Cách đọc Layer4 Dstat
Layer4 Dstat mô tả một đợt flood bằng hai con số cùng lúc: băng thông và tốc độ gói. Đọc cùng nhau, chúng cho thấy loại lưu lượng đang đến và giới hạn nằm ở mục tiêu hay ở mạng phía trước nó. Hướng dẫn này giải thích từng chuỗi số liệu, cách tính kích thước gói trung bình, và cách diễn giải đỉnh cũng như các lần giảm.
Hai chuỗi, hai giới hạn
Băng thông, đo bằng Gbps, là lượng dữ liệu đến mỗi giây. Tốc độ gói, đo bằng pps, là số gói đến mỗi giây. Hai chỉ số giới hạn những thứ khác nhau: băng thông làm đầy đường truyền, còn tốc độ gói tạo tải cho router, firewall và card mạng, mỗi thiết bị chỉ xử lý được một số gói hữu hạn. Mục tiêu có thể gặp sự cố khi một chuỗi trông yên ả còn chuỗi kia thì không.
Tính kích thước gói trung bình
Chia băng thông cho tốc độ gói sẽ ra kích thước gói trung bình. Ở 10 Gbps và 1.000.000 pps, mỗi gói trung bình 1.250 byte (10.000.000.000 bit ÷ 8 ÷ 1.000.000 gói); cũng ở 10 Gbps nhưng 10.000.000 pps thì là 125 byte.
Gói lớn gợi ý một đợt flood nặng về băng thông như UDP hoặc tấn công khuếch đại; gói nhỏ gợi ý một đợt flood nặng về số gói như SYN flood. Kích thước gói chỉ là manh mối, không phải bằng chứng, vì kẻ tấn công có thể trộn nhiều kích thước.
Đỉnh, đoạn phẳng và các lần giảm
Con số nổi bật phía trên biểu đồ là đỉnh trong cửa sổ: băng thông đỉnh và tốc độ gói đỉnh trong cửa sổ cuộn. Đỉnh cho thấy mục tiêu bị tác động mạnh đến đâu; đoạn phẳng cho thấy mục tiêu tiếp tục hấp thụ tải trong bao lâu.
Một lần giảm có thể nghĩa là cuộc tấn công đã dừng, biện pháp giảm thiểu ở thượng nguồn bắt đầu lọc, hoặc đường truyền bão hòa nên lưu lượng không còn đến. Hãy kiểm tra mục tiêu còn phản hồi hay không trước khi kết luận.
Phần Layer4 không nhìn thấy
Layer4 Dstat thấy khối lượng chứ không thấy nội dung. Nó không phân biệt được gói hợp lệ với gói độc hại, cũng không cho biết ứng dụng có còn trả lời request hay không. Để biết điều đó, hãy đối chiếu với Layer7 Dstat, loại đếm request HTTP và cho biết bao nhiêu request được thông qua, vượt qua hoặc bị chặn.
Đọc Layer4 Dstat — Câu hỏi thường gặp
Vì sao Layer4 Dstat hiển thị cả Gbps lẫn pps?
Vì hai chỉ số đo hai giới hạn khác nhau. Băng thông cho biết đường truyền đầy đến đâu, còn tốc độ gói cho biết router và firewall làm việc nặng đến đâu. Một đợt flood gói nhỏ có thể làm cạn giới hạn của chỉ số sau trong khi chỉ số trước hầu như không nhúc nhích.
Làm sao tính kích thước gói trung bình?
Đổi băng thông sang bit mỗi giây, chia 8 để ra byte mỗi giây, rồi chia cho tốc độ gói. Ví dụ 10 Gbps ở 1.000.000 pps cho kích thước trung bình 1.250 byte mỗi gói.
Biểu đồ giảm có nghĩa là cuộc tấn công đã kết thúc không?
Không phải lúc nào cũng vậy. Cũng có thể biện pháp giảm thiểu ở thượng nguồn bắt đầu lọc, hoặc đường truyền bão hòa và ngừng nhận lưu lượng. Kiểm tra mục tiêu còn phản hồi hay không để phân biệt các trường hợp.