Google Cloud Armor và cuộc tấn công DDoS lớn nhất lịch sử
1. Vụ tấn công từ chối dịch vụ (DDOS) lớn nhất lịch sử
Ngày 19 tháng 8 năm 2022, Google Cloud đăng tải một bài viết với tiêu đề "How Google Cloud blocked the largest Layer 7 DDoS attack at 46 million rps" - Google Cloud đã ngăn chặn cuộc tấn công DDOS với 46 triệu request/giây như thế nào ? . Chi tiết bài viết mọi người có thể đọc tại đây .
Sơ lược cuộc tấn công diễn ra như sau :
- Bắt đầu từ khoảng 9:45 phút sáng (theo giờ Thái Bình Dương) vào ngày 1 tháng 6 năm 2022, một cuộc tấn công gồm hơn 10.000 request/giây bắt đầu nhắm mục tiêu vào HTTP/S Load Balancer của một khách hàng sử dụng Google Cloud.
- Tám phút sau, cuộc tấn công đã tăng lên đến 100.000 request/giây.
- Google Cloud Armor phát hiện cuộc tấn công và bắt đầu tiến hành phân tích lưu lượng.
- Google Cloud Armor đưa ra một loạt các đề xuất để tiến hành ngăn chặn cuộc tấn công này trước khi nó lên đến đỉnh điểm.
- Nhóm bảo mật của khách hàng áp dụng các quy tắc mà Google Cloud đưa ra.
- Trong hai phút sau đó, cuộc tấn công bắt đầu tăng tốc, tăng từ 100.000 request/giây lên mức cao nhất là 46 triệu request/giây tuy nhiên hệ thống của của khách hàng vẫn hoạt động bình thường.
- Trong vài phút tiếp theo, cuộc tấn công bắt đầu giảm mức độ, cuối cùng kết thúc 69 phút sau đó lúc 10:54 sáng
Có 5.256 IP từ 132 quốc gia góp phần tạo lên một kỷ lục chưa từng có về lưu lượng tấn công từ trước tới nay. Giống như việc ta hứng chịu toàn bộ lưu lượng truy cập vào Wikipedia (một trang cũng rất khủng bố) một ngày trong thời gian 10 giây...
Xuyên suốt quá trình tấn công, từ khóa đáng lưu tâm nhất là "Google Cloud Armor" . Vậy Google Cloud Armor là gì mà nó lại mạnh mẽ như thế ? Chúng ta sẽ cùng nhau tìm hiểu ở nội dung dưới đây
2. Về Google Cloud Armor
2.1. Tổng quan
Google Cloud Armor là dịch vụ phòng chống DDOS vào load balancers ở Layer 3 và Layer 4 trong môi trường Google Cloud Platform (Nghĩa là nếu doanh nghiệp của bạn đang sử dụng AWS hay Azure sẽ không thể tích hợp tiện ích này). Nó đồng thời đóng vai trò như một Web Application Firewall (WAF) bảo vệ trang web khỏi các rủi ro phổ biến như SQL Injection, Cross-site scripting , Local File Inclusion ...
Ngoài các rules sẵn có, Google Cloud Armor cung cấp cho người dùng khả năng tùy biến ở mức độ rất cao phù hợp với các yêu cầu phức tạp như (cấu hình theo vị trí địa lý, địa chỉ IP, hay tham số cookie ...)
2.2. Chi phí vận hành
Khi sử dụng các dịch vụ Public Cloud, ngoài việc quan tâm tới hiệu quả mang lại, chúng ta cần quan tâm thêm tới chi phí vận hành. Theo đó ta có thể theo dõi thông qua bảng dưới đây
Google Cloud Armor cung cấp 2 gói để người dùng có thể lựa chọn là Standard Tier và Plus Tier. Sự khác nhau rõ ràng nhất ở 2 phiên bản này thông qua cách tiếp cận dịch vụ. Một cái là trọn gói, một cái là dùng bao nhiêu trả tiền bấy nhiêu. Ngoài ra chỉ có bản Plus Tier mới được tích hợp chức năng bảo mật lừng danh - Adaptive Protection. Qua đó bản Standard Tier có vẻ phù hợp hơn với doanh nghiệp vừa và nhỏ, yêu cầu khả năng tùy biến thấp , bản Plus Tier phù hợp cho doanh nghiệp lớn, yêu cầu cao về cấu hình bảo mật.
Ngoài ra Google cũng tính thêm "phụ phí" network, nhìn chung không đáng kể với người sử dụng thông thường
2.3. Mô hình triển khai
Google Cloud Armor là một sản phẩm tích hợp chặt chẽ với các dịch vụ khác của Google Cloud , do đó ta có thể đính kèm ở vô số các chỗ khác nhau. Chúng ta có thể triển khai theo đa dạng các cách như sau :
- Google Cloud Armor với VPC firewall rules
- Google Cloud Armor vào HTTP(S) Load Balancing and IAP
- Cloud Armor vào hybrid deployments
- Google Cloud Armor vào Google Kubernetes Engine (GKE) Ingress
- Google Cloud Armor vào Cloud CDN
- Google Cloud Armor vào serverless apps
Trong khuôn khổ bài viết, ta tiến hành triển khai Google Cloud Armor với VPC Firewall rules
3. Triển khai Google Cloud Armor
3.1. Xây dựng môi trường
Step 1. Giao tiếp với Google Cloud Console thông qua dòng lệnh
Đăng nhập vào tài khoản GCP , Click vào Active Cloud Shell trên trình duyệt (Ngoài ra chúng ta có thể sử dụng gcloud CLI để thay thế)
Step 2. Tạo và cài đặt Project
gcloud config list project
gcloud config set project dazzling-trail-360104
Step 3. Chấp nhận APIs (bao gồm computer, logging , monitoring)
gcloud services enable compute.googleapis.com
gcloud services enable logging.googleapis.com
gcloud services enable monitoring.googleapis.com
Step 4. Tạo VPC network
gcloud compute networks create vuln-lab-vpc --subnet-mode custom
gcloud compute networks subnets create vuln-lab-subnet --network vuln-lab-vpc --range 10.0.0.0/24 --region us-central1
Step 5. Tạo VPC Firewall & cấu hình Google health-checks
gcloud compute firewall-rules create allow-js-site --allow tcp:8080 --network vuln-lab-vpc
gcloud compute firewall-rules create allow-health-check --network=vuln-lab-vpc --action=allow --direction=ingress --source-ranges=130.211.0.0/22,35.191.0.0/16 --target-tags=allow-healthcheck --rules=tcp
3.2. Xây dựng ứng dụng chứa lỗ hổng
Để cung cấp cái nhìn trực quan nhất, ta tiến hành xây dựng môi trường chứa lỗ hổng tiềm tàng mà qua đó Hacker có thể lợi dụng xâm nhập vào hệ thống. Trong khuôn khổ bài viết này, mình sử dụng OWASP Juice làm ví dụ
Step 1. Cài đặt OWASP Juice Application
gcloud compute instances create-with-container owasp-juice-shop-app --container-image bkimminich/juice-shop --network vuln-lab-vpc --subnet vuln-lab-subnet --private-network-ip=10.0.0.3 --machine-type n1-standard-2 --zone us-central1-c --tags allow-healthcheck
Step 2. Setup Cloud load balancer
gcloud compute instance-groups unmanaged create group-labs --zone=us-central1-c
Add the instance trên vào instance group
gcloud compute instance-groups unmanaged add-instances group-labs --zone=us-central1-c --instances=owasp-juice-shop-app
Step 3. Cấu hình cho OWASP Juice Application
- Cấu hình Port
gcloud compute instance-groups unmanaged set-named-ports juice-shop-group --named-ports=http:3000 --zone=us-central1-c
- Cài đặt health-check
gcloud compute health-checks create tcp tcp-port-3000 --port 3000
- Tạo một backend service và thêm instance group đã thiết lập ở bước trên
gcloud compute backend-services create dvwa-backend --protocol HTTP --port-name http --health-checks tcp-port-3000 --enable-logging --global
gcloud compute backend-services add-backend dvwa-backend \
--instance-group=group-labs \
--instance-group-zone=us-central1-c \
--global
- Tạo URL map & Target Proxy để gửi tới backend
gcloud compute url-maps create dvwa-shop-loadbalancer --default-service dvwa-backend
gcloud compute target-http-proxies create dvwa-shop-proxy --url-map dvwa-shop-loadbalancer
- Tạo forwarding rule cho Load Balancer
gcloud compute forwarding-rules create dvwa-rule --global --target-http-proxy=dvwa-shop-proxy --ports=80
Step 4. Kiểm tra xem các lỗ hổng bảo mật đã "hoạt động chưa"
- Test Cross Site Scripting (XSS)
- Test Remote Code Execution
curl -Ii http://35.188.107.32:8000/ftp?doc=/bin/ls
- Scan application
curl -Ii http://35.188.107.32:8000 -H "User-Agent: blackwindow"
3.3. Triển khai Cloud Armor WAF
Step 1 . Xem danh sách các rules được thiết lập sẵn từ Google
gcloud compute security-policies list-preconfigured-expression-sets
Step 2 Tạo Cloud Armor security policy
gcloud compute security-policies create sun_security --description "Block with OWASP ModSecurity CRS"
Bước này bạn cần liên hệ với Google để mở Quota
Step 3. Bật tính năng WAF cho Cloud Armor
- Update security policy để block LFI
gcloud compute security-policies rules create 9000 --security-policy sun_security --description "block local file inclusion" --expression "evaluatePreconfiguredExpr('lfi-stable')" --action deny-403
- Update security policy để block RCE
gcloud compute security-policies rules create 9001 --security-policy sun_security --description "block rce attacks" --expression "evaluatePreconfiguredExpr('rce-stable')" --action deny-403
- Update security policy để block session fixation
gcloud compute security-policies rules create 9004 --security-policy sun_security --description "block session fixation attacks" --expression "evaluatePreconfiguredExpr('sessionfixation-stable')" --action deny-403
- Update security policy để protocol attacks
gcloud compute security-policies rules create 9003 --security-policy sun_security --description "block protocol attacks" --expression "evaluatePreconfiguredExpr('protocolattack-stable')" --action deny-403
Step 4. Tấn công lại OWASP Juice Application sau khi đã thiết lập các chính sách bảo mật
- Test Cross Site Scripting (XSS) : Không thành công, hành động bị ghi vào log
- Test Remote Code Execution : Không thành công, hành động bị ghi vào log
- Test Scanner : Không thành công, hành động bị ghi vào log
4. Tùy biến rules Cloud Armor
Google Cloud Armor cho phép người dùng viết các rule tự định nghĩa để nâng cao mức độ cá nhân hóa trong bảo mật ứng dụng .
Các rule được định nghĩa thông qua 2 phương pháp cơ bản :
- Basic match condition : Câu lệnh điều kiện chứa IP hoặc một dải IP
- Advanced match condition : Chứa một “expression” để so sánh thuộc tính của một request.
“Expression” của Advanced match condition là một thành phần mở rộng của CEL ( Ngôn ngữ biểu thức chung của Google)
Một expression bao gồm 2 thành phần::
- Operations
- Attributes
Ta có một số rules cơ bản như sau được định nghĩa như sau :
- Cho phép hoặc từ chối truy cập dựa trên dải IP
inIpRange(origin.ip, '9.9.9.0/24')
inIpRange(origin.ip, '2001:db8::/32')
- Cho phép từ chối truy cập bằng một Cookie cụ thể
has(request.headers['cookie']) && request.headers['cookie'].contains('80=BLAH')
- Cho phép yêu cầu hoặc từ chối request có referer non-empty
has(request.headers['referer']) && request.headers['referer'] != ""
Cho phép hay từ chối IP một quốc gia:
origin.region_code == 'AU'
5. Chế độ Adaptive Protection
Adaptive Protection được xây dựng trên mô hình machine-learning , tự động hóa những công việc sau :
- Phát hiện và cảnh báo về hoạt động bất thường
- Tạo chữ ký mô tả cuộc tấn công tiềm năng
- Tạo rules ngăn chặn cuộc tấn công (Người dùng quyết định sẽ áp dụng hay không)
Chính sự hiệu quả của Adaptive Protection cùng với cấu hình chính xác từ Cloud Armor đã chặn đừng 46 triệu request mỗi giây, để người dùng vẫn có thể làm việc bình thường trong "cơn bão" DDOS lớn nhất trong lịch sử mà không ảnh hưởng gì.
All Rights Reserved