Bạn sẽ xây dựng một runbook ứng phó sự cố DDoS như thế nào?

Question

Accepted Answer

Một runbook DDoS biến hoảng loạn thành một checklist. Nguyên tắc cốt lõi của nó: **chuẩn bị trước cuộc tấn công, không phải trong lúc nó diễn ra** — tài khoản đã được cấp, danh bạ đã biết, và dashboard đã được dựng, để việc ứng phó là thực thi, không phải ứng biến.

## Chuẩn bị từ trước

- Có một **nhà cung cấp CDN/scrubbing đã tích hợp sẵn** (DNS trỏ qua nó, một chế độ "under attack" bạn có thể bật).
- Giữ **dashboard và alert baseline** cho traffic, error rate, và cache-hit ratio để các bất thường nổi lên nhanh.
- Viết sẵn **WAF rule và các tầng rate-limit** bạn có thể siết tức thì.
- Duy trì một **danh sách liên hệ**: on-call, support của CDN/ISP, lãnh đạo, và một mẫu **status-page** sẵn sàng.

## Các bước trong runbook

1. **Phát hiện và tuyên bố** — một alert hoặc bất thường tương quan (xem phát hiện DDoS) kích hoạt một sự cố. Chỉ định một incident commander ngay lập tức.
2. **Xác định loại tấn công và mục tiêu** — là Layer 3/4 (thể tích) hay Layer 7 (HTTP flood)? Endpoint, IP, hay vùng nào? Loại tấn công quyết định bạn dùng biện pháp nào.
3. **Kích hoạt phòng thủ** — bật chế độ CDN "under attack" / scrubbing, **siết WAF rule**, và **hạ rate limit**. Bắt đầu với các biện pháp rẻ nhất, rộng nhất.
4. **Chặn / null-route nguồn** — chặn các dải IP hoặc geo vi phạm ở edge; như biện pháp cuối cùng, yêu cầu ISP **null-route** IP bị nhắm để cứu phần còn lại của nền tảng.
5. **Giao tiếp** — đăng lên **status page**, cập nhật các bên liên quan, và giữ một dòng thời gian. Giao tiếp rõ ràng ngăn một khủng hoảng thứ hai do hoang mang.
6. **Scale nếu cần** — autoscale hoặc overprovision năng lực origin để hấp thụ traffic lọt qua trong khi các bộ lọc siết lại.
7. **Đánh giá sau sự cố** — khi đã ổn định, chạy một retro không đổ lỗi: cái gì hiệu quả, cái gì chậm, rule nào nên làm vĩnh viễn, và lỗ hổng nào cần đóng.

```text
PHÁT HIỆN -> XÁC ĐỊNH -> KÍCH HOẠT (CDN/WAF/rate-limit) -> CHẶN/null-route
          -> GIAO TIẾP -> SCALE -> ĐÁNH GIÁ SAU SỰ CỐ
```

## Tại sao điều này quan trọng

Dưới một cuộc tấn công thật, độ trễ và adrenaline khiến người ta bỏ bước và làm mọi thứ tệ hơn. Một runbook cho một trình tự đã biết, công cụ dựng sẵn, và vai trò rõ ràng, để đội ngũ giảm thiểu trong vài phút thay vì tranh luận lựa chọn trong khi site đang sập. Dòng giá trị nhất trong bất kỳ runbook DDoS nào là sự chuẩn bị làm từ trước — bạn không thể tích hợp một nhà cung cấp scrubbing hay tìm số khẩn cấp của ISP trong khi đang bị flood.