Bài này viết cho lúc đang có chuyện. Đọc trước khi cần, để lúc cần thì không phải đọc.
1. Trước tiên: có đúng là bị tấn công không
Dịch vụ chậm hoặc không vào được có nhiều nguyên nhân, và nhầm hướng ngay từ đầu là mất rất nhiều thời gian. Kiểm nhanh ba thứ:
| Kiểm | Nếu đúng thì | Nếu sai thì |
|---|---|---|
| Băng thông vào có tăng vọt bất thường không | Nghiêng về tấn công làm ngập băng thông | Xem tiếp |
| Số kết nối đang mở có tăng vọt không | Nghiêng về tấn công làm cạn kết nối | Xem tiếp |
| Máy chủ có tải cao trong khi lưu lượng bình thường | Có thể là tấn công tầng ứng dụng, hoặc là lỗi của chính ứng dụng |
Những thứ không phải tấn công nhưng hay bị nhầm:
- Vừa có một chiến dịch quảng cáo hoặc một bài được chia sẻ rộng, khách thật tăng đột biến.
- Một tác vụ nền nặng đang chạy, ví dụ sao lưu hoặc dựng lại chỉ mục.
- Một bản cập nhật vừa triển khai làm ứng dụng chậm hẳn.
- Chứng chỉ hết hạn, hoặc tên miền có vấn đề. Dịch vụ không vào được nhưng không liên quan tới tải.
Kiểm nhanh ba thứ cuối trước khi báo tấn công sẽ tiết kiệm thời gian cho cả hai bên.
2. Những việc nên làm ngay
Việc nên làm
- Ghi lại thời điểm bắt đầu. Giờ và phút. Đây là thông tin đầu tiên đội kỹ thuật cần.
- Chụp màn hình biểu đồ lưu lượng ở thời điểm đang có vấn đề. Biểu đồ nói được nhiều hơn mô tả.
- Lưu lại nhật ký của máy chủ web hoặc ứng dụng trong khoảng thời gian đó. Nhật ký bị xoay vòng nhanh, đợi tới chiều mới lấy thì có thể đã mất.
- Báo cho Cloudzone theo mục 3.
- Thông báo nội bộ. Cho bộ phận chăm sóc khách hàng biết để trả lời khách đang gọi tới.
Việc KHÔNG nên làm
- 🔴 Không khởi động lại máy chủ liên tục. Nó không làm tấn công dừng lại, mà làm mất nhật ký và kéo dài thời gian gián đoạn.
- 🔴 Không trả tiền cho bất kỳ yêu cầu đòi tiền nào. Trả một lần là đánh dấu hệ thống của quý Khách hàng là mục tiêu dễ, và sẽ có lần sau.
- Không tự ý nới lỏng chính sách bảo vệ để “xem thử”. Nếu cần điều chỉnh, hãy để đội kỹ thuật làm và theo dõi.
- Không công bố chi tiết kỹ thuật ra ngoài trong lúc đang bị tấn công. Thông tin đó giúp kẻ tấn công biết cách nào đang hiệu quả.
3. Báo cho Cloudzone: gửi đủ năm thông tin
Một yêu cầu hỗ trợ đủ thông tin được xử lý nhanh hơn nhiều so với một yêu cầu phải hỏi lại ba lượt.
- Dịch vụ nào đang có vấn đề: địa chỉ IP hoặc tên miền cụ thể.
- Bắt đầu từ lúc nào, và hiện còn đang diễn ra hay đã hết.
- Hiện tượng cụ thể: không vào được hoàn toàn, hay vào được nhưng rất chậm, hay lúc được lúc không.
- Số liệu kèm theo: biểu đồ băng thông, số kết nối, tải máy chủ. Ảnh chụp màn hình là đủ.
- Thay đổi gần đây: có vừa triển khai bản mới, vừa đổi cấu hình, hay vừa chạy chiến dịch quảng cáo nào không.
Điểm 5 hay bị bỏ qua nhưng loại trừ được rất nhiều hướng sai.
4. Trong lúc Cloudzone xử lý
Đội kỹ thuật sẽ phân tích mẫu lưu lượng và điều chỉnh chính sách lọc. Việc của quý Khách hàng lúc này:
- Giữ một đầu mối liên lạc duy nhất. Ba người cùng nhắn ba kênh khác nhau làm chậm chính mình.
- Báo lại hiện tượng theo thời gian: lúc nào đỡ hơn, lúc nào tệ hơn. Đây là tín hiệu để biết điều chỉnh có tác dụng không.
- Đừng thay đổi nhiều thứ cùng lúc ở phía ứng dụng. Nếu vừa chỉnh chính sách vừa sửa ứng dụng thì không ai biết thứ nào đã có tác dụng.
5. Sau khi xong
Đợt tấn công kết thúc không có nghĩa là xong việc. Ba việc nên làm trong vài ngày sau:
Lưu lại hồ sơ sự cố. Thời điểm, kéo dài bao lâu, kiểu tấn công, cách xử lý, kết quả. Hồ sơ này là tài liệu quý nhất cho lần sau, và cho việc chỉnh chính sách.
Rà lại ngưỡng cảnh báo. Nếu lần này quý Khách hàng biết chuyện qua lời khách hàng báo chứ không qua hệ thống giám sát, thì vấn đề cần sửa là hệ thống giám sát.
Đối chiếu thiệt hại thật. Bao nhiêu phút gián đoạn, ảnh hưởng tới doanh thu thế nào. Con số này là căn cứ để quyết định có cần nâng mức bảo vệ hay không, thay vì quyết định bằng cảm giác.
6. Chuẩn bị sẵn cho lần sau
Một trang sự cố đơn giản đặt ngoài hạ tầng chính, để thông báo cho khách khi dịch vụ gián đoạn, là thứ rẻ và hữu ích. Khách biết chuyện gì đang xảy ra thì gọi ít hơn hẳn.
Danh sách liên hệ khẩn cũng nên chuẩn bị trước: ai gọi cho ai, theo thứ tự nào, ngoài giờ hành chính thì gọi số nào. Lúc nửa đêm không ai muốn đi tìm số điện thoại.
7. Liên hệ
Trường hợp khẩn, quý Khách hàng liên hệ bộ phận hỗ trợ kỹ thuật Cloudzone qua kênh đã được cấp khi bàn giao dịch vụ. Nếu chưa dùng dịch vụ Anti-DDoS và đang cần tư vấn gấp, hãy nhắn qua ô chat trên trang chủ Cloudzone hoặc liên hệ đội ngũ kinh doanh.
