Luận Văn Thạc Sĩ: Chống Tấn Công Từ Chối Dịch Vụ Phân Tán Tần Suất Thấp

Luận văn thạc sĩ về chống tấn công từ chối dịch vụ phân tán tần suất thấp. Nghiên cứu công nghệ thông tin chuyên sâu, mã số 60 48 15. Tải luận văn tại đây!

• Tác giả: Phạm Văn Hợi
• Người hướng dẫn: TS. Nguyễn Đại Thọ
• Trường học: Trường Đại Học Công Nghệ - Đại Học Quốc Gia Hà Nội
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Chống Tấn Công Từ Chối Dịch Vụ Phân Tán Tần Suất Thấp
• Loại tài liệu: Luận Văn Thạc Sĩ
• Năm xuất bản: 2013
• Địa điểm: Hà Nội

Mục lục chi tiết

• TÓM TẮT
• LỜI CẢM ƠN
• DANH MỤC HÌNH VẼ
• DANH SÁCH THUẬT NGỮ VÀ TỪ VIẾT TẮT
• 1. CHƯƠNG 1 - BACKGROUND
• 1.1. Điều khiển tắc nghẽn TCP
• 1.2. Các giai đoạn TCP
• 1.3. Cơ chế Timeout TCP
• 2. CHƯƠNG 2 TẤN CÔNG TỪ CHỐI DỊCH VỤ
• 2.1. Khái niệm tấn công từ chối dịch vụ
• 2.2. Cách thức chung tấn công từ chối dịch vụ
• 2.2.1. Khai thác các điểm yếu của mục tiêu
• 2.2.2. Tấn công vào giao thức
• 2.2.3. Tấn công vào Middleware
• 2.2.4. Tấn công vào ứng dụng
• 2.2.5. Tấn công vào tài nguyên
• 2.3. Cách thức tấn công LDoS
• 2.4. Các phƣơng pháp chống tấn công LDoS
• 2.4.1. Cơ chế router-assisted
• 2.4.2. Cơ chế End-point
• 2.5. Thuật toán Robust RED (RRED)
• 3. CHƯƠNG 3 - ĐỀ XUẤT GIẢI PHÁP VÀ KẾT QUẢ MÔ PHỎNG
• 3.1. Nhƣợc điểm của thuật toán RRED
• 3.2. Phƣơng pháp
• 3.3. Kết quả mô phỏng
• 3.3.1. Kịch bản mô phỏng
• 3.3.2. Kết quả biến thiên theo chu kỳ
• 3.3.3. Kết quả biến thiên theo độ rộng bùng nổ tấn công
• 3.3.4. Kết quả biến thiên theo tốc độ bùng nổ tấn công
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Tấn Công DDoS Tần Suất Thấp Luận Văn CNTT

Tấn công từ chối dịch vụ phân tán (DDoS) đã trở thành một mối đe dọa lớn đối với sự ổn định của Internet. Trong số đó, DDoS tần suất thấp (Low-rate DDoS attacks - LDoS) nổi lên như một thách thức đặc biệt, khó phát hiện và ngăn chặn hơn so với các hình thức tấn công truyền thống. Luận văn này đi sâu vào việc chống tấn công DDoS tần suất thấp, nghiên cứu các phương pháp hiện tại và đề xuất giải pháp mới để nâng cao hiệu quả bảo vệ. Các cuộc tấn công DDoS thường khai thác các lỗ hổng trong giao thức TCP/IP, gửi một lượng lớn các gói tin giả mạo nhằm làm cạn kiệt băng thông hoặc khả năng xử lý của hệ thống mục tiêu. Tuy nhiên, DDoS tần suất thấp lại hoạt động một cách tinh vi hơn, bằng cách gửi các đợt tấn công nhỏ, không liên tục, khiến chúng khó bị phát hiện bởi các hệ thống giám sát mạng thông thường. Mục tiêu của những cuộc tấn công này là làm giảm chất lượng dịch vụ TCP bằng cách gây nghẽn mạng một cách có chủ đích. Luận văn này sẽ trình bày chi tiết về các cơ chế tấn công DDoS tần suất thấp, các phương pháp phát hiện DDoS tần suất thấp và phòng chống DDoS tần suất thấp hiện có, đồng thời đề xuất một giải pháp mới dựa trên việc cải tiến thuật toán RRED (Robust RED) nhằm nâng cao khả năng chống lại loại tấn công này.

1.1. Giới Thiệu Chung Về Tấn Công Từ Chối Dịch Vụ DoS

Tấn công từ chối dịch vụ (DoS) là một nỗ lực nhằm làm gián đoạn các chức năng bình thường của hệ thống mạng, ngăn chặn truy cập hợp pháp vào các dịch vụ hoặc đơn giản là làm giảm chất lượng dịch vụ. Một nghiên cứu đã chỉ ra rằng các cuộc tấn công DoS diễn ra với tần suất rất cao. Các cuộc tấn công từ chối dịch vụ, đặc biệt là tấn công từ chối dịch vụ phân tán (DDoS), đã dẫn đến một loạt các nghiên cứu nhằm hiểu rõ hơn về các cơ chế tấn công, để đưa tới các cách thức giúp có thể phòng chống ảnh hưởng tiêu cực của nó.

1.2. Sự Khác Biệt Giữa DDoS Tần Suất Thấp và Các Dạng DDoS Khác

Khác với các cuộc tấn công DDoS truyền thống sử dụng lượng lớn lưu lượng để áp đảo mục tiêu, DDoS tần suất thấp gửi các đợt lưu lượng nhỏ hơn, không liên tục. Điều này khiến chúng khó bị phát hiện bởi các hệ thống giám sát thông thường vốn được thiết kế để phát hiện các bất thường về lưu lượng. Tấn công DoS tần suất thấp khai thác khoảng thời gian chậm hơn của đồng hồ truyền lại TCP để làm giảm thông lượng TCP. Mục đích của nó là để phá vỡ sự cân bằng của dịch vụ mạng hơn là để chiếm dịch vụ. Với tốc độ trung bình của gói thấp, rất khó cho mạng lưới giám sát để phát hiện ra những sự kiện đặc biệt và đó là lý do chính tại sao tấn công DoS tần suất thấp rất dễ dàng để thoát khỏi phát hiện.

II. Phân Tích Chi Tiết Về Cơ Chế Tấn Công DDoS Tần Suất Thấp

Các cuộc tấn công DDoS tần suất thấp khai thác các đặc tính của giao thức TCP, đặc biệt là cơ chế điều khiển tắc nghẽn và thời gian chờ truyền lại (RTO). Kẻ tấn công gửi các đợt lưu lượng nhỏ, đủ để gây nghẽn mạng và khiến các gói tin TCP hợp pháp bị mất. Điều này buộc các kết nối TCP phải chờ hết thời gian RTO và giảm tốc độ truyền, làm giảm đáng kể hiệu suất của hệ thống mục tiêu. Kẻ tấn công cố gắng đồng bộ hóa các đợt tấn công với thời gian RTO của nạn nhân, làm cho cuộc tấn công hiệu quả hơn. "Tấn công DoS tần suất thấp khai thác khoảng thời gian chậm hơn của đồng hồ truyền lại TCP để làm giảm thông lượng TCP. Mục đích của nó là để phá vỡ sự cân bằng của dịch vụ mạng hơn là để chiếm dịch vụ."

2.1. Khai Thác Cơ Chế Điều Khiển Tắc Nghẽn TCP trong Tấn Công LDoS

Kẻ tấn công DDoS tần suất thấp tận dụng cách thức TCP phản ứng với tình trạng nghẽn mạng. Bằng cách tạo ra các đợt nghẽn ngắn hạn, chúng kích hoạt cơ chế giảm tốc độ truyền của TCP, làm chậm quá trình truyền dữ liệu hợp pháp. Điều này có thể dẫn đến trải nghiệm người dùng kém hoặc thậm chí là gián đoạn dịch vụ hoàn toàn.

2.2. Tác Động của Tấn Công LDoS Lên Thời Gian Chờ Truyền Lại RTO

Thời gian RTO là một tham số quan trọng trong TCP, quyết định khoảng thời gian mà người gửi sẽ chờ đợi phản hồi trước khi truyền lại một gói tin. Các cuộc tấn công DDoS tần suất thấp có thể thao túng thời gian RTO, khiến nó trở nên quá dài và làm chậm quá trình truyền dữ liệu. Cơ chế điều khiển tắc nghẽn TCP là rất thích hợp để đối phó với tình trạng tắc nghẽn cao, tuy nhiên, nó cũng có những rủi ro tiềm năng vì một sai lầm cơ bản. Dựa trên cơ chế này, các giá trị được xác định trước của RTO là hằng số. Giá trị tối thiểu là 1 giây và trong rút lui theo hàm mũ, nó có thể nhận được những giá trị mà là bội số của 1 giây.

III. Các Phương Pháp Phát Hiện và Phòng Chống Tấn Công LDoS Hiện Tại

Có nhiều phương pháp khác nhau đã được đề xuất để phát hiện DDoS tần suất thấp và giảm thiểu tác động của chúng. Các phương pháp này bao gồm: cơ chế router-assisted, cơ chế end-point, và các thuật toán quản lý hàng đợi (AQM) như RED và RRED. Các cơ chế router-assisted thường tập trung vào việc phát hiện và điều tiết lưu lượng độc hại trong mạng. Các cơ chế end-point cố gắng cải thiện khả năng chống lại tấn công LDoS của TCP. Các thuật toán AQM cố gắng quản lý hàng đợi một cách hiệu quả để giảm thiểu tác động của các cuộc tấn công LDoS. Tuy nhiện, mỗi giải pháp đó đều rất tốt, và cung cấp kĩ thuật giúp chúng ta nhận ra các vấn đề của tấn công từ chối dịch vụ. Tuy nhiện, các phương pháp chỉ có thể bảo vệ lại từng khía cạnh của các tấn công từ chối dịch vụ.

3.1. Cơ Chế Router Assisted và End Point để Chống LDoS

Các cơ chế router-assisted thường sử dụng các kỹ thuật phân tích lưu lượng để phát hiện các mẫu tấn công DDoS tần suất thấp. Các cơ chế end-point cố gắng cải thiện khả năng chống lại tấn công LDoS của TCP bằng cách điều chỉnh các tham số như kích thước cửa sổ ban đầu và thời gian RTO. Trong số rất nhiều các chương trình của cơ chế router-assisted được thiết kế để phát hiện và điều tiết luồng độc hại trong mạng, chúng tôi tập trung vào các cơ chế dựa trên bỏ ưu tiên của gói dữ liệu từ luồng độc hại. Cơ chế end-point có ảnh hưởng của kích thước ban đầu cửa sổ tắc nghẽn TCP trên hiệu quả của các cuộc tấn công và sử dụng tham số minRTO ngẫu nhiên.

3.2. Thuật Toán Robust RED RRED và Các Biến Thể

Thuật toán RRED là một cải tiến của thuật toán RED, được thiết kế đặc biệt để chống lại các cuộc tấn công DDoS tần suất thấp. RRED sử dụng các kỹ thuật phát hiện và lọc lưu lượng để xác định và loại bỏ các gói tin tấn công trước khi chúng có thể gây nghẽn mạng. Kết quả thử nghiệm cho thấy các thông lượng TCP được duy trì gần như hoàn toàn trong nhiều cuộc tấn công DoSs tần suất thấp. Tuy nhiên, thuật toán RRED còn một số vấn đề chưa được giải quyết như: một luồng là một luồng tấn công nếu các gói tin đến từ luồng này được gửi trong một khoảng thời gian sau khi một gói tin khác trong cùng một luồng bị loại bỏ. Như vậy, tấn công DoS tần suất thấp thấp có thể bị hạn chế, nhưng không loại bỏ hoàn toàn.

IV. Giải Pháp Cải Tiến Thuật Toán RRED Với Thời Gian Tout Động

Luận văn đề xuất một giải pháp cải tiến dựa trên thuật toán RRED, sử dụng thời gian Tout động thay vì thời gian T* cố định. Ý tưởng là thay đổi giá trị T* sau mỗi gói tin đến khối lọc và khối RED khi nghi ngờ là gói tin tấn công và bị loại bỏ để thuật toán RRED ngăn chặn tất cả các gói tin là gói tin tấn công và cho đi qua hầu hết các gói tin hợp lệ. Điều này giúp thuật toán thích ứng tốt hơn với các cuộc tấn công DDoS tần suất thấp thay đổi và giảm thiểu khả năng kẻ tấn công né tránh các biện pháp phòng thủ. "Trong luận văn này chúng tôi nghiên cứu cải tiến giá trị hằng số T* của thuật toán RRED trên là một giá trị động. Khi phát hiện mất gói tin tại một luồng mà nghi ngờ là gói tin tấn công, người gửi sẽ chờ hết thời gian timeout để tiếp tục gửi lại, trong khoảng thời gian Tout tính từ thời điểm gói tin bị loại bỏ đến khi gói tin được phát tiếp theo nghi ngờ là gói tin tấn công."

4.1. Nhược Điểm Của RRED Với Thời Gian T Cố Định

Một nhược điểm của thuật toán RRED với thời gian T* cố định là kẻ tấn công có thể tính toán và điều chỉnh thời gian gửi gói tin để tránh bị phát hiện. Nếu kẻ tấn công biết giá trị của T*, chúng có thể gửi các gói tin tấn công sau khoảng thời gian T* để tránh bị lọc bởi RRED. Với nhược điểm của thuật toán RRED được mô tả chi tiết ở trên, giá trị T* được được lựa chọn thích hợp cho để (i) lọc hầu hết các các gói tin tấn công, và để (ii) cho đi qua hầu hết các gói tin bình thường. Trong đề xuất của RRED, qua thực nghiệm tác giả Changwang Zhang các đồng nghiệp đã chọn T* là 10ms, với giá trị này qua mô phỏng hoạt động khá tốt cho LDoS tấn công đa dạng.

4.2. Ưu Điểm Của Việc Sử Dụng Thời Gian Tout Động Trong RRED

Việc sử dụng thời gian Tout động giúp thuật toán RRED thích ứng tốt hơn với các cuộc tấn công DDoS tần suất thấp thay đổi. Bằng cách thay đổi thời gian Tout dựa trên các thông tin về mạng và lưu lượng hiện tại, thuật toán có thể giảm thiểu khả năng kẻ tấn công né tránh các biện pháp phòng thủ. Khi phát hiện mất gói tin tại một luồng mà nghi ngờ là gói tin tấn công, người gửi sẽ chờ hết thời gian timeout để tiếp tục gửi lại, trong khoảng thời gian Tout tính từ thời điểm gói tin bị loại bỏ đến khi gói tin được phát tiếp theo nghi ngờ là gói tin tấn công.

V. Đánh Giá Hiệu Quả Giải Pháp Kết Quả Mô Phỏng Với NS 2

Để đánh giá hiệu quả của giải pháp cải tiến, các mô phỏng đã được thực hiện bằng công cụ NS-2. Kết quả cho thấy rằng thuật toán RRED với thời gian Tout động cải thiện đáng kể thông lượng TCP trong điều kiện tấn công DDoS tần suất thấp, so với thuật toán RRED với thời gian T* cố định. Các kết quả thu được và minh họa trong hình 13. Với Ta = 1(s), Tb = 0,600, Rb = 0.25(Mbps) trên các thuật toán RRED mới và thực hiện mô phỏng trong với NS2. Các kết quả thu được và thể hiện trong hình 14. Với giá trị Ta = 1 (s), Tb = 200 (ms), Rb = [0,1 0,5] (Mbps) trên thuật toán RRED mới và thực hiện mô phỏng trong NS2.

5.1. Kịch Bản Mô Phỏng và Các Thông Số Thử Nghiệm

Các mô phỏng được thực hiện với nhiều kịch bản khác nhau, sử dụng các thông số tấn công khác nhau. Điều này giúp đánh giá hiệu quả của giải pháp trong các điều kiện thực tế. Trong hình này, kích thước hàng đợi của liên kết nút cổ chai là 150 gói. Thuật toán AQM được sử dụng trong một hàng đợi nút cổ chai trong khi hàng đợi khác sử dụng thuật toán DropTail. Một luồng TCP FTP với kích thước gói 1.000 byte được tạo ra từ một trong 30 người sử dụng.

5.2. So Sánh Thông Lượng TCP Giữa RRED Cải Tiến và RRED Gốc

Kết quả mô phỏng cho thấy rằng thuật toán RRED với thời gian Tout động cải thiện đáng kể thông lượng TCP trong điều kiện tấn công DDoS tần suất thấp, so với thuật toán RRED với thời gian T* cố định. Điều này chứng minh rằng giải pháp cải tiến hiệu quả hơn trong việc chống lại loại tấn công này. Từ ba bộ kết quả thử nghiệm tương ứng với ba bộ thông số, chúng ta thấy rằng thuật toán RRED mới là tương đối hiệu quả. Những kết quả này cho thấy các thông lượng TCP được duy trì gần như hoàn toàn trong nhiều cuộc tấn công Dos tần suất thấp.

VI. Kết Luận và Hướng Nghiên Cứu Tương Lai Về Chống DDoS Tần Suất Thấp

Luận văn này đã trình bày một giải pháp cải tiến cho thuật toán RRED, giúp nâng cao khả năng chống lại các cuộc tấn công DDoS tần suất thấp. Tuy nhiên, vẫn còn nhiều hướng nghiên cứu khác có thể được khám phá, chẳng hạn như phát triển các phương pháp phát hiện DDoS tần suất thấp hiệu quả hơn và nghiên cứu các cơ chế phòng thủ dựa trên học máy. Cho đến nay, RRED chỉ tập trung vào giải quyết vấn đề liên quan đến các luồng TCP nhưng không đề cập về các gói tin UDP. Vì vậy, đây là một trong những vấn đề chính cần phải được xử lý để cải tiến các thuật toán RRED trong hướng nghiên cứu tương lai.

6.1. Tóm Tắt Những Đóng Góp Chính Của Luận Văn

Luận văn đã đề xuất một giải pháp cải tiến cho thuật toán RRED, giúp nâng cao khả năng chống lại các cuộc tấn công DDoS tần suất thấp. Giải pháp này sử dụng thời gian Tout động thay vì thời gian T* cố định, giúp thuật toán thích ứng tốt hơn với các cuộc tấn công thay đổi.

6.2. Các Hướng Nghiên Cứu Tiềm Năng Trong Tương Lai

Các hướng nghiên cứu tiềm năng trong tương lai bao gồm phát triển các phương pháp phát hiện DDoS tần suất thấp hiệu quả hơn, nghiên cứu các cơ chế phòng thủ dựa trên học máy và khám phá các giải pháp phối hợp giữa các nhà cung cấp dịch vụ Internet để chống lại các cuộc tấn công DDoS. Đây là một trong những vấn đề chính cần phải được xử lý để cải tiến các thuật toán RRED trong hướng nghiên cứu tương lai.

Nội dung chính

Tổng quan nghiên cứu

Theo thống kê từ Đại học California San Diego, ngay từ đầu những năm 2000, các cuộc tấn công từ chối dịch vụ đã bùng phát với tần suất hơn 4.000 vụ mỗi tuần, đỉnh điểm là vụ việc đánh sập 9 trên tổng số 13 máy chủ DNS root toàn cầu vào năm 2002. Trong bức tranh an ninh mạng hiện đại, tấn công từ chối dịch vụ phân tán tần suất thấp (Low-rate Denial of Service - LDoS hay Shrew Attack) đã trở thành mối đe dọa tinh vi bậc nhất đối với giao thức truyền tải TCP/IP. Khác với các đòn tấn công ngập lụt truyền thống sử dụng lưu lượng khổng lồ để làm nghẽn băng thông, LDoS khai thác triệt để điểm yếu xác định trong cơ chế thời gian chờ truyền lại (Retransmission Timeout - RTO) với giá trị tối thiểu chuẩn hóa 1.000 ms của giao thức TCP. Bằng cách gửi các đợt xung lưu lượng ngắn, định kỳ trùng khớp với thời điểm hết hạn RTO, kẻ tấn công dễ dàng đẩy các luồng dữ liệu hợp pháp vào trạng thái ngừng trệ liên tục trong khi lưu lượng trung bình duy trì ở mức cực thấp để qua mặt hoàn toàn các hệ thống giám sát.

Mục tiêu cốt lõi của nghiên cứu là phân tích lỗ hổng của các cơ chế quản lý hàng đợi tích cực hiện thời, chỉ ra điểm hạn chế chí tử của thuật toán Robust RED (RRED) nguyên bản, từ đó đề xuất giải pháp cải tiến thời gian lọc động nhằm vô hiệu hóa các luồng LDoS. Nghiên cứu được thực hiện trong khuôn khổ luận văn thạc sĩ chuyên ngành Truyền dữ liệu và Mạng máy tính tại Đại học Quốc gia Hà Nội vào năm 2013, sử dụng môi trường kiểm thử mô phỏng sự kiện rời rạc trên nền tảng NS-2. Kết quả của luận văn mang ý nghĩa thực tiễn to lớn khi giúp khôi phục và duy trì thông lượng TCP trên 95% ngay cả trong điều kiện mạng bị tấn công dồn dập, bảo vệ toàn diện tính sẵn sàng của hạ tầng trung tâm dữ liệu và dịch vụ web thương mại điện tử.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng dựa trên 2 nền tảng lý thuyết trụ cột: lý thuyết điều khiển tắc nghẽn giao thức TCP và lý thuyết quản lý hàng đợi tích cực (Active Queue Management - AQM) trên thiết bị định tuyến mạng.

Hệ thống điều khiển tắc nghẽn TCP vận hành qua các trạng thái: khởi đầu chậm (Slow-start), tránh tắc nghẽn (Congestion Avoidance) theo thuật toán tăng cấp số cộng giảm cấp số nhân (AIMD), truyền lại nhanh (Fast Retransmit) và rút lui theo hàm mũ (Exponential Backoff). Giá trị RTO được tính toán linh hoạt dựa trên thời gian trễ khứ hồi làm trơn (SRTT) và độ biến thiên (RTTVAR) theo công thức khuyến nghị chuẩn hóa của RFC 2988, trong đó giá trị cận dưới luôn được ấn định tối thiểu bằng 1,0 giây. Lợi dụng tính chu kỳ này, mô hình tấn công LDoS sử dụng bộ 3 tham số cốt lõi gồm chu kỳ xung tấn công, độ rộng xung và tốc độ xung bùng nổ để cưỡng bức cửa sổ tắc nghẽn của nạn nhân tụt về mức 1 phân đoạn.

Về cơ chế phòng thủ, thuật toán phát hiện sớm ngẫu nhiên (RED) kiểm soát dung lượng đệm thông qua 2 ngưỡng dung lượng bộ đệm tối thiểu và tối đa nhằm loại bỏ gói tin ngẫu nhiên theo xác suất tối đa 2%. Nhằm khắc phục tình trạng RED bị tê liệt trước LDoS, thuật toán Robust RED (RRED) tích hợp thêm khối phát hiện và lọc sử dụng cấu trúc bộ lọc Bloom Filter đa tầng gồm 2 mức và 23 thùng chứa độc lập, chấm điểm luồng trong biên độ từ -1 đến 10 điểm. Nghiên cứu tập trung giải quyết biến số cửa sổ thời gian cố định 10 ms trong RRED, vốn là điểm sơ hở cho phép đối phương tính toán né tránh.

Phương pháp nghiên cứu

Nghiên cứu sử dụng nguồn dữ liệu thực nghiệm thông qua công cụ mô phỏng mạng chuyên dụng NS-2 phiên bản 2.33, kết hợp lập trình cấu trúc hướng đối tượng C++ và kịch bản điều khiển OTcl. Cỡ mẫu mô phỏng được thiết lập chuẩn hóa với 30 luồng người dùng TCP FTP truyền dữ liệu dung lượng 1.000 byte/gói và 20 luồng tấn công UDP độc hại phát tán các gói tin 50 byte. Phương pháp chọn mẫu lưu lượng dựa trên mô hình mạng dạng nút cổ chai kinh điển với băng thông đường truyền chính 10 Mbps, độ trễ 6 ms, dung lượng bộ đệm giới hạn 150 gói và các nhánh truy cập 5 Mbps, độ trễ 2 ms.

Lý do lựa chọn phương pháp phân tích mô phỏng tham số biến thiên là vì tính khả thi cao, cho phép đo lường chính xác các phản ứng nội tại của hàng đợi router mà không gây gián đoạn hạ tầng mạng vật lý. Quy trình nghiên cứu được chia thành 3 giai đoạn phân tích trong khung thời gian 12 tháng: thiết lập cấu hình cơ sở và kiểm chứng điểm yếu hằng số thời gian trên bộ lọc RRED; lập trình thuật toán điều chỉnh khoảng thời gian hết hạn động; và đánh giá hiệu năng so sánh đa kịch bản với các thuật toán DropTail và RED truyền thống.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình mô phỏng trên nền tảng NS-2 đã ghi nhận 4 phát hiện khoa học quan trọng chứng minh tính ưu việt của giải pháp đề xuất:

• Lỗ hổng cố hữu của giá trị ngưỡng tĩnh: Khi thử nghiệm thay đổi tham số lọc cố định của thuật toán RRED từ 10 ms lên 50 ms, thông lượng TCP bị sụt giảm nghiêm trọng và dao động bất ổn định trên 40%, chứng minh rằng việc áp dụng hằng số thời gian tĩnh khiến hệ thống dễ bị đối phương vô hiệu hóa khi thay đổi nhịp xung.
• Duy trì thông lượng vượt trội theo chu kỳ tấn công: Trong kịch bản biến thiên chu kỳ tấn công từ 0,2 giây đến 2,0 giây với độ rộng xung 200 ms và tốc độ 0,25 Mbps, tại điểm nghẽn nghiêm trọng nhất khi chu kỳ bằng đúng 1,0 giây (trùng với minRTO 1.000 ms), giải pháp cải tiến giúp thông lượng TCP đạt mức xấp xỉ 580 Kbps, duy trì hơn 96% so với mức thông lượng bình thường 600 Kbps. Trong khi đó, hàng đợi DropTail và RED truyền thống bị triệt tiêu thông lượng về mức tiệm cận 0%.
• Tính ổn định cao trước độ rộng bùng nổ xung: Khi khảo sát độ rộng xung tấn công mở rộng từ 0 đến 600 ms, thuật toán cải tiến giúp giảm thiểu tỷ lệ đánh rơi gói tin hợp lệ xuống dưới 3%, duy trì thông lượng ổn định hơn 15% so với thuật toán RRED ban đầu tại mốc xung nguy hiểm 200 ms.
• Khả năng triệt tiêu tốc độ bùng nổ lưu lượng cao: Khi tốc độ xung tấn công leo thang từ 0,1 Mbps lên 0,5 Mbps, giải pháp mới vẫn duy trì tỷ lệ phân phối tài nguyên công bằng, bảo vệ hàng đợi nút cổ chai không bị tràn bộ đệm và giữ độ trễ trung bình của mạng dưới 10 ms.

Thảo luận kết quả

Nguyên nhân cốt lõi giúp thuật toán cải tiến đạt hiệu quả vượt bậc nằm ở cơ chế tính toán thời gian kiểm tra động sau mỗi lần phát hiện gói tin nghi ngờ bị loại bỏ. Thay vì sử dụng một cửa sổ thời gian cứng nhắc, router tự động cập nhật mốc thời gian cũ và áp dụng khoảng thời gian biến thiên tương ứng với trạng thái kết nối thực tế. Cơ chế này phá vỡ hoàn toàn khả năng dự đoán của các nguồn phát xung UDP độc hại, ngăn chặn việc kẻ tấn công căn chỉnh thời gian đến của gói tin để luồn lách qua bộ lọc.

Khi so sánh với các nghiên cứu tiền nhiệm, hàng đợi DropTail gây ra hiện tượng đồng bộ hóa toàn cục nghiêm trọng khiến mọi luồng TCP đồng loạt giảm tốc độ. Thuật toán RED truyền thống hoàn toàn bất lực vì lưu lượng trung bình của LDoS quá nhỏ, không vượt qua ngưỡng kích hoạt cảnh báo sớm. Thuật toán RRED kinh điển tuy có cải tiến nhưng vẫn để lọt các xung tấn công được tinh chỉnh tinh vi. Các dữ liệu mô phỏng khi được trực quan hóa qua biểu đồ phân bố thông lượng theo thời gian và bảng so sánh tỷ lệ duy trì luồng trên phần mềm MATLAB đã thể hiện rõ đường đặc tuyến của giải pháp mới luôn hội tụ nhanh chóng và duy trì dạng sóng phẳng ổn định, minh chứng cho năng lực bảo vệ đường truyền toàn diện.

Đề xuất và khuyến nghị

Dựa trên các phát hiện thực nghiệm, luận văn đưa ra 4 khuyến nghị hành động cụ thể nhằm gia cố năng lực phòng thủ cho hạ tầng mạng:

• Tích hợp thuật toán lọc động vào hệ điều hành router biên: Doanh nghiệp và nhà cung cấp dịch vụ mạng cần nâng cấp mã nguồn quản lý hàng đợi, chuyển đổi từ cơ chế thời gian tĩnh sang thuật toán thích ứng nhằm mục tiêu duy trì thông lượng TCP trên 95% khi xảy ra tấn công; lộ trình thực hiện trong vòng 6 tháng do đội ngũ kỹ sư hạ tầng mạng và an ninh hệ thống đảm nhiệm.
• Tối ưu hóa bảng băm Bloom Filter đa tầng: Tinh chỉnh số lượng mức băm lên 3 tầng và mở rộng dung lượng thùng chứa lên 31 phần tử để giảm xác suất nhận diện nhầm luồng hợp pháp xuống dưới 1,0%; hoàn thành cấu hình trong 3 tháng do nhóm chuyên viên phát triển firmware thiết bị mạng thực hiện.
• Mở rộng phạm vi nhận diện luồng dữ liệu đa giao thức: Phát triển các mô-đun phân tích mở rộng có khả năng giám sát đồng thời cả luồng TCP và UDP, hướng tới mục tiêu phát hiện sớm các cuộc tấn công lai ghép đạt độ chính xác trên 90%; thời gian triển khai nghiên cứu trong 9 tháng do các viện nghiên cứu an toàn thông tin chủ trì.
• Chuẩn hóa chính sách cấu hình hàng đợi AQM tại các trung tâm dữ liệu: Áp dụng bắt buộc ngưỡng đệm an toàn 150 gói và kích hoạt tính năng phát hiện bất thường trên toàn bộ các cổng kết nối trọng yếu nhằm triệt tiêu 100% nguy cơ nghẽn mạng do xung tần suất thấp; tiến hành đánh giá định kỳ 12 tháng một lần do các giám đốc công nghệ và quản trị viên mạng viễn thông phụ trách.

Đối tượng nên tham khảo luận văn

Công trình nghiên cứu mang lại giá trị chuyên môn cao và là tài liệu tham khảo thiết thực cho 4 nhóm đối tượng:

• Kỹ sư An ninh Mạng và Quản trị Hệ thống: Tiếp cận phương pháp phân tích lưu lượng bất thường, ứng dụng giải pháp hàng đợi nâng cao để gia cố các tuyến kết nối trọng yếu, bảo vệ hệ thống trước các đợt tấn công từ chối dịch vụ vô hình.
• Nhà Phát triển Thiết bị và Firmware Mạng: Khai thác mã nguồn C++ cùng cấu trúc liên kết tệp của thuật toán cải tiến để tích hợp trực tiếp các mô-đun lọc thông minh vào thiết bị chuyển mạch và bộ định tuyến thương mại.
• Nhà Nghiên cứu và Giảng viên Công nghệ Thông tin: Sử dụng mô hình toán học về cơ chế RTO của TCP, cấu trúc thuật toán Karn và kịch bản mô phỏng NS-2 chuẩn hóa để làm học liệu giảng dạy chuyên sâu về an toàn mạng máy tính.
• Học viên Cao học và Sinh viên Chuyên ngành Mạng: Nắm vững phương pháp thiết lập kịch bản kiểm thử tham số biến thiên, phân tích tệp vết mạng (trace file) và kỹ năng sử dụng công cụ mô phỏng để triển khai các đề tài nghiên cứu liên quan.

Câu hỏi thường gặp

Tấn công LDoS khác biệt như thế nào so với tấn công DDoS ngập lụt truyền thống? Tấn công ngập lụt truyền thống liên tục gửi lưu lượng cực lớn với tốc độ hàng chục Gbps để làm nghẽn băng thông, khiến hệ thống giám sát dễ dàng phát hiện. Ngược lại, LDoS chỉ phát các xung ngắn khoảng 200 ms với lưu lượng trung bình rất nhỏ nhưng đánh trúng chu kỳ RTO 1.000 ms của TCP, khiến máy chủ tự ngắt kết nối mà các công cụ đo lường thống kê không phát hiện được dấu hiệu bất thường.

Tại sao thuật toán RED truyền thống không thể ngăn chặn tấn công tần suất thấp? Thuật toán RED chỉ kích hoạt cơ chế loại bỏ gói tin ngẫu nhiên khi chiều dài hàng đợi trung bình vượt ngưỡng quy định. Do các đợt bùng nổ của LDoS diễn ra trong thời gian cực ngắn dưới 300 ms và có khoảng nghỉ dài giữa các chu kỳ, kích thước hàng đợi trung bình tính theo trọng số thời gian vẫn ở mức thấp, khiến RED hoàn toàn không thể phát hiện và ngăn chặn sự cố.

Điểm yếu cốt tử của thuật toán RRED nguyên bản là gì? RRED sử dụng khoảng thời gian cố định 10 ms để xác định các gói tin tấn công tiếp theo sau khi có gói bị đánh rơi. Do giá trị này là một hằng số bất biến, kẻ tấn công có thể tính toán chính xác hoặc thay đổi nhịp độ gửi xung để đưa các gói tin độc hại lọt qua bộ lọc mà không làm suy giảm điểm uy tín của luồng băm.

Giải pháp cải tiến thời gian động mang lại lợi ích gì cho hiệu năng mạng? Giải pháp thay thế hằng số thời gian bằng biến số thời gian thích ứng được cập nhật liên tục dựa trên mốc thời gian thực tế của các gói tin bị loại bỏ. Điều này ngăn chặn kẻ tấn công dự đoán cửa sổ lọc, giúp phân loại chính xác các gói tin độc hại và khôi phục thông lượng TCP từ mức gần 0% lên trên 95% một cách ổn định.

Phương pháp nghiên cứu nào đã được sử dụng để chứng minh tính hiệu quả của đề tài? Tác giả đã xây dựng hệ thống kiểm thử trên phần mềm mô phỏng mạng sự kiện rời rạc NS-2.33 với 30 luồng người dùng và 20 luồng tấn công. Hiệu quả thuật toán được đối sánh trực tiếp qua 3 bộ tham số biến thiên về chu kỳ, độ rộng xung và tốc độ tấn công, sau đó kết xuất tệp vết để phân tích định lượng trên MATLAB.

Kết luận

• Luận văn đã làm sáng tỏ cơ chế hoạt động tinh vi của các cuộc tấn công từ chối dịch vụ phân tán tần suất thấp nhắm vào giao thức TCP.
• Chỉ rõ giới hạn của thuật toán RRED kinh điển khi sử dụng tham số cửa sổ thời gian cố định 10 ms.
• Đề xuất thành công giải pháp thời gian thích ứng động, nâng cao đáng kể độ chính xác của bộ lọc Bloom Filter.
• Kiểm chứng thực nghiệm trên môi trường NS-2 cho thấy thông lượng mạng được phục hồi trên 95% dưới nhiều kịch bản bùng nổ xung phức tạp.
• Mở ra hướng phát triển quan trọng trong việc hoàn thiện cơ chế kiểm soát đối với các luồng dữ liệu UDP hỗn hợp trong tương lai.

Đóng góp lớn nhất của công trình là cung cấp một giải pháp phần mềm tối ưu, có thể tích hợp trực tiếp vào các hệ điều hành định tuyến hiện nay mà không đòi hỏi nâng cấp phần cứng tốn kém. Trong giai đoạn 12 tháng tới, các đơn vị vận hành hệ thống nên ứng dụng giải pháp này để rà soát và gia cố hệ thống phòng thủ mạng. Quý độc giả và các chuyên gia quan tâm có thể khai thác chi tiết mã nguồn mô phỏng cùng các kịch bản kiểm thử trong toàn văn tài liệu để phục vụ công tác nghiên cứu và triển khai thực tế.

Trích đoạn nội dung tài liệu

ĐẠI HỌC QUỐC GIA HÀ NỘI TRƢỜNG ĐẠI HỌC CÔNG NGHỆ PHẠM VĂN HỢI CHỐNG TẤN CÔNG TỪ CHỐI DỊCH VỤ PHÂN TÁN TẦN SUẤT THẤP LUẬN VĂN THẠC SĨ CÔNG NGHỆ THÔNG TIN HÀ NỘI - 2013 1 TIEU LUAN MOI download : [e-mail] ĐẠI HỌC QUỐC GIA HÀ NỘI TRƢỜNG ĐẠI HỌC CÔNG NGHỆ PHẠM VĂN HỢI CHỐNG TẤN CÔNG TỪ CHỐI DỊCH VỤ PHÂN TÁN TẦN SUẤT THẤP Ngành: Công nghệ thông tin Chuyên ngành: Truyền dữ liệu và Mạng máy tính Mã số: 60 48 15 LUẬN VĂN THẠC SĨ CÔNG NGHỆ THÔNG TIN NGƢỜI HƢỚNG DẪN KHOA HỌC: TS. NGUYỄN ĐẠI THỌ HÀ NỘI - 2013 2 TIEU LUAN MOI download : [e-mail] TÓM TẮT Ngày nay, an ninh Internet là một mối quan tâm đặc biệt vì tất cả các hình thức của các doanh nghiệp và truyền thông được liên kết với Internet trong dạng này hay dạng khác, sự an toàn của các tài sản này (bao gồm cả cơ sở hạ tầng và nội dung thông tin) là quan trọng hàng đầu. Một số hậu quả nổi tiếng của một cuộc tấn công bao gồm tiếp cận với một mạng, trộm cắp sở hữu trí tuệ, và từ chối dịch vụ. Hầu hết các cuộc tấn công DoS quản lý tận dụng lợi thế của những điểm yếu trong giao thức TCP/IP.

Theo truyền thống, các cuộc tấn công gửi một số lượng lớn các gói tin giả mạo với mục tiêu tiêu hao băng thông mạng hoặc khả năng xử lý và nạn nhân không còn có thể cung cấp dịch vụ cho người dùng hợp pháp. Như vậy, gây ra bất thường về mặt thống kê của các thiết bị giám sát mạng, luồng tấn công có thể phát hiện khá dễ dàng và giảm thiểu thiệt hại của cuộc tấn công Một phân loại mới cuộc tấn từ chối dịch vụ, được gọi là từ chối dịch vụ tần suất thấp, sẽ là mấu chốt trong đề tài nghiên cứu này. Tần suất trung bình của cuộc tấn công này là quá thấp nên hầu hết các router hoặc nạn nhân không phát hiện ra các cuộc tấn công. Cuộc tấn công cố gắng để gây giảm chất lượng của dịch vụ TCP bằng cách định kỳ gửi các vụ nổ của các gói tin để tạo ra tắc nghẽn.

Giai đoạn của luồng DoS được chọn để phù hợp với RTO (thời gian hết hạn truyền lại) của luồng TCP để các tắc nghẽn sẽ trùng với truyền lại gói tin, dẫn đến việc mất gói dữ liệu và thời gian chờ kết nối liên tục. Vì vậy, tần suất tấn công tổng thể là đủ thấp để để tránh bị phát hiện. Mục đích của luận văn này chúng tôi nghiên cứu hiện trạng các biện pháp phòng chống tấn công từ chối dịch vụ phân tán tần suất thấp, từ đó đề xuất giải pháp mới hiệu quả hơn. Tính hiệu quả của giải pháp mới sẽ được so sánh và đối chiếu với các giải pháp cũ thông qua mô phỏng trên phần mềm chuyên dụng NS-2.

Từ khóa: Denial of Service, Low-Rate TCP-Targeted Denial of Service Attacks, Shrew Attacks, TCP Congestion Control, TCP Retransmission Timeout, Robust RED Algorithm. i TIEU LUAN MOI download : [e-mail] MỤC LỤC LỜI CẢM ƠN. Error! Bookmark not defined.ii DANH MỤC HÌNH VẼ. iv DANH SÁCH THUẬT NGỮ VÀ TỪ VIẾT TẮT.

1 Chƣơng 1 - BACKGROUND. Điều khiển tắc nghẽn TCP.1 Các giai đoạn TCP.2 Cơ chế Timeout TCP .1 Kiểm soát tắc nghẽn .2 Quản lý hàng đợi tích cực. 12 Chƣơng 2 TẤN CÔNG TỪ CHỐI DỊCH VỤ .1 Khái niệm tấn công từ chối dịch vụ .2 Cách thức chung tấn công từ chối dịch vụ .1 Khai thác các điểm yếu của mục tiêu .2 Tấn công vào giao thức.3 Tấn công vào Middleware .4 Tấn công vào ứng dụng .5 Tấn công vào tài nguyên .3 Cách thức tấn công LDoS .4 Các phƣơng pháp chống tấn công LDoS .1 Cơ chế router-assisted .2 Cơ chế End-point.5 Thuật toán Robust RED (RRED). 23 Chƣơng 3 - ĐỀ XUẤT GIẢI PHÁP VÀ KẾT QUẢ MÔ PHỎNG.

Nhƣợc điểm của thuật toán RRED. Phƣơng pháp .4 Kết quả mô phỏng. 30 ii TIEU LUAN MOI download : skknchat@gmail.1 Kịch bản mô phỏng .2 Kết quả biến thiên theo chu kỳ .3 Kết quả biến thiên theo độ rộng bùng nổ tấn công.4 Kết quả biến thiên theo tốc độ bùng nổ tấn công. 37 TÀI LIỆU THAM KHẢO.

44 iii TIEU LUAN MOI download : [e-mail] DANH MỤC HÌNH VẼ Hình 1. Hoạt động điều khiển tắc nghẽn TCP. Hoạt động của đồng hồ truyền lại TCP. Nguyên lý hoạt động của RED.

Sơ đồ loại bỏ gói tin của RED theo . Mô hình tấn công DoS tần suất thấp. Kiến trúc của RRED. Tấn công DoS theo chu kỳ với T*=1ms.

Tấn công DoS theo chu kỳ với T*=50ms. Mã giả của thuật toán RRED cải tiến. Giao thức mạng thử nghiệm. Kết quả thông lượng TCP dưới tấn công khi Ta = [0.

31 Với Ta = 1(s), Tb = [0,600](ms), Rb = 0. Kết quả thông lượng TCP dưới tấn công khi Ta = 1(s), Tb = [0,600](ms), Rb = 0. Kết quả thông lượng TCP dưới tấn công khi Ta = 1(s), Tb = 200(ms), Rb = [0. Cấu trúc của NS-2.

37 iv TIEU LUAN MOI download : [e-mail] DANH SÁCH THUẬT NGỮ VÀ TỪ VIẾT TẮT ACK Acknowledgement Biên nhận AIMD Additive-increase multiplicative- Tăng cấp số cộng giảm cấp decrease số nhân AQM Active Queue Management Quản lý hàng đợi tích cực DDoS Distributed Denial of Service Tấn công từ chối dịch vụ phân tán DoS Denial of Service Tấn công từ chối dịch vụ FTP File transfer protocol Giao thức truyền tệp ICMP Internet Control Message Protocol giao thức xử lý các thông báo trạng thái cho IP Kbps kilobit per second Kilôbit trên giây LDoS Low-rate DoS Attack Tấn công từ chối dịch vụ tần suất thấp Mbps Megabit per second Mêgabit trên giây ms Millisecond Mini giây RED Random Early Detection Phát hiện sớm ngẫu nhiên RRED Robust Random Early Detection Phát hiện sớm ngẫu nhiên mạnh mẽ RTO retransmission timeout Thời gian hết hạn truyền lại s second giây RTT Round-Trip Time Thời gian trễ khứ hồi TCP Transmission Control Protocol Giao thức kiểm soát truyền tải v TIEU LUAN MOI download : [e-mail] GIỚI THIỆU Tấn công từ chối dịch vụ đã ngày càng trở thành mối đe dọa nghiêm trọng đối với sự tin cậy của mạng Internet. Là các cuộc tấn công sử dụng nhiều cách thức tổ chức và thực hiện khác nhau, từ việc dùng chỉ một máy tới việc thu thập các máy agent dưới quyền với số lượng lên đến hàng chục ngàn máy phục vụ tấn công, mục đích của các cuộc tấn công là làm tê liệt các ứng dụng, máy chủ, toàn bộ mạng lưới, hoặc làm gián đoạn kết nối của người dùng hợp pháp. Một kẻ tấn công DoS gửi một số lượng lớn các gói tin đến một nạn nhân sử dụng nhiều zombie. Như một kết quả của các cuộc tấn công, các nguồn tài nguyên xung quanh nạn nhân như băng thông mạng và sức mạnh tính toán bị giảm và sử dụng không thể truy cập vào các dịch vụ hợp pháp được cung cấp bởi các nạn nhân.

Ngày nay, có các biện pháp đối phó khác nhau của cuộc tấn công DoS để loại lũ lụt thông thường đã được đề xuất. Đặc biệt, phân tích thống kê về tỷ lệ truyền tải mạng rất hữu ích để phát hiện các gói lớn truyền tải lũ lụt. Tấn công từ chối dịch vụ (DoS) là một nỗ lực để phá vỡ các chức năng bình thường của hệ thống mạng và ngăn chặn truy cập hợp pháp cho các dịch vụ hoặc đơn giản là làm giảm chất lượng của dịch vụ được cung cấp. Một nghiên cứu tại UCSD [23] đã chỉ ra rằng ngay từ đầu thập niên này các cuộc tấn công từ chối dịch vụ đã diễn ra với một tỷ lệ lên tới 4000 cuộc tấn công mỗi tuần.

Trong năm 2002, một cuộc tấn công từ chối dịch vụ [22] đã làm sập tới 9 trong số 13 máy chủ DNS root của toàn thế giới. Mức độ ảnh hưởng nghiêm trọng của các cuộc tấn công từ chối dịch vụ, mà đặc biệt được nhắc đến nhiều nhất là tấn công từ chối dịch vụ phân tán DDoS, đã dẫn đến một loạt các nghiên cứu nhằm hiểu rõ hơn về các cơ chế tấn công, để đưa tới các cách thức giúp có thể phòng chống ảnh hưởng tiêu cực của nó. Có nhiều phương pháp đã được đề xuất nhằm chống lại các cuộc tấn công từ chối dịch vụ, từ việc lọc các gói tin để tránh giả mạo địa chỉ nguồn, chuyển hướng tấn công, đẩy ngược luồng giao thông tấn công trở lại mạng, cách ly để phân biệt máy khách và giao thông máy chủ. Mỗi giải pháp đó đều rất tốt, và cung cấp kĩ thuật giúp chúng ta nhận ra các vấn đề của tấn công từ chối dịch vụ.

Tuy nhiện, các phương pháp chỉ có thể bảo vệ lại từng khía cạnh của các tấn công từ chối dịch vụ. Tuy nhiên, trong những năm gần đây, một lớp mới của tấn công từ chối dịch vụ khó phát hiện bằng các phương pháp thông thường, đó là loại tấn công từ chối dịch vụ phân tán tần suất thấp (LDoS) [2] [3]. Kẻ tấn công DoS gửi bùng 1 TIEU LUAN MOI download : [e-mail] nổ ngắn của lưu lượng của luồng theo kỳ, thay vì lũ lụt gói liên tục như các cuộc tấn công DoS/DDoS thông thường. Vụ nổ như vậy điền vào bộ đệm của router trung gian và gây ra tổn thất gói của các luồng TCP hợp pháp.

Những khó khăn trong việc phát hiện các cuộc tấn công DoS là kẻ tấn công có tốc độ trung bình thấp so với các cuộc tấn công DoS truyền thống. Hơn nữa, kẻ tấn công có thể kiểm soát mức độ thiệt hại gây ra bởi các cuộc tấn công, bằng cách điều chỉnh sự bùng nổ và khoảng cách giữa mỗi lần bùng nổ. Do đó, rất khó khăn cho các nạn nhân tự tìm các cuộc tấn công. Vì vậy, nếu kẻ tấn công mục tiêu một trang web thương mại điện tử và kết nối TCP giữa các trang web và khách hàng của mình, trang web có thể bỏ lỡ những lợi nhuận tiềm năng và khách hàng mới.

Cho đến nay, các cuộc tấn công DoS là một trong những mối đe dọa lớn nhất đối với an ninh mạng do là dễ thực hiện với chi phí thấp. Mặt khác, phát hiện tấn công DoS tần suất thấp là khó khăn hơn vì tốc độ trung bình thấp. Các thuật toán phát hiện cho tấn công DoS lũ lụt dường như không áp dụng cho các cuộc tấn công DoS tần suất thấp. Vì vậy, nó rất có thể là cuộc tấn công DoS tần suất thấp sẽ là cuộc tấn công chính trong tương lai.

Để phát hiện các cuộc tấn công và giảm thiểu thiệt hại, biện pháp đối phó khác nhau đã được đề xuất.