Luận văn thạc sĩ: Nghiên cứu tấn công DDoS và giải pháp ngăn chặn - VNU UET

Luận văn thạc sĩ nghiên cứu vnu uet nghiên cứu về ddos và giải pháp ngăn chặn, khảo sát thực trạng, phân tích nguyên nhân, đề xuất giải pháp cải thiện thực tiễn.

• Tác giả: Nguyễn Thành Hữu
• Người hướng dẫn: TS. Phùng Văn Ổn
• Trường học: Trường Đại học Công nghệ - Đại học Quốc gia Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Nghiên cứu về DDOS và giải pháp ngăn chặn
• Loại tài liệu: Luận văn thạc sĩ
• Năm xuất bản: 2014
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: CÁC NỘI DUNG CƠ BẢN CỦA TẤN CÔNG TỪ CHỐI DỊCH VỤ PHÂN TÁN
• 1.1. GIỚI THIỆU VỀ TẤN CÔNG TỪ CHỐI DỊCH VỤ - DDOS
• 1.1.1. Khái niệm DDos
• 1.1.2. Các giai đoạn của một cuộc tấn công DDos
• 1.1.3. Phân loại tấn công từ chối dịch vụ phân tán
• 1.1.4. Khái niệm mạng Botnet
• 1.1.5. Mạng Internet Relay Chat
• 1.1.6. Chương trình Bot và BotNet
• 1.1.7. Mạng IRC botnet
• 1.1.8. Các bước xây dựng mạng botnet
• 1.1.9. Mô hình tấn công DDoS
• 1.1.10. Mô hình tấn công Agent- Handler
• 1.1.11. Mô hình tấn công IRC- Based
• 2. CHƯƠNG 2: CÁC KỸ THUẬT TẤN CÔNG DDOS
• 2.1. Tấn công làm cạn kiệt băng thông (Band with Deleption)
• 2.2. Tấn công tràn băng thông (Flood attack)
• 2.3. Tấn công tràn băng thông bằng gói tin UDP
• 2.4. Tấn công tràn băng thông bằng gói tin ICMP
• 2.5. Tấn công khuếch đại (Amplification attack)
• 2.6. Tấn công kiểu Smuft
• 2.7. Tấn công kiểu Fraggle
• 2.8. Tấn công làm cạn kiệt tài nguyên (Resoure Deleption)
• 2.9. Các biến thể của tấn công DDos
• 2.10. Tấn công kiểu Flash DDos
• 2.11. Tấn công kiểu DRDos
• 2.12. Tấn công DDoS trên điện thoại di động
• 2.13. Một số công cụ tấn công DDoS phổ biến hiện nay
• 3. CHƯƠNG 3: PHÒNG, CHỐNG CUỘC TẤN CÔNG DDOS
• 3.1. Phát hiện và ngăn chặn Agent (Detect and Prevent)
• 3.2. Phát hiện và vô hiệu hóa các Handler (detect and neutralize handler)
• 3.3. Phát hiện dấu hiệu của một cuộc tấn công DDos (Detect and prevent agent)
• 3.4. Làm suy giảm hoặc chặn cuộc tấn công DDos
• 3.5. Chuyển hướng cuộc tấn công
• 3.6. Giai đoạn sau tấn công
• 3.7. Các giải pháp đơn đối với những cuộc tấn công DDos nhỏ
• 4. CHƯƠNG 4: ĐỀ XUẤT GIẢI PHÁP PHÒNG CHỐNG DDOS
• 4.1. Tình hình liên quan tới DDos ở Việt Nam
• 4.2. Giải pháp phòng chống DDos đang được thực hiện ở Việt Nam
• 4.3. Giải pháp đề xuất của tác giả
• 4.4. Nghiên cứu hệ thống Citrix NetScaler
• 4.5. Nguyên tắc xây dựng và khả năng của hệ thống Citrix NetScaler
• 4.6. Chức năng của hệ thống Citrix NetScaler
• 4.7. Duy trì tính sẵn sàng
• 4.8. Tăng tốc độ ứng dụng
• 4.9. Bảo mật ứng dụng
• 4.10. Tối Ưu hóa đầu cuối
• 4.11. Cài đặt và chạy hệ thống Citrix NetScaler
• 4.12. Đánh giá hệ thống
• 4.13. Xây dựng kịch bản phòng, chống DDos
• 4.13.1. Giai đoạn chuẩn bị
• 4.13.2. Giai đoạn phát hiện, chống một cuộc tấn công DDos
• 4.13.3. Giai đoạn sau tấn công
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về Luận văn thạc sĩ VNU UET nghiên cứu DDoS

Luận văn thạc sĩ tại VNU UET tập trung vào nghiên cứu về tấn công từ chối dịch vụ phân tán (DDoS) và các giải pháp ngăn chặn hiệu quả. Tấn công DDoS đã trở thành một trong những mối đe dọa lớn nhất đối với an ninh mạng hiện nay. Nghiên cứu này không chỉ giúp hiểu rõ hơn về cơ chế hoạt động của các cuộc tấn công DDoS mà còn đề xuất các phương pháp phòng chống hiệu quả.

1.1. Khái niệm và lịch sử phát triển của DDoS

Tấn công DDoS (Distributed Denial of Service) là một hình thức tấn công mạng nhằm làm cạn kiệt tài nguyên của hệ thống, khiến cho dịch vụ không thể truy cập được. Lịch sử của DDoS bắt đầu từ những năm 1990, với sự xuất hiện của các công cụ tấn công như Trinoo và Smurf. Những cuộc tấn công này đã gây ra nhiều thiệt hại cho các tổ chức và doanh nghiệp.

1.2. Tầm quan trọng của nghiên cứu DDoS trong an ninh mạng

Nghiên cứu về DDoS là rất quan trọng trong bối cảnh hiện nay, khi mà các cuộc tấn công ngày càng trở nên tinh vi và phức tạp. Việc hiểu rõ về DDoS giúp các tổ chức có thể xây dựng các biện pháp phòng ngừa hiệu quả, bảo vệ hệ thống và dữ liệu của mình khỏi những mối đe dọa này.

II. Vấn đề và thách thức trong nghiên cứu DDoS

Mặc dù đã có nhiều nghiên cứu về DDoS, nhưng vẫn còn nhiều thách thức trong việc phát hiện và ngăn chặn các cuộc tấn công này. Các phương pháp tấn công ngày càng trở nên tinh vi, khiến cho việc phát hiện và ứng phó trở nên khó khăn hơn.

2.1. Các loại hình tấn công DDoS phổ biến

Có nhiều loại hình tấn công DDoS, bao gồm tấn công làm cạn kiệt băng thông, tấn công tràn băng thông, và tấn công vào lớp ứng dụng. Mỗi loại hình tấn công có những đặc điểm và phương thức hoạt động riêng, đòi hỏi các biện pháp phòng ngừa khác nhau.

2.2. Thách thức trong việc phát hiện và ngăn chặn DDoS

Một trong những thách thức lớn nhất trong việc ngăn chặn DDoS là khả năng phát hiện sớm các dấu hiệu của cuộc tấn công. Nhiều cuộc tấn công DDoS được thực hiện với quy mô lớn và tốc độ nhanh, khiến cho việc phát hiện và ứng phó kịp thời trở nên khó khăn.

III. Phương pháp và giải pháp chính để ngăn chặn DDoS

Để ngăn chặn các cuộc tấn công DDoS, cần áp dụng nhiều phương pháp và giải pháp khác nhau. Các giải pháp này có thể bao gồm việc sử dụng phần mềm bảo mật, thiết lập tường lửa, và triển khai các hệ thống phát hiện xâm nhập.

3.1. Sử dụng phần mềm bảo mật và tường lửa

Phần mềm bảo mật và tường lửa là những công cụ quan trọng trong việc ngăn chặn DDoS. Chúng giúp phát hiện và chặn đứng các lưu lượng tấn công trước khi chúng có thể gây hại cho hệ thống.

3.2. Triển khai hệ thống phát hiện xâm nhập

Hệ thống phát hiện xâm nhập (IDS) có thể giúp phát hiện sớm các dấu hiệu của cuộc tấn công DDoS. Bằng cách phân tích lưu lượng mạng, IDS có thể nhận diện các mẫu tấn công và cảnh báo cho quản trị viên.

IV. Ứng dụng thực tiễn và kết quả nghiên cứu về DDoS

Nghiên cứu về DDoS không chỉ dừng lại ở lý thuyết mà còn có nhiều ứng dụng thực tiễn. Các tổ chức đã áp dụng các giải pháp phòng ngừa DDoS để bảo vệ hệ thống của mình khỏi các cuộc tấn công.

4.1. Các tổ chức đã áp dụng thành công giải pháp ngăn chặn DDoS

Nhiều tổ chức lớn đã áp dụng các giải pháp ngăn chặn DDoS và đạt được những kết quả tích cực. Việc triển khai các hệ thống bảo mật đã giúp họ giảm thiểu rủi ro và bảo vệ dữ liệu quan trọng.

4.2. Kết quả nghiên cứu và đánh giá hiệu quả giải pháp

Kết quả nghiên cứu cho thấy rằng việc áp dụng các giải pháp ngăn chặn DDoS có thể giảm thiểu đáng kể thiệt hại do các cuộc tấn công gây ra. Các tổ chức cần thường xuyên đánh giá và cập nhật các biện pháp bảo mật của mình.

V. Kết luận và tương lai của nghiên cứu DDoS

Nghiên cứu về DDoS sẽ tiếp tục là một lĩnh vực quan trọng trong an ninh mạng. Với sự phát triển không ngừng của công nghệ, các cuộc tấn công DDoS sẽ ngày càng trở nên phức tạp hơn, đòi hỏi các nhà nghiên cứu và chuyên gia bảo mật phải không ngừng cập nhật kiến thức và công nghệ mới.

5.1. Tương lai của nghiên cứu DDoS

Tương lai của nghiên cứu DDoS sẽ tập trung vào việc phát triển các công nghệ mới để phát hiện và ngăn chặn các cuộc tấn công. Các giải pháp dựa trên trí tuệ nhân tạo và học máy có thể sẽ trở thành xu hướng trong việc bảo vệ hệ thống.

5.2. Vai trò của cộng đồng trong việc phòng chống DDoS

Cộng đồng an ninh mạng cần hợp tác chặt chẽ để chia sẻ thông tin và kinh nghiệm trong việc phòng chống DDoS. Sự hợp tác này sẽ giúp nâng cao khả năng phòng ngừa và ứng phó với các cuộc tấn công.

Nội dung chính

Tổng quan nghiên cứu

Theo thống kê an ninh mạng, các cuộc tấn công từ chối dịch vụ phân tán (DDoS) bắt đầu xuất hiện từ năm 1998 với công cụ Trinoo và bùng nổ mạnh mẽ từ năm 1999. Trong kỷ nguyên số hóa, các cổng thông tin điện tử và dịch vụ trực tuyến là huyết mạch vận hành của mọi cơ quan, tổ chức. Khi bị tấn công, một mạng lưới gồm 1.000 máy tính ma (botnet) có thể dễ dàng tạo ra lưu lượng rác vượt mức 1 Gbps, nhanh chóng làm tê liệt đường truyền băng thông 100 Mbps của máy chủ mục tiêu trong vài giây. Vấn đề nghiên cứu trọng tâm của luận văn là nhận diện toàn diện các phương thức tấn công từ tầng mạng đến tầng ứng dụng, đồng thời xây dựng mô hình phòng thủ chủ động cho hạ tầng mạng. Mục tiêu cụ thể là phân tích sâu các kỹ thuật tấn công mới, đánh giá các công cụ khai thác phổ biến, và đề xuất giải pháp kiểm soát lưu lượng trên nền tảng thiết bị chuyên dụng. Phạm vi nghiên cứu tập trung vào hệ thống thông tin doanh nghiệp và cơ quan nhà nước tại Việt Nam trong giai đoạn 2013–2014, có đối chiếu với các mô hình bảo mật chuẩn quốc tế. Ý nghĩa thực tiễn của công trình thể hiện qua việc giảm thiểu thiệt hại tài chính do gián đoạn dịch vụ, duy trì tính sẵn sàng của hệ thống đạt mức 99,9%, đồng thời cung cấp quy trình phản ứng 3 giai đoạn giúp đội ngũ quản trị mạng chủ động phát hiện và ngăn chặn hiểm họa trước khi hạ tầng bị sập hoàn toàn.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn vận dụng mô hình tham chiếu giao thức 7 tầng OSI và kiến trúc bộ giao thức liên mạng TCP/IP. Trọng tâm phân tích đặt vào cơ chế bắt tay 3 bước (SYN, SYN-ACK, ACK) của giao thức truyền vận TCP trên không gian 65.535 cổng kết nối, kết hợp với đặc tính không trạng thái của giao thức UDP và chức năng điều khiển thông báo ICMP. Bốn khái niệm cốt lõi được chuẩn hóa bao gồm: mạng Botnet điều khiển qua kênh IRC, tấn công khuếch đại phản xạ phân tán (DRDoS), tấn công cạn kiệt tài nguyên tầng ứng dụng (Layer 7 Flood), và cơ chế giả mạo địa chỉ mạng (IP Spoofing). Bên cạnh đó, mô hình phòng thủ tích hợp thuật toán tổng tích lũy CUSUM và lý thuyết cơ sở dữ liệu địa chỉ IP định danh (IP Address Database - IAD) được sử dụng làm nền tảng toán học để phát hiện bất thường lưu lượng truy cập.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp thực nghiệm kết hợp phân tích định lượng trên nguồn dữ liệu mô phỏng gồm 10.000 luồng gói tin IP thu thập từ hệ thống mạng thử nghiệm và máy chủ web IIS 7.0 cấu hình RAM 4 GB. Phương pháp chọn mẫu phi xác suất có chủ đích được áp dụng nhằm tái hiện chính xác các kịch bản tấn công thực tế từ các công cụ phổ biến như LOIC, XOIC, HULK, DDOSIM và PyLoris. Luận văn lựa chọn thuật toán CUSUM với chu kỳ lấy mẫu thời gian cố định delta-n bằng 10 giây, thiết lập tham số dịch chuyển trung bình trị tuyệt đối a bằng 0,05 và biên độ tăng h bằng 0,1. Lý do lựa chọn thuật toán thống kê này xuất phát từ khả năng phát hiện sớm các đột biến lưu lượng mà không gây quá tải năng lực xử lý của bộ định tuyến. Timeline thực hiện nghiên cứu kéo dài 12 tháng, chia thành 4 giai đoạn: tổng hợp lý thuyết, thu thập dữ liệu lưu lượng, cấu hình thử nghiệm hệ thống Citrix NetScaler và đánh giá hiệu năng kịch bản ứng phó.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Nghiên cứu đã chứng minh và lượng hóa 4 phát hiện quan trọng về hành vi của các cuộc tấn công DDoS:

Thứ nhất, tấn công tầng ứng dụng (Layer 7) qua công cụ HULK có khả năng làm tê liệt hoàn toàn máy chủ web IIS 7.0 trang bị RAM 4 GB chỉ trong vòng 60 giây, nhanh hơn gấp 5 lần so với các đòn tấn công tràn băng thông truyền thống nhờ cơ chế gửi truy vấn trực tiếp vào cơ sở dữ liệu.

Thứ hai, kỹ thuật tấn công phản xạ DRDoS cho phép kẻ tấn công chỉ cần sở hữu đường truyền tốc độ trung bình 256 Kbps là có thể khuếch đại lưu lượng lên gấp hơn 100 lần thông qua các máy chủ trung gian lớn, làm nghẽn đường truyền nạn nhân mà không để lộ địa chỉ IP nguồn.

Thứ ba, việc ứng dụng thuật toán CUSUM kết hợp bảng cơ sở dữ liệu IAD giúp phát hiện các đợt bùng phát lưu lượng bất thường với độ chính xác đạt trên 94%, rút ngắn thời gian phát hiện xuống dưới 10 giây ngay khi luồng IP lạ bắt đầu xuất hiện.

Thứ tư, botnet di động trên hệ điều hành Android (với mã độc Obad và Trojan-SMS.a) đạt tỷ lệ duy trì kết nối trực tuyến liên tục lên tới 98% do đặc thù thiết bị di động hầu như không tắt nguồn, tạo ra nguy cơ tấn công phân tán nguy hiểm hơn 40% so với mạng botnet máy tính truyền thống.

Thảo luận kết quả

Nguyên nhân căn bản khiến các cuộc tấn công cạn kiệt tài nguyên như SYN Flood hay HTTP POST Flood đạt hiệu quả phá hoại cao là do sự mất cân bằng giữa chi phí gửi yêu cầu của kẻ tấn công và tài nguyên phân bổ để mở phiên kết nối của máy chủ. So sánh với các phương pháp phòng vệ thụ động trước đây vốn chỉ lọc gói tin ở tầng mạng, giải pháp tích hợp thiết bị phân phối ứng dụng Citrix NetScaler cho thấy khả năng can thiệp sâu vào luồng dữ liệu HTTP, áp dụng tính năng giới hạn tần suất truy cập (AppExpert Rate Limiting) và triệt tiêu tới 85% lưu lượng rác.

Dữ liệu thực nghiệm có thể được biểu diễn trực quan thông qua biểu đồ đường thể hiện tỷ lệ phần trăm địa chỉ IP mới xuất hiện trong các khung thời gian 10 giây, đối chiếu cùng bảng ma trận ngưỡng phát hiện N của thuật toán CUSUM giữa trạng thái mạng bình thường và khi xảy ra biến động đột biến. Kết quả thảo luận khẳng định rằng việc kết hợp cơ chế kiểm soát gói tin ra vào (Egress Filtering) tại router cùng hệ thống cân bằng tải máy chủ là giải pháp tối ưu để đối phó với các cuộc tấn công quy mô vượt quá 10 Gbps.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu thực nghiệm, luận văn đề xuất 4 giải pháp hành động cụ thể nhằm thiết lập hệ thống phòng thủ DDoS vững chắc:

1. Thiết lập cơ chế lọc gói tin Egress Filtering và cập nhật cơ sở dữ liệu IAD: Các nhà cung cấp dịch vụ mạng (ISP) và quản trị viên hệ sinh thái mạng cần cấu hình thiết bị gateway để chặn 100% các gói tin có địa chỉ nguồn giả mạo phát sinh từ mạng nội bộ, định kỳ làm sạch bảng dữ liệu IAD sau mỗi 14 ngày, hoàn thành trong thời gian 1-3 tháng.

2. Triển khai hệ thống cân bằng tải chuyên dụng và giới hạn tần suất yêu cầu: Doanh nghiệp cần đưa vào vận hành hệ thống Citrix NetScaler hoặc thiết bị ADC tương đương, thiết lập ngưỡng giới hạn tốc độ tối đa 100 yêu cầu/giây trên mỗi địa chỉ IP (Rate Limiting) và bật tính năng xác thực AAA, mục tiêu loại bỏ 90% các đợt ngập lụt tầng 7, thời gian thực hiện từ 3-6 tháng do phòng an ninh mạng chủ trì.

3. Tích hợp thuật toán cảnh báo sớm CUSUM trên hệ thống giám sát MIB/SNMP: Đội ngũ kỹ thuật mạng cần cài đặt module phân tích luồng gói tin TCP, UDP, ICMP theo chu kỳ lấy mẫu 10 giây, thiết lập ngưỡng phát hiện tự động nhằm giảm thiểu 80% thời gian phản ứng khi xảy ra sự cố, thực hiện trong vòng 2 tháng.

4. Tăng cường rà soát mã độc trên thiết bị đầu cuối và nền tảng di động: Cơ quan, tổ chức cần ban hành quy định bắt buộc cài đặt phần mềm diệt virus bản quyền, cập nhật bản vá lỗ hổng hệ điều hành định kỳ 30 ngày/lần nhằm ngăn chặn triệt để nguy cơ thiết bị nội bộ bị biến thành zombie trong mạng botnet, duy trì liên tục hàng quý bởi toàn thể cán bộ nhân viên.

Đối tượng nên tham khảo luận văn

Công trình nghiên cứu mang lại giá trị học thuật và ứng dụng thực tiễn cao cho 4 nhóm đối tượng chính:

1. Kỹ sư quản trị hệ thống và hạ tầng mạng: Nắm vững nguyên lý hoạt động của các giao thức truyền thông, cấu hình tường lửa, thiết lập chính sách định tuyến và triển khai cân bằng tải máy chủ để triệt tiêu các điểm lỗi đơn trong hệ thống.

2. Chuyên gia an toàn thông tin và điều hành Trung tâm SOC: Vận dụng mô hình toán học CUSUM và quy tắc phân loại luồng IP (IAD) vào hệ thống giám sát an ninh SIEM, nâng cao khả năng phát hiện sớm các cuộc tấn công tinh vi trong thời gian dưới 10 giây.

3. Lãnh đạo phụ trách công nghệ thông tin (CIO/CISO): Xây dựng chiến lược đầu tư hạ tầng an ninh mạng bài bản, ban hành quy trình phản ứng sự cố 3 giai đoạn chuẩn mực và bảo đảm mức độ sẵn sàng dịch vụ đạt chỉ số SLA 99,99%.

4. Học viên sau đại học và nhà nghiên cứu an ninh mạng: Khảo sát bức tranh toàn cảnh về mã độc và công cụ tấn công phân tán, làm tài liệu tham khảo để phát triển các đề tài mở rộng về phòng chống DDoS trên nền tảng đám mây và thiết bị IoT.

Câu hỏi thường gặp

Tấn công DDoS tầng 7 khác biệt như thế nào so với tấn công tầng mạng?

Tấn công tầng mạng tập trung làm nghẽn băng thông bằng lưu lượng gói tin UDP hoặc ICMP giả mạo cực lớn. Ngược lại, tấn công tầng 7 thiết lập kết nối TCP hoàn chỉnh và gửi các yêu cầu HTTP hợp lệ từ IP thật, tiêu tốn rất ít băng thông của kẻ tấn công nhưng làm cạn kiệt 100% tài nguyên CPU và bộ nhớ máy chủ.

Thuật toán CUSUM phát hiện cuộc tấn công DDoS theo nguyên lý nào?

CUSUM theo dõi tỷ lệ địa chỉ IP mới xuất hiện trong các khoảng thời gian delta-n bằng 10 giây so với bảng IAD. Khi mạng bình thường, biến thiên Zn luôn âm với tham số a bằng 0,05. Khi xảy ra tấn công, lượng IP mới tăng vọt làm tổng tích lũy yn vượt ngưỡng N, kích hoạt cảnh báo chỉ sau vài chu kỳ đo.

Thiết bị cân bằng tải Citrix NetScaler đóng vai trò gì trong phòng chống DDoS?

Citrix NetScaler phân phối lưu lượng truy cập qua địa chỉ IP ảo (VIP) đến nhóm máy chủ thực thể, loại bỏ hiện tượng quá tải cục bộ. Hệ thống cung cấp khả năng lọc sạch tới 85% yêu cầu độc hại nhờ tính năng AppExpert Rate Limiting và tự động chuyển hướng luồng dữ liệu khi phát hiện máy chủ gặp sự cố trong 5 giây.

Tại sao mạng botnet trên điện thoại thông minh lại đặc biệt nguy hiểm?

Thiết bị di động thông minh luôn kết nối mạng 24/7 và hiếm khi tắt nguồn, giúp tỷ lệ sẵn sàng nhận lệnh của botnet đạt gần 100%. Các mã độc như Obad hay Trojan-SMS.a có thể tự động biến hàng chục nghìn điện thoại thành công cụ phát động tấn công HTTP flood hoặc gửi thư rác mà chủ sở hữu không hề hay biết.

Kỹ thuật Egress Filtering giúp ngăn chặn các kiểu tấn công nào?

Egress Filtering kiểm soát toàn bộ gói tin đi ra khỏi mạng cục bộ để đảm bảo địa chỉ IP nguồn thuộc dải mạng quản lý hợp lệ. Kỹ thuật này triệt tiêu hoàn toàn khả năng giả mạo IP (IP Spoofing), nhờ đó ngăn chặn tới 95% các cuộc tấn công khuếch đại nguy hiểm như Smurf hay Fraggle.

Kết luận

• Hệ thống hóa toàn diện lý thuyết và kỹ thuật: Luận văn đã phân loại chi tiết các hình thức tấn công DDoS từ cạn kiệt băng thông đến cạn kiệt tài nguyên trên mô hình 7 tầng OSI.
• Đóng góp giải pháp phát hiện sớm: Ứng dụng thành công thuật toán CUSUM với chu kỳ 10 giây kết hợp cơ sở dữ liệu IAD, đạt độ chính xác nhận diện bất thường trên 94%.
• Thiết kế mô hình phòng thủ thực nghiệm: Đề xuất kịch bản tích hợp hệ thống Citrix NetScaler, giúp lọc bỏ tới 85% lưu lượng rác và bảo đảm tính sẵn sàng dịch vụ đạt trên 99,9%.
• Kế hoạch triển khai rõ ràng: Cung cấp lộ trình 4 bước khả thi trong khung thời gian 3-6 tháng cho các doanh nghiệp và cơ quan tại Việt Nam.
• Lời kêu gọi hành động: Các tổ chức cần khẩn trương rà soát hạ tầng mạng, áp dụng ngay các giải pháp kỹ thuật và quy trình giám sát đề xuất trong luận văn để chủ động bảo vệ an toàn thông tin trước các nguy cơ tấn công mạng ngày càng phức tạp.

Trích đoạn nội dung tài liệu

MỞ ĐẦU Ngày nay, mạng Internet đang phát triển và mở trộng trên phạm vi toàn thế giới. Các cổng thông tin điện tử, dịch vụ mạng có thể là sự sống còn của cá nhân, tổ chức. Việc những hệ thống đó bị quá tải, không truy cập đƣợc trong một khoảng thời gian có thể gây ra tổn thất không nhỏ. Từ vấn đề thực tế trên kiểu tấn công từ chối dịch vụ phân tán, DDos (Distributed Denial Of Service) đã xuất hiện rất sớm, những năm 90 của thế kỷ 20.

Kiểu tấn công này làm cạn kiệt tài nguyên của hệ thống. Ngƣời quản trị, ngƣời sử dụng không thể truy cập đƣợc hệ thống thông tin. Tấn công DDos bắt đầu đƣợc biết đến từ năm 1998, với chƣơng trình Trinoo Distributed Denial of service đƣợc viết bởi Phifli. Từ đó cùng với sự phát triển không ngừng của Công nghệ thông tin, các kỹ thuật tấn công mới lần lƣợt ra đời, Ping of Death, Teardrop, Aland Attack, Winnuke, Smurf Attack, UDP/ICMP Flooding, TCP/SYN Flooding, Attack DNS.

gần đây là kiểu tấn công DDos sử dụng công cụ #RefRef của nhóm Hacker Anonymous. Do vậy, tấn công DDos một kiểu tấn công không mới, nhƣng vẫn luôn là nỗi lo lắng của các nhà quản trị mạng. Trong những năm qua, không chỉ Việt Nam mà cả thế giới, các cuộc tấn công DDos liên tục diễn ra. Những cuộc tấn công này với nhiều mục đích khác nhau: kinh tế, cá nhân, thậm chí mang cả màu sắc chính trị (Trung Quốc – Mỹ, Trung Quốc – Việt Nam.

Do vậy, nghiên cứu DDos không bao giờ là cũ, mà luôn phải cập nhật cùng với các thiết bị, kỹ thuật công nghệ thông tin mới. Từ những vấn đề thực tiễn trên, căn cứ vào lý thuyết về an ninh an toàn của hệ thống thông tin, đề tài sẽ trình bày 1. Các vấn đề chung về DDos; 2. Kỹ thuật tấn công DDos cơ bản và các kỹ thuật mới; 3.

Phòng, chống một cuộc tấn công DDos; 4. Giải pháp phòng, chống DDos hiệu quả; 5. Đƣa ra một kịch bản cụ thể để phòng chống một cuộc tấn công Ddos. LUAN VAN CHAT LUONG download : add [e-mail] 11 CHƢƠNG 1: CÁC NỘI DUNG CƠ BẢN CỦA TẤN CÔNG TỪ CHỐI DỊCH VỤ PHÂN TÁN 1.

GIỚI THIỆU VỀ TẤN CÔNG TỪ CHỐI DỊCH VỤ - DDOS: 1. Khái niệm DDos: Tấn công từ chối dịch vụ phân tán (Distributed Denial of Service attack- DDoS attack) là hành động ngăn cản những ngƣời dùng hợp pháp của một dịch vụ nào đó truy cập và sử dụng dịch vụ đó, bằng cách làm cho server không thể đáp ứng đƣợc các yêu cầu sử dụng dịch vụ từ các client. Nguồn tấn công không đến từ một máy tính trên Internet, mà đến từ một hệ thống nhiều máy tính với các địa chỉ IP khác nhau (điểm khác nhau giữa tấn công Dos và DDos).1 Mô hình tấn công DDoS Xuất hiện lần đầu tiên vào năm 1999, so với tấn công DoS cổ điển, sức mạnh của DDoS cao hơn rất nhiều, do nguồn tấn công không đến từ một máy tính nhƣ tấn công Dos mà đến từ nhiều máy tính. Hầu hết các cuộc tấn công DDoS nhằm vào việc chiếm dụng băng thông gây nghẽn mạng dẫn đến hệ thống ngƣng hoạt động.

Tuy nhiên cùng với sự phát triển của các thiết bị phần cứng và các hệ thống phòng thủ, các dạng tấn công DDos cũng ngày càng phức tạp thông minh, không chỉ chiếm dụng băng thông, mà còn khai thác các lỗ hổng trong các ứng dụng để tấn công làm cạn kiệt tài nguyên LUAN VAN CHAT LUONG download : add [e-mail] 12 của hệ thống. Những kiểu tấn công này đƣợc đánh giá là nguy hiểm hơn, do chúng có thể gây tổn hại trực tiếp đến cơ sở dữ liệu. Các giai đoạn của một cuộc tấn công DDos: 1/. Giai đoạn chuẩn bị: Chuẩn bị công cụ cho cuộc tấn công, công cụ này thông thƣờng hoạt động theo mô hình Client- Server.

Hacker có thể viết phần mềm này hay download một cách dễ dàng trên mạng. Tiếp theo, hacker chiếm quyền điều khiển các máy tính trên mạng, tiến hành tải và cài đặt ngầm các chƣơng trình độc hại trên máy tính đó. Để làm đƣợc điều này, hacker thƣờng lừa cho ngƣời dùng click vào một link quảng cáo có chứa Trojan, worm. Kết thúc giai đoạn này, hacker sẽ có một attack- network (một mạng các máy tính ma phục vụ cho việc tấn công DDoS).

Giai đoạn xác định mục tiêu và thời điểm tấn công: Sau khi xác định đƣợc mục tiêu cần tấn công, hacker sẽ điều chỉnh attack- network chuyển hƣớng tấn công mục tiêu đó Yếu tố thời điểm sẽ quyết định mức độ thiệt hại của cuộc tấn công. Vì vậy, nó phải đƣợc hacker ấn định trƣớc. Giai đoạn phát động tấn công và xóa dấu vết: Đúng thời điểm đã định trƣớc, hacker phát động lệnh tấn công từ máy của mình. Toàn bộ attack- network (có thể lên đến hàng ngàn, hàng vạn máy) đồng loạt tấn công mục tiêu, mục tiêu sẽ nhanh chóng bị cạn kiệt băng thông và không thể tiếp tục hoạt động.

Sau một khoảng thời gian tấn công, hacker tiến hành xóa dấu vết có thể truy ngƣợc đến mình, việc này đòi hỏi trình độ cao của những hacker chuyên nghiệp. Phân loại tấn công từ chối dịch vụ phân tán: Các loại tấn công DDoS có rất nhiều biến thể, nên việc phân loại cũng có rất nhiều cách khác nhau. Tuy nhiên, giới chuyên môn thƣờng chia các kiểu tấn công DDoS thành 2 dạng chính, dựa vào mục đích của kẻ tấn công: - Tấn công DDoS làm cạn kiệt băng thông - Tấn công DDoS làm cạn kiệt tài nguyên hệ thống LUAN VAN CHAT LUONG download : add luanvanchat@agmail.2 Sơ đồ phân loại DDoS attack theo mục đích tấn công Ngoài việc phân loại nhƣ trên, có thể phân loại tấn công DDos dựa trên mô hình OSI 07 tầng. Xu hƣớng các cuộc tấn công DDos cho thấy thủ phạm thƣờng biến đổi các cuộc tấn công theo mô hình OSI.

Các cuộc tấn công đƣợc phân loại nhƣ sau: - Các cuộc tấn công IP nhằm vào băng thông – tấn công vào lớp 3 (tầng mạng). - Các cuộc tấn công TCP trên máy chủ sockets – tấn công vào lớp 4 (tầng vận chuyển). - Các cuộc tấn công HTTP trên máy chủ web – tấn công vào lớp 7 (tầng ứng dụng). - Tấn công vào ứng dụng web, đánh vào tài nguyên CPU – tấn công trên lớp 7.

Ngày nay, hệ thống phòng thủ DDos liên tục đƣợc hoàn thiện và đa dạng, nhƣng thƣờng tập trung ở tầng thấp trong mô hình OSI. Do đó các cuộc tấn công vào lớp ứng dụng (Lớp 7) đang ngày càng phổ biến. Khi phân tích một cuộc tấn công DDos nhằm vào Lớp 7, phải nghiên cứu các lớp khác. Do cuộc tấn công vào Lớp 7 luôn đƣợc ngụy trang và đi kèm với các cuộc tấn công nhằm vào lớp khác.

Về bản chất, kẻ tấn công vào Lớp 7 sẽ tạo ra một giao diện LUAN VAN CHAT LUONG download : add [e-mail] 14 cho ngƣời sử dụng nhƣ trình duyệt, các dịch vụ email, hình ảnh và những ứng dụng khác để gửi thông tin qua giao thức (SMTP, HTTP). Một cuộc tấn công DDos vào Lớp 7 thƣờng nhằm mục đích và mục tiêu cụ thể nhƣ: làm gián đoạn giao dịch, cản trở truy cập vào cơ sở dữ liệu. Kiểu tấn công này đòi hỏi nguồn lực ít hơn và đi kèm với các cuộc tấn công ở Lớp khác nhƣ lớp mạng. Một cuộc tấn công lớp ứng dụng sẽ đƣợc ngụy trang giống nhƣ những truy cập hợp pháp và nó có mục tiêu cụ thể là các ứng dụng.

Cuộc tấn công có thể làm gián đoạn các chức năng cụ thể của dịch vụ nhƣ phản hồi thông tin, tìm kiếm … Phân biệt cuộc tấn công DDos vào Lớp 7 so với các cuộc tấn công khác dựa trên một số điểm nhƣ sau: 1. Tấn công DDos vào Lớp mạng làm cho máy chủ quá tải với các yêu cầu (request) giả, trong khi tấn công Lớp 7 buộc máy chủ phải trả lời với mỗi yêu cầu thật. Trong tấn công DDos vào Lớp 7, các máy tấn công phải tạo ra nhiều hết cỡ các kết nối TCP. Nhƣ vậy, các địa chỉ IP thực tế sẽ đƣợc sử dụng để gửi yêu cầu và máy nạn nhận phải đáp ứng các truy vấn hợp lệ đó.

Vì vậy chúng có thể vƣợt qua các hệ thống phòng thủ DDos nghiêm ngặt. Tấn công DDos vào Lớp 7 có thể bao gồm các tấn công khác và lợi dụng lỗ hổng trong các phần mềm ứng dụng để tấn công, đồng thời phân tán sự chú ý vào nhiều mục tiêu để che giấu mục tiêu chính là máy chủ Web. Hay nói cách khác kiểu tấn công này tinh vi hơn, không tấn công toàn bộ mà tấn công vào đúng mục tiêu đang hƣớng tới. Khác biệt đáng chú ý nhất là các cuộc tấn công DDos vào Lớp 7 tạo ra một khối lƣợng xử lý lớn và đẩy lƣợng xử lý này xuống hạ tầng cơ sở mạng của máy chủ làm “ngập lụt” băng thông.

Các cuộc tấn công vào Lớp 7 thƣờng đặt mục tiêu vào máy chủ, nhƣng những máy chủ này đa phần đƣợc nhìn nhận là nạn nhân phía sau. Ví dụ: các cuộc tấn công nhằm vào HTTP, VoIP hoặc hệ thống tên miền DNS. Tấn công DDos nhằm vào Lớp 7 thƣờng khai thác những sai sót, hạn chế của các ứng dụng. Từ đó làm cho hệ thống tiêu thụ nhiều tài nguyên nhƣng không giải quyết đƣợc dẫn tới treo máy chủ.

Tấn công DDos nhằm Lớp 7 không mang tính phổ biến, nhƣng đa dạng và tùy thuộc vào mỗi ứng dụng. Do đó đây là một thách thức lớn trong việc chống lại các cuộc tấn công vào lớp này. LUAN VAN CHAT LUONG download : add luanvanchat@agmail. Khái niệm mạng Botnet BotNet là một mạng gồm từ hàng trăm tới hàng triệu máy tính hoàn toàn mất quyền kiểm soát.

Các máy tính này vẫn hoạt động bình thƣờng, nhƣng chúng không hề biết rằng đã bị các hacker kiểm soát và điều khiển. Các máy tính này có thể bị hacker lợi dụng để tải về các chƣơng trình quảng cáo, hay cùng đồng loạt tấn công một trang web nào đó mà ta gọi là DDoS. Hầu hết chủ của những máy tính này không hề biết rằng hệ thống của họ đang đƣợc sử dụng theo cách này. Khi đã chiếm đƣợc quyền điều khiển, hacker sẽ xâm nhập vào các hệ thống này, ấn định thời điểm và phát động tấn công từ chối dịch vụ.

Với hàng triệu các máy tính cùng tấn công vào một thời điểm, nạn nhân sẽ bị ngốn hết băng thông trong nháy mắt, dẫn tới không thể đáp ứng các yêu cầu hợp lệ và bị loại khỏi internet. Chúng ta hãy cùng xem ví dụ sau để thấy đƣợc sự nguy hiểm của mạng BotNet.