Ini dimulai dengan sebuah perintah. Satu baris kode dikirim ke sudut gelap internet. Tiba-tiba, ribuan mesin—yang disusupi, tidak disadari, dan pada dasarnya mirip zombie—mulai menyerang satu sasaran. Tujuannya adalah kekerasan. Metode ini memiliki volume yang sangat besar. Ini adalah serangan Penolakan Layanan Terdistribusi, atau disingkat DDoS.
Pengguna yang sah melihat perayapan situs web terhenti. Lalu hilang. Server terlalu sibuk memproses permintaan palsu untuk menjawab permintaan asli. Ini bukan peretasan dalam pengertian tradisional; tidak ada data yang dicuri, tidak ada kata sandi yang dibobol. Ini adalah kemacetan lalu lintas digital yang dirancang untuk menyebabkan kecelakaan.
Ilusi Kepolosan
Mekanik dasarnya kasar. Seorang cracker mengendalikan botnet, jaringan komputer yang terinfeksi, dan memerintahkan mereka untuk melakukan ping ke server tertentu berulang kali. Lonjakan lalu lintas adalah senjatanya. Namun penyerang yang cerdik telah berevolusi. Mereka tidak lagi hanya mengirimkan serangan itu sendiri. Mereka menggunakan sistem yang tidak bersalah sebagai perisai dan cermin.
Teknik ini mengandalkan sesuatu yang disebut refleksi. Penyerang mengirimkan permintaan ke server pihak ketiga, yang dikenal sebagai reflektor. Yang terpenting, mereka memalsukan alamat IP sumber dalam permintaan tersebut agar terlihat seperti berasal dari korban sebenarnya. Reflektor menerima permintaan tersebut, menganggapnya sebagai permintaan yang sah, dan mengirimkan respons kembali ke alamat palsu—korban.
Kini korbannya tidak hanya dibanjiri oleh botnet, namun juga oleh puluhan atau ratusan reflektor. Bagi korban, sepertinya reflektor menyerang mereka. Bagi reflektor, sepertinya korban yang mengajukan permintaan. Komputer zombie tetap tersembunyi di balik tirai informasi yang salah ini. Kerupuk itu tetap tidak terlihat sama sekali.
Target Terkenal dan Nama Berbahaya
Ini bukan teori. Para pemain besar telah merasakan dampaknya. Microsoft menjadi korban serangan DDoS yang terkait dengan worm MyDoom. Amazon, CNN, Yahoo, dan eBay semuanya menjadi sasaran. Serangan-serangan tersebut datang dengan nama-nama yang beragam, mulai dari yang bersifat teknis hingga yang sangat lucu.
- Ping of Death : Bot menghasilkan paket data berukuran besar. Saat korban mencoba memprosesnya, sistem mengalami kesulitan atau gagal.
- Mailbomb : Banjir email yang dikirim ke server email yang rusak.
- Serangan Smurf : Jenis serangan refleksi tertentu yang menggunakan pesan Internet Control Message Protocol (ICMP). Bot mengirimkan pesan-pesan ini ke reflektor, yang kemudian menyiarkan balasan kepada korban.
- Teardrop : Bot mengirim paket yang terfragmentasi. Korban mencoba memasangnya kembali, namun pecahannya cacat sehingga menyebabkan kecelakaan.
Dilema Administrator
Begitu badai melanda, administrator sistem sering kali hanya mempunyai sedikit pilihan bagus. Mereka dapat membatasi lalu lintas masuk. Tapi itu memotong pengguna yang sah dan juga penyerang. Ini adalah langkah defensif yang merugikan bisnis.
Pemfilteran adalah jalan lain. Jika Anda mengetahui dari mana serangan itu berasal, Anda dapat memblokir IP tersebut. Masalahnya? Alamat palsu membuat hal ini hampir mustahil. Zombi tidak menggunakan identitas aslinya. Mereka berbohong. Lalu lintas tampaknya datang dari mana saja dan tidak dari mana pun sekaligus.
Script Kiddies dan Konsekuensi Nyata
Tidak semua penyerang adalah negara yang canggih. Beberapa di antaranya adalah remaja yang memiliki terlalu banyak waktu dan terlalu sedikit pengawasan. Pada tanggal 4 Mei 2001, seorang anak berusia 13 tahun menutup GRC.com, situs Gibson Research Corporation. Ironinya sangat jelas: sebuah situs yang didedikasikan untuk keamanan internet dihapus oleh seseorang yang mungkin tidak sepenuhnya memahami mekanisme yang mereka gunakan.
Lalu ada kasus di Hanoi, Vietnam, pada tahun 2006. Polisi menangkap seorang siswa sekolah menengah atas karena mengatur DDoS terhadap Perusahaan Perangkat Lunak Nhan Hoa. Motifnya? Dia tidak menyukai situs web itu. Tidak ada pernyataan politik yang besar. Tidak ada keuntungan finansial. Hanya dendam.
Kisah-kisah ini menyoroti kenyataan yang berantakan. Alat untuk mematikan server dapat diakses. Motivasinya bervariasi dari ideologis hingga sepele. Dan para korbannya? Mereka sibuk membersihkan puing-puing, bertanya-tanya bagaimana cara menghentikan banjir yang sepertinya datang dari segala arah sekaligus.
Apa yang terjadi jika air naik lebih tinggi? Dan siapa yang menanggung kerugiannya?
