Ketika sebuah situs tiba-tiba sulit diakses, bukan berarti servernya rusak. Sering kali ia sedang menerima banjir trafik palsu yang sengaja dikirim untuk melumpuhkan layanan. Itulah gambaran sederhana dari serangan DDoS. Di tengah ketergantungan kita pada layanan digital, memahami DDoS bukan hanya urusan tim IT. Pemilik bisnis, pengelola situs, hingga pembuat aplikasi perlu tahu gejalanya, penyebabnya, dan langkah penanganannya.
Artikel ini mengurai DDoS adalah apa, bagaimana cara kerjanya, ciri yang bisa dikenali, penyebab munculnya, teknik mitigasi yang realistis, juga contoh kasus di tingkat internasional dan lokal. Tujuannya praktis. Kamu bisa memetakan risiko dan menyiapkan rencana tanggap darurat yang masuk akal untuk timmu.
Apa itu Serangan DDoS?
DDoS adalah singkatan dari Distributed Denial of Service. Serangan ini bertujuan membuat layanan tidak bisa dipakai oleh pengguna sah dengan membanjiri target menggunakan permintaan atau paket jaringan dalam jumlah sangat besar dari banyak sumber sekaligus. Karena datang dari ribuan hingga jutaan alamat, memblokir satu sumber tidak cukup. Itulah yang membedakannya dari DoS yang hanya berasal dari satu titik.
Dalam praktik, penyerang memanfaatkan botnet. Botnet adalah kumpulan perangkat yang sudah terinfeksi malware atau dikendalikan tanpa sepengetahuan pemiliknya. Perangkat itu bisa berupa komputer, server, ponsel hingga perangkat Internet of Things seperti kamera jaringan dan router rumahan. Ada pula pelaku yang menyewa jasa serangan dari pasar gelap. Dampaknya sama. Layanan melambat, gagal merespons, lalu berhenti beroperasi.
Motivasi penyerang beragam. Balas dendam, pemerasan, unjuk kekuatan, sabotase kompetitor, aktivitas politik hingga gangguan iseng. Apapun motifnya, korbannya menanggung kerugian nyata. Pendapatan hilang, reputasi turun, tim sibuk memulihkan layanan, dan biaya mitigasi membengkak.
Baca Juga: Apa itu Botnet? Pengertian, Cara Kerja, Jenis
Cara Kerja dan Teknik Serangan DDoS
Cara kerja DDoS dapat dilihat dari dua sisi. Dari sisi penyerang, mereka mengumpulkan sumber tenaga serangan lalu menargetkan titik lemah jaringan atau aplikasi. Dari sisi korban, muncul lonjakan trafik yang membuat sumber daya server habis.
Tiga keluarga utama serangan DDoS:
1. Volumetric
Tujuannya menghabiskan bandwidth. Tekniknya meliputi UDP flood, ICMP flood, dan amplifikasi melalui layanan yang salah konfigurasi. Amplifikasi berarti pelaku mengirim permintaan kecil ke server pihak ketiga tetapi mendapat respons jauh lebih besar yang diarahkan ke alamat korban. Contoh umum adalah DNS amplification, NTP amplification, hingga memanfaatkan server Memcached yang terbuka ke internet.
2. Protocol atau Network Exhaustion
Menyerang cara kerja protokol jaringan agar sumber daya habis. Contoh klasik adalah SYN flood yang membanjiri proses pembentukan koneksi TCP sehingga tabel koneksi target penuh. Ada juga ping of death yang memanfaatkan paket anomali, atau Smurf yang memantulkan ICMP ke banyak host.
3. Application Layer
Menargetkan lapisan aplikasinya langsung. HTTP GET atau POST flood membanjiri rute atau endpoint tertentu. Slowloris menahan koneksi agar thread server web tidak pernah selesai. Jenis ini cenderung butuh trafik lebih sedikit tetapi sangat efektif bila aplikasi tidak efisien.
Perlu dicatat, pelaku sering menggabungkan beberapa teknik. Serangan dimulai dengan volumetric untuk mengacaukan jaringan lalu dilanjutkan ke lapisan aplikasi ketika tim mulai sibuk. Kombinasi ini sengaja dibuat agar proses pemulihan makin rumit.
Ciri – Ciri Situs Web yang Terkena Serangan DDoS
- Waktu muat mendadak lambat padahal tidak ada rilis fitur baru atau kampanye iklan yang menambah trafik sah
- Lonjakan koneksi dari wilayah atau ASN yang tidak biasa, sering kali tersebar di ratusan ribu alamat
- Grafik bandwidth melonjak tajam tetapi metrik bisnis tidak naik misalnya tidak ada tambahan checkout atau login
- Error gateway seperti 502, 503, dan 504 muncul massal di log atau monitor
- Koneksi terputus acak terutama untuk protokol yang membutuhkan banyak sesi seperti WebSocket atau API real time
- Performa aplikasi anjlok di rute tertentu misal endpoint pencarian atau halaman login yang memang mahal secara komputasi
- Alert kapasitas dari firewall, load balancer, atau database akibat koneksi serentak yang tidak wajar
Jika dua atau lebih gejala di atas terjadi bersamaan tanpa alasan operasional yang jelas, anggap ini insiden DDoS dan jalankan prosedur tanggap darurat.
Baca Juga: Dark Web Adalah: Pengertian, Fungsi, Tujuan
Penyebab Adanya Serangan DDoS
- Permukaan serangan terlalu terbuka. Layanan internal dapat diakses dari internet, port lama tidak ditutup, atau rate limit tidak dipasang.
- Salah konfigurasi layanan publik. Server DNS, NTP, atau Memcached dibiarkan terbuka sehingga bisa dipakai sebagai senjata amplifikasi.
- Arsitektur tidak elastis. Satu titik menjadi tumpuan semua trafik tanpa cadangan kapasitas.
- Tidak ada proteksi lapis jaringan. Perusahaan mengandalkan satu firewall di pusat data tanpa CDN atau anycast.
- Kebiasaan keamanan lemah. Perangkat IoT tidak pernah diperbarui sehingga mudah diambil alih untuk memperbesar botnet.
Cara Mengatasi Serangan DDoS
Penanganan dibagi dua. Langkah cepat untuk memadamkan api dan strategi jangka panjang agar serangan berikutnya tidak mudah mematahkan sistem.
Langkah cepat saat insiden
- Aktifkan proteksi DDoS dari penyedia CDN atau cloud
Layanan seperti ini memfilter trafik di jaringan mereka yang lebih besar lalu hanya meneruskan trafik bersih ke servermu. Anycast membantu menyebar serangan ke banyak lokasi sehingga tekanan tidak terkonsentrasi. - Rate limiting dan rules sementara di edge
Batasi permintaan per IP, per rute, atau per jenis metode. Untuk HTTP flood, fokus dulu ke rute mahal seperti login, pencarian, dan checkout. - Blokir pola jelas di layer jaringan
Terapkan Access Control List pada IP range yang terbukti berbahaya, terutama sumber amplifikasi yang terdeteksi. Lakukan di edge atau lewat koordinasi dengan ISP. - Alihkan trafik ke halaman ringan
Saat aplikasi berat tidak stabil, arahkan sementara ke halaman informasi status agar pengguna mengetahui kondisi. Ini menurunkan beban proses. - Bekerja sama dengan penyedia jaringan
Minta upstream provider menerapkan blackholing terukur pada target tertentu bila memang tidak ada pilihan lain. Ini opsi terakhir karena memutus trafik sah sementara waktu. - Komunikasi insiden yang jujur
Beri kabar melalui status page dan kanal resmi. Pengguna menghargai transparansi dan kecepatan respons.
Strategi pencegahan jangka panjang
- Arsitektur anycast dan multi region
Menyebarkan beban ke beberapa lokasi membuat satu serangan sulit melumpuhkan semua titik. - Proteksi DDoS selalu aktif
Jangan menunggu insiden. Profilkan pola trafik agar sistem bisa membedakan lonjakan organik dan serangan. - WAF dan aturan berbasis perilaku
Susun aturan spesifik untuk endpoint berisiko. Gunakan challenge ringan atau CAPTCHA hanya ketika benar-benar perlu agar pengalaman pengguna tetap baik. - Kebersihan jaringan internal
Tutup port yang tidak dipakai, audit layanan yang terekspos, segmentasi jaringan, dan hardening perangkat edge. - Rencana respons insiden yang diuji
Buat runbook. Tentukan siapa yang memutuskan pengalihan DNS, siapa yang mengubah konfigurasi firewall, dan bagaimana pelaporan ke manajemen. Uji berkala melalui simulasi. - Kemitraan dengan ISP dan scrubbing center
Untuk organisasi besar, siapkan jalur eskalasi langsung agar pemfilteran dapat dilakukan di hulu sebelum trafik mencapai jaringanmu. - Pembaruan perangkat dan edukasi IoT
Perangkat di sisi pelanggan dan kantor yang usang sering dijadikan bagian botnet. Kampanye pembaruan dan password kuat ikut mengurangi amunisi penyerang.
Baca Juga: SOC (Security Operations Center) Adalah: Pengertian, Fungsi, Komponen
Contoh Serangan DDoS di Dunia IT Internasional dan Lokal
- Dyn 2016
Serangan masif berbasis botnet IoT Mirai menargetkan penyedia DNS Dyn. Dampaknya terasa ke banyak layanan global yang bergantung pada resolusi DNS. Peristiwa ini membuka mata industri tentang risiko IoT yang tidak dikelola dengan baik. - GitHub 2018
Platform pengembang ini menerima serangan amplifikasi Memcached yang mencapai tingkat lalu lintas sangat tinggi pada masanya. GitHub bertahan dengan memanfaatkan proteksi upstream dan pengalihan trafik ke scrubbing center. - Serangan terhadap layanan besar lain
Sejumlah perusahaan cloud melaporkan rekor baru dari tahun ke tahun. Polanya sama. Kombinasi volumetric di jaringan dan HTTP flood di aplikasi. - Konteks lokal Indonesia
Beberapa situs pemerintah, layanan pendidikan, dan penyedia tiket pernah mengalami gangguan layanan karena lonjakan trafik yang tidak wajar. Informasi resmi biasanya menyebut perbaikan dilakukan melalui proteksi DDoS di tingkat jaringan dan penyesuaian arsitektur. Meskipun tidak semua detail teknis dipublikasikan, insiden seperti ini cukup untuk mendorong organisasi menyiapkan proteksi lebih awal.
Perbedaan DoS dan DDoS
- Sumber serangan
DoS berasal dari satu titik. DDoS berasal dari banyak titik yang tersebar, sering kali botnet. - Skala dan dampak
DoS lebih mudah difilter karena jalurnya jelas. DDoS jauh lebih sulit karena trafik berasal dari ribuan sumber yang berbeda. - Teknik dan biaya
DDoS bisa menggunakan amplifikasi dan layanan sewaan. Biaya di sisi penyerang relatif rendah dibandingkan biaya pertahanan di sisi korban. - Penanganan
DoS cukup dengan memblokir sumber tunggal. DDoS butuh lapis pertahanan yang melibatkan CDN, ISP, dan arsitektur terdistribusi.
Baca Juga: Trojan adalah: Pengertian, Cara Kerja, Jenis
Kesimpulan
DDoS adalah ancaman nyata bagi bisnis digital dari skala kecil hingga perusahaan besar. Esensinya sederhana. Layanan dibanjiri trafik palsu agar pengguna sah tidak bisa mengakses. Tetapi dampaknya tidak sederhana. Pendapatan hilang, reputasi tercoreng, dan tim kelelahan jika tidak ada rencana yang jelas.
Kunci penanganan ada di tiga hal. Pertama, proteksi yang selalu aktif di tepi jaringan melalui CDN, anycast, dan WAF yang disetel baik. Kedua, rencana respons yang dilatih agar keputusan teknis dan komunikasi publik bisa diambil cepat. Ketiga, kebersihan infrastruktur dari hulu ke hilir, termasuk menutup layanan yang tidak perlu, memperbarui perangkat, dan mengeraskan konfigurasi.
Jika kamu mengelola situs atau aplikasi, mulai dari yang paling mudah. Aktifkan proteksi DDoS dari penyedia yang kamu pakai, pasang rate limit di endpoint mahal, dan buat runbook insiden satu halaman yang bisa dijalankan siapa saja di tim. Langkah kecil ini sering cukup menahan guncangan awal sambil kamu menyiapkan arsitektur yang lebih tangguh.
Mulai 160 ribuan, paket Internet Only dengan kecepatan hingga 1 Gbps memberi napas buat timmu saat menghadapi risiko DDoS. Trafik bersih mengalir cepat ke CDN dan WAF, log real time tetap terbaca, dan perubahan aturan di edge terkirim tanpa jeda. Hasilnya respons insiden lebih sigap, uptime terjaga, dan pengguna tetap bisa mengakses layananmu tanpa drama.
FAQ
DDoS adalah serangan terdistribusi yang membanjiri layanan dengan trafik dari banyak sumber hingga pengguna sah tidak bisa mengaksesnya. Intinya layanan dipaksa sibuk meladeni permintaan palsu.
DoS datang dari satu sumber sehingga lebih mudah diblokir. DDoS berasal dari banyak sumber sekaligus misalnya botnet sehingga pemblokiran harus dilakukan di beberapa lapisan jaringan dan aplikasi.
Tanda paling umum adalah situs tiba-tiba lambat atau tidak responsif, lonjakan bandwidth dan koneksi dari ribuan IP, error 502 503 504 bermunculan, sementara metrik bisnis tidak naik.
Tidak langsung. DDoS fokus membuat layanan tidak tersedia. Namun kekacauan saat insiden bisa dimanfaatkan penyerang lain untuk melakukan upaya intrusi. Karena itu kebijakan keamanan harus tetap ketat saat mitigasi.
Volumetric seperti UDP atau DNS amplification, serangan protokol seperti SYN flood, serta layer aplikasi seperti HTTP GET POST flood dan teknik Slowloris.
Perangkat IoT sering memakai kata sandi lemah dan jarang diperbarui sehingga mudah diambil alih menjadi bagian botnet yang menembakkan trafik ke korban.
Aktifkan perlindungan DDoS di penyedia CDN atau cloud, pasang rate limit di endpoint mahal, blokir pola jelas di edge, dan umumkan status insiden agar pengguna paham kondisi.
Gunakan arsitektur anycast dan multi region, aktifkan proteksi DDoS permanen, terapkan WAF dengan aturan berbasis perilaku, tutup layanan yang tidak perlu, dan lakukan simulasi respons insiden berkala.
WAF efektif untuk serangan layer aplikasi tetapi tidak cukup untuk volumetric di jaringan. Gabungkan WAF dengan proteksi DDoS di jaringan tepi agar penyaringan terjadi sebelum trafik mencapai server.
ISP dapat membantu memfilter trafik di hulu atau mengalihkan aliran ke scrubbing center. Siapkan jalur eskalasi dan kontak darurat agar koordinasi saat insiden cepat.
Ya sebagai opsi terakhir saat beban tidak terkendali. Lalu lintas ke IP target dibuang sementara demi menyelamatkan jaringan lain. Gunakan dengan kontrol dan komunikasi yang jelas.
Bervariasi menurut skala. Ada paket dasar yang terjangkau untuk situs kecil hingga kontrak tingkat perusahaan. Biaya biasanya jauh lebih murah dibanding potensi kerugian downtime.
Bisa. Penyerang sering meniru pola pengguna sah. Karena itu penting memiliki baseline trafik, telemetri yang baik, dan aturan adaptif yang menilai perilaku bukan sekadar volume.
Jumlah koneksi per IP dan per negara ASN, anomali user agent, pola rute yang diserang, rasio sukses respons, serta konsumsi CPU RAM pada komponen edge dan aplikasi.
Cantumkan siapa yang mengaktifkan proteksi di tepi jaringan, siapa yang menambah rate limit dan aturan WAF, alur komunikasi ke pengguna, serta syarat kapan melakukan pemotongan sementara atau pengalihan DNS.
Kumpulkan bukti dan metrik, tinjau celah konfigurasi, perkuat kapasitas dan aturan, serta uji ulang melalui simulasi. Dokumentasikan pelajaran agar respons berikutnya lebih cepat dan rapi.
