Kiểm thử DDoS và kiểm thử tải: Doanh nghiệp cần loại nào?

Đây là gì

Kiểm thử tải và kiểm thử áp lực mô phỏng hành vi người dùng thực tế: duyệt web, đăng nhập, tìm kiếm, thêm vào giỏ hàng, thanh toán hoặc gọi API. Bài kiểm thử tăng dần lưu lượng đến mức dự kiến và mức cao điểm, đôi khi vượt quá để tìm điểm giới hạn. Kết quả tập trung vào thời gian phản hồi, tỷ lệ lỗi, thông lượng và mức sử dụng tài nguyên, đồng thời giúp xác định các điểm nghẽn như truy vấn cơ sở dữ liệu chậm, nhóm kết nối (connection pool) bị giới hạn hoặc cơ chế tự động mở rộng (autoscaling) phản ứng quá chậm. Kiểm thử khả năng chống chịu DDoS mô phỏng các mẫu lưu lượng thù địch: tấn công làm ngập ở tầng mạng, làm cạn kiệt kết nối hoặc khối lượng lớn yêu cầu ở tầng ứng dụng được thiết kế để vượt qua bộ nhớ đệm. Kết quả tập trung vào việc các dịch vụ giảm thiểu, giới hạn tốc độ (rate limiting), quy tắc WAF và các biện pháp bảo vệ thượng nguồn có phát hiện và hấp thụ được lưu lượng hay không, mất bao lâu, và người dùng hợp lệ chịu ảnh hưởng gì. Kiểm thử tải chủ yếu liên quan đến năng lực và hiệu quả; kiểm thử DDoS chủ yếu liên quan đến bảo vệ và phản ứng. Cả hai đều cần phạm vi bằng văn bản, giới hạn an toàn và điều kiện dừng, và trong hầu hết các trường hợp, kiểm thử DDoS còn cần thêm phê duyệt của nhà cung cấp.

Dành cho ai

Bảng so sánh này giúp các đội ngũ:

• Đang chuẩn bị cho một đợt ra mắt, chiến dịch hoặc cao điểm theo mùa và muốn yên tâm về năng lực hệ thống
• Đã mua dịch vụ CDN hoặc giảm thiểu DDoS và muốn xem dịch vụ đó hoạt động ra sao
• Đã gặp tình trạng chậm hoặc gián đoạn và chưa chắc nguyên nhân là do tải hay do tấn công
• Cần giải thích với ban lãnh đạo vì sao đề xuất hai bài kiểm thử lưu lượng

Giúp làm rõ điều gì

So sánh hai loại giúp làm rõ:

• Rủi ro chính của bạn là nhu cầu thực vượt quá năng lực hay lưu lượng thù địch vượt quá khả năng bảo vệ
• Môi trường nào phù hợp: hệ thống staging tương tự production cho kiểm thử tải, hay một khung thời gian có phối hợp trên production cho kiểm thử khả năng chống chịu
• Chỉ số nào quan trọng: thời gian phản hồi và tỷ lệ lỗi, hay khả năng phát hiện, thời gian giảm thiểu và ảnh hưởng đến người dùng
• Những nhà cung cấp nào phải được thông báo hoặc phê duyệt hoạt động này

Những gì được bao gồm

• Chọn kiểm thử tải nếu: sắp có đợt ra mắt hoặc cao điểm, hiệu năng là vấn đề bị phàn nàn thường xuyên, hoặc bạn đã thay đổi kiến trúc hay dịch vụ lưu trữ
• Chọn kiểm thử DDoS nếu: bạn dựa vào các dịch vụ giảm thiểu mà chưa từng thấy hoạt động thực tế, bạn vận hành một dịch vụ có mức độ hiện diện cao, hoặc khách hàng hay đối tác hỏi về khả năng chống chịu
• Với kiểm thử tải: xác định hành trình người dùng, khối lượng dự kiến và cao điểm, dữ liệu kiểm thử và tiêu chí thành công
• Với kiểm thử DDoS: xác định các kịch bản tấn công, tốc độ tối đa, phê duyệt của nhà cung cấp và điều kiện dừng
• Với cả hai: thống nhất môi trường, khung thời gian, giám sát, đầu mối liên hệ được chỉ định và báo cáo
• Cân nhắc trình tự: khắc phục các vấn đề năng lực phát hiện trong kiểm thử tải trước khi kiểm thử các biện pháp bảo vệ

Những gì không được bao gồm

• Khẳng định rằng bất kỳ bài kiểm thử nào bảo đảm thời gian hoạt động liên tục hoặc bảo vệ trước mọi sự kiện lưu lượng trong tương lai
• Kiểm thử khi chưa có ủy quyền bằng văn bản và phê duyệt của nhà cung cấp trong trường hợp được yêu cầu
• Giám sát liên tục hoặc ứng phó sự cố, trừ khi được xác định phạm vi riêng
• Kỹ thuật tạo lưu lượng chi tiết

Khi nào nên chọn

Nếu chưa chắc chắn, hãy bắt đầu từ câu hỏi bạn cần được trả lời. Nếu câu hỏi là "chúng ta có phục vụ được lượng khách hàng dự kiến vào ngày ra mắt không?", hãy thực hiện kiểm thử tải. Nếu câu hỏi là "các biện pháp bảo vệ của chúng ta có trụ vững nếu ai đó cố làm hệ thống ngừng hoạt động không?", hãy thực hiện kiểm thử khả năng chống chịu DDoS. Nhiều tổ chức thực hiện cả hai theo trình tự: kiểm thử tải để thiết lập một mức nền ổn định, sau đó kiểm thử khả năng chống chịu để đánh giá các biện pháp bảo vệ so với mức nền đó.

Phương pháp của chúng tôi

Hãy xác định thế nào là thành công trước khi kiểm thử. Với kiểm thử tải, đó có thể là thời gian phản hồi chấp nhận được ở một số lượng người dùng đồng thời nhất định. Với kiểm thử khả năng chống chịu, đó có thể là thời gian để cơ chế giảm thiểu được kích hoạt và mức ảnh hưởng mà người dùng hợp lệ gặp phải trong thời gian đó. Dịch vụ Application Load & Stress Testing của chúng tôi đánh giá hành vi của ứng dụng theo các kịch bản sử dụng, mức tải, môi trường và giới hạn an toàn đã thống nhất. Dịch vụ DDoS Resilience Testing của chúng tôi đánh giá các kịch bản gián đoạn đã thống nhất trong các giới hạn bằng văn bản, bao gồm cả việc phối hợp với nhà cung cấp. Mỗi dịch vụ đều cung cấp các quan sát bằng văn bản và khuyến nghị được ưu tiên, và có thể bổ sung khắc phục hoặc giám sát liên tục theo một phạm vi được thống nhất riêng. Nếu bạn dự định thực hiện cả hai, hãy xác định phạm vi cùng lúc để môi trường, đầu mối liên hệ và định dạng báo cáo đồng nhất và kết quả có thể so sánh được.

DDoS Resilience Testing

Câu hỏi thường gặp

Bài viết liên quan