เอารถมาจอดขวางปากซอยให้เต็ม เจ้าของบ้านก็ออกไปไหนไม่ได้

03บอตเน็ตเกิดขึ้นได้อย่างไร How botnets are built

คำถามแรกที่ทุกคนสงสัยคือ แล้วผู้โจมตีเอาเครื่องเป็นหมื่นเป็นแสนมาจากไหน คำตอบน่าตกใจกว่าที่คิด ส่วนใหญ่ไม่ใช่เครื่องของผู้โจมตีเอง แต่เป็นอุปกรณ์ของคนธรรมดาทั่วโลก ที่ถูกยึดไปใช้โดยเจ้าของยังใช้งานได้ปกติและไม่เคยรู้ตัว กองทัพเครื่องที่ถูกยึดแบบนี้เรียกว่า บอตเน็ต (botnet) ซึ่งมาจากคำว่า robot + network

เป้าหมายที่ง่ายที่สุดคืออุปกรณ์ที่เราเรียกรวม ๆ ว่า IoT (Internet of Things) หรือ “ของที่ต่อเน็ตได้” เช่น กล้องวงจรปิด เราเตอร์ กล่องบันทึกภาพ สมาร์ตทีวี อุปกรณ์พวกนี้ต่อเน็ตตลอด 24 ชั่วโมง เปิดทิ้งไว้เป็นปี ไม่มีใครคอยอัปเดต และที่แย่ที่สุดคือ หลายตัวมากับรหัสผ่านโรงงานง่าย ๆ อย่าง admin/admin หรือ admin/1234 ที่เจ้าของไม่เคยเปลี่ยน

วิธีที่มัลแวร์บอตเน็ตแพร่ก็ตรงไปตรงมาจนน่าใจหาย มันกวาดหาอุปกรณ์ที่เปิดช่องให้เข้าจากอินเทอร์เน็ต แล้วลองรหัสผ่านโรงงานยอดนิยมทีละคู่ เครื่องไหนยังใช้รหัสเดิมก็เข้าได้ทันที ไม่ต้องใช้ช่องโหว่ซับซ้อนอะไรเลย เพราะเจ้าของเปิดประตูทิ้งไว้ให้เอง

ศัพท์น่ารู้: C2 และ ผู้คุมบอตเน็ต

C2 (Command & Control) คือเซิร์ฟเวอร์ศูนย์กลางที่ผู้โจมตีใช้สั่งการบอตทั้งหมด ส่วนผู้คุมบอตเน็ต (bot herder) คือคนที่เป็นเจ้าของและสั่งงานกองทัพนี้ การตัดการสื่อสารกับ C2 ได้ เท่ากับทำให้บอตเน็ตเป็นอัมพาต จึงเป็นเป้าสำคัญของฝ่ายป้องกัน

04สามชนิดของการถล่ม Three classes of attack

DDoS ไม่ได้มีหน้าตาเดียว แบ่งคร่าว ๆ ได้เป็นสามกลุ่มตามว่ามัน “ทำของอะไรให้หมด” กลุ่มแรกถมท่อให้เต็ม กลุ่มที่สองเล่นงานกลไกการเชื่อมต่อ และกลุ่มที่สามเนียนปลอมเป็นผู้ใช้จริง แต่ละแบบต้องใช้วิธีรับมือต่างกัน

มีเทคนิคหนึ่งที่ทำให้การถล่มด้วยปริมาณ “คุ้มค่า” ขึ้นมากสำหรับผู้โจมตี เรียกว่า การขยายสัญญาณ (amplification) หลักการพออธิบายเป็นแนวคิดได้โดยไม่ต้องลงรายละเอียด: มีบริการบางอย่างบนอินเทอร์เน็ตที่ถ้าเราส่งคำถามสั้น ๆ ไป มันจะตอบกลับมายาวมาก ผู้โจมตีอาศัยช่องนี้โดยปลอมที่อยู่ผู้ส่งให้เป็นของเหยื่อ คำตอบก้อนใหญ่จึงถูกเทใส่เหยื่อแทน ส่งนิดเดียวแต่กระแทกได้หนักหลายสิบเท่า นี่เป็นเหตุผลที่สถิติปริมาณ DDoS ถึงพุ่งขึ้นได้ถึงระดับหลายสิบ Tbps ในช่วงหลัง

05แฟ้มคดี: Mirai & Dyn 2016 The Mirai case file

ถ้าจะเล่าเรื่อง DDoS ให้เห็นภาพ ไม่มีคดีไหนคลาสสิกเท่า Mirai ปี 2016 มันคือบอตเน็ตที่สร้างจากกล้องวงจรปิดและเราเตอร์ของคนทั่วไป และมันแสดงให้โลกเห็นว่า “ของเล่น ๆ” อย่างกล้องราคาถูกที่ตั้งรหัสอ่อน รวมพลังกันแล้วถล่มอินเทอร์เน็ตครึ่งโลกได้จริง

Mirai แพร่ด้วยวิธีที่เรียบง่ายอย่างที่เล่าไปแล้ว คือกวาดหาอุปกรณ์ที่เปิดช่องให้เข้าจากเน็ต แล้วลองรหัสผ่านโรงงานยอดฮิตกว่า 60 คู่ เครื่องไหนยังใช้รหัสเดิมก็ถูกยึดทันที มันเริ่มเป็นข่าวเมื่อถล่มบล็อกข่าวความปลอดภัยชื่อดังด้วยทราฟฟิกราว 620 Gbps ตามด้วยผู้ให้บริการโฮสต์ในยุโรปที่มีรายงานแตะระดับราว 1 Tbps ซึ่งถือว่าหนักเป็นประวัติการณ์ในเวลานั้น

หลังจากนั้นผู้เขียนโค้ด (ใช้ชื่อแฝงว่า Anna-senpai) ก็ปล่อยซอร์สโค้ดของ Mirai สู่สาธารณะ ทำให้ใคร ๆ ก็เอาไปดัดแปลงสร้างบอตเน็ตของตัวเองได้ เกิดบอตเน็ตเลียนแบบมากมายแย่งยึดอุปกรณ์กันเอง

บทสรุปของคดีนี้สำคัญ: สามคนที่อยู่เบื้องหลัง Mirai ถูกจับได้และรับสารภาพในปลายปี 2017 ปลายทางของการสร้างบอตเน็ตไม่ใช่ความเท่ แต่เป็นคดีอาญา และเรื่องนี้ยังเตือนเราทุกคนว่า อุปกรณ์เล็ก ๆ ในบ้านที่เราลืมไปแล้ว อาจกำลังเป็นทหารในกองทัพของใครบางคนอยู่

06ป้องกันเว็บ: กรวยกรองทราฟฟิก Defending a site

ถ้าเราเป็นคนดูแลเว็บ จะกัน DDoS ได้อย่างไร กุญแจสำคัญคือต้องเข้าใจก่อนว่า เราไม่ได้พยายาม “บล็อกผู้โจมตี” ทีละตัว เพราะมันมีเป็นแสน แต่เราสร้าง กรวยกรองหลายชั้น ให้ทราฟฟิกทุกอย่างไหลผ่าน แต่ละชั้นคัดของไม่ดีทิ้งไปเรื่อย ๆ จนเหลือเฉพาะผู้ใช้จริงที่ถึงเซิร์ฟเวอร์

ขอแตกศัพท์สำคัญในภาพให้ชัด เพราะเป็นคำที่เจอบ่อยในงานจริง

• Anycast: เทคนิคกระจายคำขอที่วิ่งมาหา “ที่อยู่เดียว” ให้ไปตกที่ศูนย์ข้อมูลที่ใกล้ที่สุดในหลาย ๆ แห่งทั่วโลก ทราฟฟิกถล่มจึงถูกซอยกระจายไปรับหลายจุด ไม่กระจุกจมที่เดียว
• CDN (Content Delivery Network): เครือข่ายเซิร์ฟเวอร์กระจายทั่วโลกที่เก็บสำเนาเนื้อหาเว็บไว้ ช่วยเสิร์ฟแทนเซิร์ฟเวอร์จริง และบังหน้าไม่ให้ผู้โจมตีเห็นที่อยู่จริงของเรา
• Rate limiting: การจำกัดจำนวนคำขอต่อผู้ใช้ต่อช่วงเวลา ยิงเกินโควตาก็ถูกชะลอหรือปฏิเสธ
• Autoscaling: ให้ระบบเพิ่มกำลังเซิร์ฟเวอร์เองอัตโนมัติเมื่อทราฟฟิกพุ่ง ซื้อเวลาให้ระบบไม่ล้มทันที (แต่ต้องระวังค่าใช้จ่ายที่พุ่งตาม)
• แผนรับมือร่วมกับผู้ให้บริการต้นทาง (upstream): เพราะบางครั้งทราฟฟิกใหญ่เกินกว่าจะกรองที่ปลายทางของเราเอง ต้องประสานผู้ให้บริการเน็ตหรือผู้ให้บริการป้องกัน DDoS ให้ช่วยกรองตั้งแต่ต้นทาง

สำหรับเว็บเล็ก ๆ อย่างเว็บชมรมหรือโปรเจกต์ส่วนตัว ข่าวดีคือเราไม่ต้องสร้างของพวกนี้เองเลย แค่วางเว็บไว้หลังบริการ CDN ที่มีระบบกัน DDoS ในตัว ก็ได้เกราะหลายชั้นนี้มาฟรีหรือราคาถูกแล้ว

07อย่าให้อุปกรณ์เราเป็นลูกสมุน Secure your own IoT

อีกด้านของเรื่องนี้ที่สำคัญไม่แพ้กันคือ ทุกคนมีส่วนช่วยทำให้ DDoS หมดกำลังได้ ด้วยการไม่ปล่อยให้อุปกรณ์ของตัวเองกลายเป็นบอต บอตเน็ตจะใหญ่ไม่ได้ถ้าไม่มีกล้องและเราเตอร์ที่ตั้งรหัสอ่อนให้ยึด และเราคุมส่วนนั้นได้เองที่บ้าน

1. เปลี่ยนรหัสผ่านโรงงานทันทีที่ติดตั้ง

   กล้องวงจรปิด เราเตอร์ กล่องทีวี พอแกะกล่องมาให้ตั้งรหัสใหม่ที่ไม่ซ้ำใครก่อนใช้งานเสมอ นี่คือขั้นที่ตัดวงจร Mirai ได้ตรง ๆ เพราะมันอาศัยรหัสเดิมเป็นหลัก

2. เปิดอัปเดตเฟิร์มแวร์

   เฟิร์มแวร์คือซอฟต์แวร์ในตัวอุปกรณ์ ผู้ผลิตปล่อยอัปเดตมาปิดช่องโหว่เป็นระยะ ถ้าเปิดอัปเดตอัตโนมัติได้ให้เปิดไว้ ถ้าไม่ได้ก็หมั่นเข้าไปเช็กเอง

3. อย่าเปิดอุปกรณ์ให้เข้าถึงได้จากอินเทอร์เน็ตโดยไม่จำเป็น

   ฟังก์ชัน “ดูกล้องจากนอกบ้าน” ที่เปิดช่องตรง ๆ คือสิ่งที่บอตเน็ตกวาดเจอ ถ้าต้องใช้จริง ให้ใช้ผ่านแอปของผู้ผลิตที่ออกแบบมาปลอดภัยกว่า หรือผ่าน VPN เข้าบ้าน

4. แยกอุปกรณ์ IoT ออกเป็นเครือข่ายต่างหาก

   เราเตอร์ยุคนี้หลายรุ่นมี Wi-Fi สำหรับแขก (guest network) ลองย้ายอุปกรณ์ IoT ไปไว้วงนั้น ถ้าตัวใดโดนยึด ก็ลามมาถึงคอมและมือถือหลักได้ยากขึ้น

5. อย่าซื้อของถูกผิดปกติที่ไม่มีการอัปเดต

   อุปกรณ์ไร้ยี่ห้อราคาถูกมาก ๆ มักไม่มีทีมดูแลออกแพตช์ให้ กลายเป็นเหยื่อถาวรของบอตเน็ต เลือกยี่ห้อที่ยังออกอัปเดตให้รุ่นนั้นอยู่คุ้มกว่าในระยะยาว

08รับจ้างยิงเว็บคืออาชญากรรม DDoS-for-hire is a crime

ต้องพูดให้ชัดตรงนี้ เพราะมีคนเข้าใจผิดเยอะ ทุกวันนี้มีเว็บที่โฆษณาตัวเองว่าเป็น “บริการทดสอบความแข็งแรงของเว็บ” (stresser หรือ booter) จ่ายเงินไม่กี่ร้อยบาทก็สั่งยิงเว็บไหนก็ได้ ฟังดูเหมือนบริการปกติ แต่ความจริงคือเครื่องมือก่ออาชญากรรมที่แค่แต่งหน้าให้ดูถูกกฎหมาย

การสั่งยิงเว็บของคนอื่น (ไม่ว่าจะเพราะโกรธเพื่อน แกล้งเซิร์ฟเวอร์เกม หรืออยากให้เว็บโรงเรียนล่มวันสอบ) คือการทำลายความพร้อมใช้งานของระบบคนอื่น ซึ่งผิดกฎหมายชัดเจน ไม่ใช่เรื่องเล่น ๆ

กฎหมายไทยที่เกี่ยวข้อง: พ.ร.บ.คอมพิวเตอร์ฯ

มาตรา 10 กำหนดว่า ผู้ใดกระทำโดยมิชอบเพื่อให้การทำงานของระบบคอมพิวเตอร์ของผู้อื่นถูกระงับ ชะลอ ขัดขวาง หรือรบกวนจนใช้งานไม่ได้ ต้องระวางโทษจำคุกไม่เกินห้าปี หรือปรับไม่เกินหนึ่งแสนบาท หรือทั้งจำทั้งปรับ และถ้าเป็นการกระทำต่อระบบที่เกี่ยวกับความมั่นคงหรือโครงสร้างพื้นฐานสำคัญของประเทศ (มาตรา 12) โทษจะหนักขึ้นอีกมาก

ถ้าอยากทดสอบความแข็งแรงของเว็บจริง ๆ ก็ทำได้ แต่ต้องเป็นเว็บของเราเอง หรือได้รับอนุญาตเป็นลายลักษณ์อักษร และใช้บริการทดสอบที่ถูกกฎหมาย เส้นแบ่งระหว่าง “ผู้ทดสอบความปลอดภัย” กับ “อาชญากร” ไม่ได้อยู่ที่เครื่องมือ แต่อยู่ที่ การได้รับอนุญาต

09สรุปให้จำ Recap

DDoS คือการเอาของที่เว็บมีจำกัดอยู่แล้วให้หมดลง เราเข้าใจมันครบทั้งสองฝั่งแล้ว ทั้งฝั่งเว็บที่ต้องป้องกัน และฝั่งอุปกรณ์ของเราที่ต้องไม่กลายเป็นบอต

• DDoS เล็งที่ความพร้อมใช้งาน ไม่ได้ขโมยหรือแก้ข้อมูล แต่ทำให้ใช้งานไม่ได้
• บอตเน็ตสร้างจากอุปกรณ์รหัสอ่อน เปลี่ยนรหัสโรงงานและอัปเดตเฟิร์มแวร์คือการตัดกำลังที่ต้นเหตุ
• มีสามชนิดหลัก ถล่มด้วยปริมาณ เล่นงานโปรโตคอล และปลอมเป็นผู้ใช้จริง ต้องกันหลายชั้น
• กันด้วยกรวยกรองหลายชั้น Anycast, CDN, ศูนย์ล้าง, rate limit และแผนร่วมกับผู้ให้บริการต้นทาง
• รับจ้างยิงเว็บเป็นคดีอาญา ทั้งคนยิงและคนจ้าง ตามพ.ร.บ.คอมพิวเตอร์ฯ มาตรา 10

ลองทบทวนดู