Luận văn: Nghiên cứu các giải pháp phát hiện tấn công từ chối dịch vụ ở lớp mạng

Tổng hợp các giải pháp phát hiện tấn công từ chối dịch vụ (DoS, DDoS) ở lớp mạng. Phân tích cơ chế tấn công, mô hình và phương pháp phòng thủ hiệu quả.

• Tác giả: Bùi Trung Thành
• Người hướng dẫn: Ts. Trương Thu Hương
• Trường học: Trường Đại Học Bách Khoa Hà Nội
• Chuyên ngành: Kỹ Thuật Viễn Thông
• Đề tài: Nghiên Cứu Các Giải Pháp Phát Hiện Tấn Công Từ Chối Dịch Vụ Ở Lớp Mạng
• Loại tài liệu: Luận Văn Thạc Sĩ Kỹ Thuật
• Năm xuất bản: 2015
• Địa điểm: Hà Nội

Tóm tắt

I. Khái niệm và phân loại tấn công từ chối dịch vụ

Tấn công từ chối dịch vụ (DoS - Denial of Service) là một hình thức tấn công mạng nhằm làm gián đoạn hoặc tê liệt các dịch vụ trực tuyến bằng cách làm quá tải tài nguyên của máy chủ. Các loại tấn công từ chối dịch vụ chính bao gồm DoS (từ một nguồn), DDoS (từ nhiều nguồn phân tán), và DRDoS (sử dụng máy chủ phản xạ). Mục tiêu của những kẻ tấn công là gây gián đoạn dịch vụ, làm tổn hại danh tiếng, hoặc tạo điều kiện cho các cuộc tấn công khác. Theo nghiên cứu của Bùi Trung Thành, các tấn công này tác động đáng kể đến an toàn mạng và yêu cầu các giải pháp phòng chống hiệu quả.

1.1. Các hình thức tấn công DoS điển hình

Tấn công UDP Flood gửi lượng lớn gói tin UDP đến máy chủ, làm quá tải tài nguyên mạng. Tấn công Ping of Death sử dụng gói tin ICMP có kích thước vượt quá giới hạn để gây sự cố. Tấn công SYN Flood khai thác quá trình bắt tay TCP ba bước để làm đầy bộ nhớ máy chủ. Mỗi phương pháp có cơ chế hoạt động khác nhau nhưng đều nhằm tiêu tốn tài nguyên mạng.

1.2. Phân biệt DoS DDoS và DRDoS

DoS là tấn công từ một điểm nguồn duy nhất. DDoS (Distributed Denial of Service) tấn công từ nhiều máy tính bị nhiễm độc phân tán trên toàn cầu, tạo sức mạnh tấn công lớn hơn. DRDoS (Distributed Reflection DoS) khai thác máy chủ phản xạ bên thứ ba để khuếch đại cuộc tấn công. Sự phân biệt này rất quan trọng cho chiến lược phòng chống.

II. Các phương pháp phát hiện tấn công DoS lớp mạng

Phát hiện tấn công từ chối dịch vụ ở lớp mạng là bước quan trọng trong bảo vệ hạ tầng mạng. Các giải pháp phát hiện hiện đại bao gồm hệ thống phát hiện bất thường (Anomaly Detection) dựa trên tập luật (Rule-based), khai phá dữ liệu (Data Mining), và mạng nơ-ron nhân tạo. Những phương pháp này giúp xác định các dấu hiệu bất thường trong lưu lượng mạng và thực hiện phản ứng kịp thời. Nghiên cứu của Bùi Trung Thành tại Đại học Bách Khoa Hà Nội đã đề xuất các mô hình PPM, DPM và DEM để nâng cao hiệu suất phát hiện.

2.1. Hệ thống phát hiện dựa trên tập luật

Hệ thống này sử dụng tập luật được xác định trước để phát hiện các mẫu tấn công đã biết. Các luật được xây dựng dựa trên đặc điểm giao thức và hành vi lưu lượng bất thường. Phương pháp này có ưu điểm phát hiện nhanh nhưng hạn chế không thể phát hiện các tấn công mới hoặc biến thể.

2.2. Phát hiện bựa trên khai phá dữ liệu

Khai phá dữ liệu (Data Mining) sử dụng thuật toán máy học để phân tích lưu lượng mạng lịch sử và tìm ra mẫu bất thường. Phương pháp này có thể thích ứng với các tấn công mới. Tuy nhiên, yêu cầu dữ liệu huấn luyện lớn và thời gian xử lý có thể dài hơn.

III. Giải pháp phòng chống tấn công DoS hiệu quả

Phòng chống tấn công từ chối dịch vụ đòi hỏi chiến lược đa lớp kết hợp các biện pháp phòng thủ khác nhau. Các giải pháp chính bao gồm giới hạn tốc độ (Rate Limiting) để kiểm soát lưu lượng, lọc gói tin dựa trên địa chỉ IP đáng ngờ, phân tích hành vi lưu lượng để phát hiện sớm, và phân tán tải (Load Balancing) để chia sẻ tài nguyên. Các tổ chức cũng cần cập nhật hệ thống thường xuyên và tập huấn nhân viên về nhận diện dấu hiệu tấn công. Mô hình PPM, DPM được đề xuất trong luận văn thạc sĩ là các giải pháp tiên tiến kết hợp đánh dấu gói tin để xác định lưu lượng độc hại.

3.1. Các kỹ thuật giới hạn lưu lượng

Giới hạn tốc độ (Rate Limiting) hạn chế số lượng gói tin từ một nguồn trong khoảng thời gian cố định. Lọc theo danh sách đen ngăn chặn lưu lượng từ các địa chỉ đã xác định là độc hại. Thiết lập ngưỡng tài nguyên đảm bảo máy chủ không bị quá tải. Những kỹ thuật này giảm tác động của tấn công DoS.

3.2. Mô hình đánh dấu gói tin PPM và DPM

Mô hình PPM (Packet Pair Marking) đánh dấu các cặp gói tin để theo dõi nguồn tấn công. Mô hình DPM (Dynamic Packet Marking) cải tiến bằng cách điều chỉnh động dựa trên điều kiện mạng hiện tại. Cả hai mô hình đều nâng cao khả năng truy tìm nguồn tấn công và hỗ trợ phòng chống hiệu quả.

IV. Triển khai hệ thống phát hiện và đối phó tấn công DoS

Triển khai hệ thống phát hiện tấn công DoS yêu cầu kiến trúc mạng được thiết kế tốt với các điểm giám sát chiến lược. Hệ thống cần thu thập và phân tích dữ liệu lưu lượng trong thời gian thực. Các công nghệ như sniffer mạng, bộ lọc firewall, và hệ thống IDS/IPS được tích hợp để phát hiện mối đe dọa sớm. Quy trình ma hóa đánh dấu và giải mã đánh dấu trong mô hình DEM giúp xác nhận lưu lượng bất thường với độ chính xác cao. Các chỉ số hiệu suất như SMR (Source Marking Ratio), MPR (Marking Precision Ratio), và MSR được sử dụng để đánh giá hiệu năng của hệ thống phòng chống.

4.1. Kiến trúc mô hình phát hiện bất thường

Mô hình FSM (Finite State Machine) cho phép theo dõi trạng thái kết nối TCP và phát hiện các điểm bất thường trong quá trình kết nối. Mạng nơ-ron nhân tạo học từ dữ liệu huấn luyện để phân loại lưu lượng là bình thường hay độc hại. Kiến trúc phân tán với các điểm giám sát đa điểm cải thiện độ phủ phát hiện.

4.2. Đánh giá hiệu suất và tối ưu hóa

Chỉ số SMR đo lường tỷ lệ gói tin được đánh dấu từ các tấn công được phát hiện. MPR đánh giá độ chính xác của đánh dấu để tránh dương tính giả. MSR (Marking Success Rate) xác định tỷ lệ thành công của toàn bộ quy trình. Dữ liệu từ bộ dữ liệu CAIDA và kiểm thử thực tế giúp tối ưu hóa hiệu suất.

Trích đoạn nội dung tài liệu

CHƯƠNG 1 - TONG QUAN VE TAN CONG TU CHOI DICH VU. Khái niệm về tân công từ chối dịch vụ 1. Mue tiêu của tân công từ chói dịch vụ. Các hình thức, dạng và cơ chế điền hình của tân công từ chối dịch vụ 1.

Các hình thức lấn công từ chối dịch vụ 13. Tấn công DeS. tSnt0s0lAtxđ6aqusSx8Beslisseg 1. Tan céng DDoS.

Tấn công DRDo8. Các dạng tấn công từ chối dịch vụ 1. Chiểm dụng các nguồn tải nguyên khan hiểm. Sử dụng tải nguyên của mình đề chóng lại minh 1.3, Chiểm dụng băng thông.

Chiểm dụng các tài nguyên khác. Phá hủy hoặc thay đổi thông tin câu hình 1. Phá hủy hoặc thay đổi vật lỷ câu hình mạng. ——S— Bui Trung Thanh - CB120730 ~ KTTT22012B.

Trang 1 Nghiên cứu các giải pháp phát hiện tân công từ chỗi địch vụ ở lớp mạng. Hình 27: Mô hình thông kẻ phân bố của Tỉ lệ số Flow/Số gói tin một Flow của bộ dữ liêu CAIDA 2013. 1112001110011 6 linbesranncesssnadfD) “————————————————————————————— Bui Trung Thành - CB120730 ~ KTTT22012B. Trang 6 ên cứu các giải pháp phát hiện tấn công từ chỗi dịch vụ ở lớp mang.

DANH MỤC HÌNH VẼ Hình1: Sơ đồ tấn công DoS điền hình. TH HH n0 1120000001000 se s14 Hình 2: Sơ đỏ tần công DDoS điền hình. soil Hinh 3: So dé tan céng DRDOS điền hình. 2222222222225 17 Hình 4: Phân loại các dạng tắn công từ chối dịch vụ.

TH re 18 Hình 5: Cơ chế tân công UDP Flood. xan wane Hình 6: Cơ chế tân công Ping of Deatl. ee ses o BB. Hình 7: Cơ chế bắt tay 3 bước TCP.

Thước Tho nhi 25 Hình 8: Định đạng Header gói tin ÏP.ccesreeo n8 07 Hình 9: Cơ chẻ tân công Smuurf. 2 10121016 28 Hình 10: Phân loại các dạng phỏng thủ tắn công từ chói dịch vụ 29 Hình 11: Mô hình mạng. 30 Hình 12: Mô hình hệ thông phát hiện bắt thường dựa di trên tập luật 38 Hình 13: Mô hình FSM cho ket noi TCP wiht 7 ganesh OD) Hình 14: Mô hình mạng nơ-ron.------ 2:22 agers 18A) 4 Hình 15: Hệ thông phát hiện bất thường dựa trên khai phá dữ liệu. AB Hinh 16: So 46 minh hoa cho giải pháp PPM.

52202200000 49 Hình 17: Quả trình đánh đầu PPM.51 Hình 18: Minh họa sơ đỏ của giải pháp DPM 56 Hinh 19: Qua trinh ma héa danh dau. Quả trình đánh dâu của giải pháp DEM. Hình 21: Quá trình giải mã đảnh dấu. à 65 Hinh 22: Cau trie Header ctia g6i tin dau tién duge danh dau béi PLA DFM theo phuong phap 1 : : 180 nh si Hình 23: SMR của sơ đỏ DEMvà so d6 PLA DFM với MT=288.

76 Hình 24: MPR của sơ đồ DEM và sơ đồ PLA DEM với MT=288. 76 Hình 25: MSR của sơ đồ DEM và sơ đồ PLA DFM voi MT=288 T7 Hình 26: Mô hình thông kê phân bó Tỉ lệ số Flow/Kich thước gói tin đầu của bộ dữ liệu CAIDA 2013. E16 900/420160216280/0A15010799718110812801730E580 1 ——$ Bui Trung Thanh - CB120730 ~ KTTT22012B. Trang 5 ên cứu các giải pháp phát hiện tấn công từ chỗi dịch vụ ở lớp mang.

Đánh giả giải pháp. lgiöSb;93300300aag8asgeaaasayfổ 1. Các giải pháp phát hiện dựa theo sự bắt thường của lưu lượng.oc2226566256222202Ececccev se. Kỹ thuật thực hiện.

Đánh giá giải pháp. giSizzt2ci3S00005888880 ccna 13. Các giải pháp ngăn chặn tấn công. Giải pháp lọc hatlượng.

Giải pháp truy ngược địa chỉÏP. Giải pháp định hình lu lượng. Giải pháp phân tích lưu lượng 45 1. Giải pháp kiểm tra host/nehwork.46 CHƯƠNG 3 - GIẢI PHÁP TRUY NGƯỢC ĐỊA CHỈ IP.

Giải pháp dựa trên thuật toản PPM. so lt Leh CL da RCO 49 B13: - PhNGHHDEN ioiuaniiiiotuiatiddiiiiaoiiakudidilglaanisaaauaaara5) 3. Giải pháp dựa trên thuật toản DPM. ne Ss 55 SBE -ÍSBIBGIDEENlauaeisenaedansgkaisduisgaotksanssgteaeauetieasoauss Số) 322.

Phan tich DPM. saree concaaioainaias Gải8405682-. Giải pháp dựa trên thuật toán DFM. eine eee ne 3.

Phdan tich DFM. - NNGHĂEsusuasuiananasaasnanasasm HữoSH31038744820000300Ó0gi264 68 ——$S Bui Trung Thanh - CB120730 ~ KTTT22012B. Trang 3 Nghiên cứu các giải pháp phát hiện tân công từ chỗi địch vụ ở lớp mạng. Hình 27: Mô hình thông kẻ phân bố của Tỉ lệ số Flow/Số gói tin một Flow của bộ dữ liêu CAIDA 2013.

1112001110011 6 linbesranncesssnadfD) “————————————————————————————— Bui Trung Thành - CB120730 ~ KTTT22012B. Trang 6 ên cứu các giải pháp phát hiện tấn công từ chỗi dịch vụ ở lớp mang. MỤC LỤC MỤC LỤC. DANH MỤC HÌNH VẼ.

DANH MỤC BẢNG BIỂU. DANH MUC TU VIET TAT LOI CAM DOAN occ. CHƯƠNG 1 - TONG QUAN VE TAN CONG TU CHOI DICH VU. Khái niệm về tân công từ chối dịch vụ 1.

Mue tiêu của tân công từ chói dịch vụ. Các hình thức, dạng và cơ chế điền hình của tân công từ chối dịch vụ 1. Các hình thức lấn công từ chối dịch vụ 13. Tấn công DeS.

tSnt0s0lAtxđ6aqusSx8Beslisseg 1. Tan céng DDoS. Tấn công DRDo8. Các dạng tấn công từ chối dịch vụ 1.

Chiểm dụng các nguồn tải nguyên khan hiểm. Sử dụng tải nguyên của mình đề chóng lại minh 1.3, Chiểm dụng băng thông. Chiểm dụng các tài nguyên khác. Phá hủy hoặc thay đổi thông tin câu hình 1.

Phá hủy hoặc thay đổi vật lỷ câu hình mạng. ——S— Bui Trung Thanh - CB120730 ~ KTTT22012B. Trang 1 ên cứu các giải pháp phát hiện tấn công từ chỗi dịch vụ ở lớp mang. Các cơ chế tấn công dién hình 9939.

Pitig: OF Ditath Attack. Phòng chống tấn công từ chối địchvụ. Cơ chế phòng thủ. Xây dựng và bảo vệ hệ thống 1.

Yếu tổ con người 1. Mộtsổ tấn công từ chối dịch vụ điền hình. 31 CHUONG 2 - GIAI PHAP Ki THUAT PHAT HIEN TAN CONG TU CHOI DICH VU GO LOP MANG 33. Tân công từ chi dịch vụ ở lớp mang.

Những kiến thức cơ bản về lớp mạng. Các cơ chế tấn công từ chối dịch vụ đổi với lớp mạng. Mục đích tấn công. Cae co ché tan công.

asec eteencareec arse 1. Cac giai phap ki thuat phat hién tan cong tir chdi dich vu 6 lop mang. Giải pháp phát hiện dựa theo dấu hiệu. Kỹ thuật thực hiện.

——$ Bui Trung Thanh - CB120730 ~ KTTT22012B. Trang 2 ên cứu các giải pháp phát hiện tấn công từ chỗi dịch vụ ở lớp mang. Các cơ chế tấn công dién hình 9939. Pitig: OF Ditath Attack.

Phòng chống tấn công từ chối địchvụ. Cơ chế phòng thủ. Xây dựng và bảo vệ hệ thống 1. Yếu tổ con người 1.

Mộtsổ tấn công từ chối dịch vụ điền hình. 31 CHUONG 2 - GIAI PHAP Ki THUAT PHAT HIEN TAN CONG TU CHOI DICH VU GO LOP MANG 33. Tân công từ chi dịch vụ ở lớp mang. Những kiến thức cơ bản về lớp mạng.

Các cơ chế tấn công từ chối dịch vụ đổi với lớp mạng. Mục đích tấn công. Cae co ché tan công. asec eteencareec arse 1.

Cac giai phap ki thuat phat hién tan cong tir chdi dich vu 6 lop mang. Giải pháp phát hiện dựa theo dấu hiệu. Kỹ thuật thực hiện. ——$ Bui Trung Thanh - CB120730 ~ KTTT22012B.

Trang 2 ên cứu các giải pháp phát hiện tấn công từ chỗi dịch vụ ở lớp mang. Các cơ chế tấn công dién hình 9939. Pitig: OF Ditath Attack. Phòng chống tấn công từ chối địchvụ.

Cơ chế phòng thủ. Xây dựng và bảo vệ hệ thống 1. Yếu tổ con người 1. Mộtsổ tấn công từ chối dịch vụ điền hình.

31 CHUONG 2 - GIAI PHAP Ki THUAT PHAT HIEN TAN CONG TU CHOI DICH VU GO LOP MANG 33. Tân công từ chi dịch vụ ở lớp mang. Những kiến thức cơ bản về lớp mạng. Các cơ chế tấn công từ chối dịch vụ đổi với lớp mạng.

Mục đích tấn công. Cae co ché tan công. asec eteencareec arse 1. Cac giai phap ki thuat phat hién tan cong tir chdi dich vu 6 lop mang.

Giải pháp phát hiện dựa theo dấu hiệu. Kỹ thuật thực hiện. ——$ Bui Trung Thanh - CB120730 ~ KTTT22012B. Trang 2 ên cứu các giải pháp phát hiện tấn công từ chỗi dịch vụ ở lớp mang.

DANH MỤC HÌNH VẼ Hình1: Sơ đồ tấn công DoS điền hình. TH HH n0 1120000001000 se s14 Hình 2: Sơ đỏ tần công DDoS điền hình. soil Hinh 3: So dé tan céng DRDOS điền hình. 2222222222225 17 Hình 4: Phân loại các dạng tắn công từ chối dịch vụ.

TH re 18 Hình 5: Cơ chế tân công UDP Flood. xan wane Hình 6: Cơ chế tân công Ping of Deatl. ee ses o BB. Hình 7: Cơ chế bắt tay 3 bước TCP.

Thước Tho nhi 25 Hình 8: Định đạng Header gói tin ÏP.ccesreeo n8 07 Hình 9: Cơ chẻ tân công Smuurf. 2 10121016 28 Hình 10: Phân loại các dạng phỏng thủ tắn công từ chói dịch vụ 29 Hình 11: Mô hình mạng. 30 Hình 12: Mô hình hệ thông phát hiện bắt thường dựa di trên tập luật 38 Hình 13: Mô hình FSM cho ket noi TCP wiht 7 ganesh OD) Hình 14: Mô hình mạng nơ-ron.------ 2:22 agers 18A) 4 Hình 15: Hệ thông phát hiện bất thường dựa trên khai phá dữ liệu. AB Hinh 16: So 46 minh hoa cho giải pháp PPM.

52202200000 49 Hình 17: Quả trình đánh đầu PPM.51 Hình 18: Minh họa sơ đỏ của giải pháp DPM 56 Hinh 19: Qua trinh ma héa danh dau. Quả trình đánh dâu của giải pháp DEM. Hình 21: Quá trình giải mã đảnh dấu. à 65 Hinh 22: Cau trie Header ctia g6i tin dau tién duge danh dau béi PLA DFM theo phuong phap 1 : : 180 nh si Hình 23: SMR của sơ đỏ DEMvà so d6 PLA DFM với MT=288.

76 Hình 24: MPR của sơ đồ DEM và sơ đồ PLA DEM với MT=288. 76 Hình 25: MSR của sơ đồ DEM và sơ đồ PLA DFM voi MT=288 T7 Hình 26: Mô hình thông kê phân bó Tỉ lệ số Flow/Kich thước gói tin đầu của bộ dữ liệu CAIDA 2013. E16 900/420160216280/0A15010799718110812801730E580 1 ——$ Bui Trung Thanh - CB120730 ~ KTTT22012B. Trang 5 ên cứu các giải pháp phát hiện tấn công từ chỗi dịch vụ ở lớp mang.

DANH MỤC HÌNH VẼ Hình1: Sơ đồ tấn công DoS điền hình. TH HH n0 1120000001000 se s14 Hình 2: Sơ đỏ tần công DDoS điền hình. soil Hinh 3: So dé tan céng DRDOS điền hình. 2222222222225 17 Hình 4: Phân loại các dạng tắn công từ chối dịch vụ.

TH re 18 Hình 5: Cơ chế tân công UDP Flood. xan wane Hình 6: Cơ chế tân công Ping of Deatl. ee ses o BB. Hình 7: Cơ chế bắt tay 3 bước TCP.

Thước Tho nhi 25 Hình 8: Định đạng Header gói tin ÏP.ccesreeo n8 07 Hình 9: Cơ chẻ tân công Smuurf. 2 10121016 28 Hình 10: Phân loại các dạng phỏng thủ tắn công từ chói dịch vụ 29 Hình 11: Mô hình mạng. 30 Hình 12: Mô hình hệ thông phát hiện bắt thường dựa di trên tập luật 38 Hình 13: Mô hình FSM cho ket noi TCP wiht 7 ganesh OD) Hình 14: Mô hình mạng nơ-ron.------ 2:22 agers 18A) 4 Hình 15: Hệ thông phát hiện bất thường dựa trên khai phá dữ liệu.