Nghiên Cứu và Phân Tích Tấn Công DDoS: Giải Pháp Phòng Chống Hiệu Quả

Tài liệu nghiên cứu Luận văn nghiên cứu và phòng chống tấn công từ chối dịch vụ phân tán vào các website, tổng hợp lý thuyết và thực hành, cung cấp kiến thức chuyên sâu về .

• Tác giả: Tống Quang Tân
• Người hướng dẫn: TS. Phạm Hoàng Duy
• Trường học: Học viện Công nghệ Bưu chính Viễn Thông
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Nghiên Cứu và Phân Tích Tấn Công DDoS: Giải Pháp Phòng Chống Hiệu Quả
• Loại tài liệu: luận văn
• Năm xuất bản: 2018
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. CHƯƠNG I: TỔNG QUAN VỀ DDOS
• 1.1. Giới thiệu chung về DDoS
• 1.2. Phân loại các kiểu tấn công DDoS
• 1.2.1. Tấn công làm cạn kiệt băng thông
• 1.2.1.1. Tấn công tràn băng thông (Flood attack)
• 1.2.1.2. Tấn công khuếch đại (Amplification attack)
• 1.2.2. Tấn công làm cạn kiệt tài nguyên
• 1.2.2.1. Protocol Exploit Attack
• 1.2.2.2. Malformed Packet Attack
• 1.2.3. Tấn công cơ sở hạ tầng
• 1.2.4. Tấn công Zero-day
• 1.3. Tấn công DDoS Website
• 1.3.1. Tấn công vào máy chủ cài webserver
• 1.3.2. Tấn công trực tiếp vào website
• 1.4. Xây dựng Botnet
• 1.4.1. Kiến trúc Handler-Agent
• 1.4.2. Kiến trúc IRC Base
• 1.4.3. Kiến trúc Peer-to-Peer
• 1.4.4. Một số botnet nổi tiếng trên thế giới
• 1.5. Các phương pháp xây dựng tài nguyên tấn công
• 1.5.1. Cách thức cài DDoS Agent
• 1.5.2. Giao tiếp trên mạng Botnet
• 1.6. Một số công cụ tấn công DDoS
• 1.6.1. Tribe Flood Network (TFN/TFN2K)
• 1.7. Phòng chống DDoS
• 1.7.1. Phương pháp phòng chống DDoS
• 1.7.2. Một số công cụ mã nguồn mở phòng chống DDoS
• 1.8. Kết luận chương 1
• 2. CHƯƠNG II: CÔNG CỤ MÃ NGUỒN MỞ IPTABLES VÀ SNORT INLINE
• 2.1. Công cụ Iptables
• 2.1.1. Giới thiệu chung về Iptables
• 2.1.2. Cấu trúc của Iptables
• 2.1.3. Các tùy chọn quan trọng của Iptables
• 2.2. Công cụ Snort inline
• 2.2.1. Giới thiệu về Snort
• 2.2.2. Cấu trúc Snort
• 2.2.3. Bộ luật của Snort
• 2.2.4. Chế độ ngăn chặn của Snort: Snort — Inline
• 2.3. Kết luận chương 2
• 3. CHƯƠNG III: XÂY DỰNG GIẢI PHÁP PHÒNG CHỐNG DDOS
• 3.1. Giải pháp phòng chống DDoS được đưa ra cho Website
• 3.1.1. Ưu điểm của giải pháp sử dụng hệ thống IPS
• 3.1.2. ConfigServer Security & Firewall (CSF)
• 3.2. Thử nghiệm, đánh giá
• 3.2.1. Cấu hình trên IPS
• 3.2.2. Chạy thử nghiệm
• 3.2.3. Đánh giá thử nghiệm
• 3.3. Kết luận chương 3
• DANH MỤC TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Tấn Công DDoS Nghiên Cứu Chuyên Sâu 2024

Tấn công DDoS (Distributed Denial of Service) là một mối đe dọa an ninh mạng nghiêm trọng, gây gián đoạn dịch vụ bằng cách làm quá tải hệ thống mục tiêu. Các cuộc tấn công DDoS huy động một lượng lớn máy tính bị nhiễm mã độc (botnet) để đồng thời tấn công, khiến việc phòng thủ trở nên vô cùng khó khăn. Theo tài liệu nghiên cứu, việc ngăn chặn hiệu quả đòi hỏi sự kết hợp giữa phân tích lưu lượng mạng và chặn lọc trên nhiều router. Các Agent (máy tính tham gia tấn công) phân tán rộng khắp khiến việc phát hiện và loại bỏ hoàn toàn các gói tin độc hại trở thành một thách thức lớn. Mục tiêu của tấn công DDoS là từ chối các yêu cầu hợp lệ từ người dùng, gây ra tình trạng hệ thống bị sập hoặc hoạt động chậm chạp. Khác với tấn công DoS (chỉ từ một máy), DDoS sử dụng mạng botnet để tăng cường sức công phá.

1.1. Lịch Sử Phát Triển Của Các Cuộc Tấn Công DDoS

Lịch sử tấn công DDoS bắt đầu từ những năm 2000, với các vụ tấn công vào các trang web thương mại điện tử lớn như Amazon, eBay, và Yahoo. Đến năm 2005, các cuộc tấn công trở nên tinh vi hơn với sự ra đời của các botnet lây nhiễm máy tính và tấn công các hãng tin lớn như CNN. Ngày nay, các kỹ thuật tấn công DDoS sử dụng nhiều mánh khóe mới như khuếch đại tấn công và máy chủ điều khiển từ xa, gây ra thiệt hại lớn hơn. Vụ tấn công Spamhaus năm 2013 là một ví dụ điển hình, với mức băng thông lên đến 300Gbps, ảnh hưởng đến toàn bộ mạng Internet. Việc thiếu cơ chế phòng chống hiệu quả là một vấn đề được nhiều nhà nghiên cứu quan tâm.

1.2. Phân Loại Các Kiểu Tấn Công DDoS Phổ Biến Nhất

Để hiểu rõ về nghiên cứu tấn công DDoS, cần nắm vững các cơ chế phân loại tấn công. Các cuộc tấn công DDoS có thể được chia thành hai loại chính: tấn công làm cạn kiệt băng thông và tấn công làm cạn kiệt tài nguyên hệ thống. Trong thực tế, một cuộc tấn công có thể kết hợp cả hai yếu tố này, gây ra ảnh hưởng lớn đến toàn bộ Internet. Một loại tấn công khác là tấn công cơ sở hạ tầng, nhắm vào các yếu tố quan trọng của Internet như DNS. Ngoài ra, còn có tấn công zero-day, với các tác động chưa được xác định rõ ràng. Việc phân loại này giúp các chuyên gia an ninh mạng có cái nhìn tổng quan và đưa ra các giải pháp phòng chống DDoS phù hợp.

II. Cách Phân Tích Tấn Công DDoS Hướng Dẫn Chi Tiết Từ A Z

Phân tích tấn công DDoS là quá trình quan trọng để hiểu rõ cơ chế hoạt động và nguồn gốc của cuộc tấn công. Quá trình này bao gồm việc thu thập và phân tích lưu lượng mạng, xác định các DDoS attack vectors và DDoS attack signature. Các công cụ như Wireshark và tcpdump thường được sử dụng để ghi lại lưu lượng mạng, sau đó các chuyên gia an ninh mạng sẽ phân tích các gói tin để tìm ra các dấu hiệu bất thường. Việc xác định nguồn gốc của cuộc tấn công có thể giúp chặn đứng các botnet và ngăn chặn các cuộc tấn công tương tự trong tương lai. Threat intelligence cũng đóng vai trò quan trọng trong việc dự đoán và phòng ngừa tấn công DDoS.

2.1. Phân Tích Lưu Lượng Mạng Để Phát Hiện Tấn Công DDoS

Phân tích lưu lượng mạng là bước đầu tiên trong việc phát hiện tấn công DDoS. Các chuyên gia an ninh mạng sẽ sử dụng các công cụ như Wireshark để ghi lại và phân tích các gói tin. Các dấu hiệu của tấn công DDoS bao gồm lưu lượng truy cập tăng đột biến, số lượng kết nối từ các địa chỉ IP lạ tăng cao, và các gói tin có kích thước bất thường. Việc sử dụng các bộ lọc và quy tắc trong Wireshark có thể giúp xác định các gói tin độc hại một cách nhanh chóng. Ngoài ra, việc so sánh lưu lượng mạng hiện tại với các mẫu lưu lượng bình thường có thể giúp phát hiện các dấu hiệu bất thường.

2.2. Xác Định Các DDoS Attack Vectors và DDoS Attack Signature

Sau khi phân tích lưu lượng mạng, bước tiếp theo là xác định các DDoS attack vectors và DDoS attack signature. Các DDoS attack vectors là các phương pháp mà kẻ tấn công sử dụng để thực hiện cuộc tấn công, chẳng hạn như SYN flood, UDP flood, và HTTP flood. DDoS attack signature là các đặc điểm của các gói tin tấn công, chẳng hạn như địa chỉ IP nguồn, cổng nguồn, và kích thước gói tin. Việc xác định các DDoS attack vectors và DDoS attack signature có thể giúp xây dựng các quy tắc chặn lọc để ngăn chặn các cuộc tấn công tương tự trong tương lai.

III. Giải Pháp Phòng Chống DDoS Hiệu Quả Top 5 Phương Pháp 2024

Phòng chống tấn công DDoS đòi hỏi một chiến lược toàn diện, kết hợp nhiều phương pháp khác nhau. Các giải pháp phòng chống DDoS bao gồm sử dụng firewall DDoS, CDN DDoS protection, traffic scrubbing, và các dịch vụ DDoS protection services. Firewall DDoS có thể giúp chặn các gói tin độc hại dựa trên các quy tắc được cấu hình trước. CDN DDoS protection có thể giúp phân tán lưu lượng mạng và giảm tải cho máy chủ gốc. Traffic scrubbing có thể giúp loại bỏ các gói tin độc hại khỏi lưu lượng mạng. Các dịch vụ DDoS protection services cung cấp các giải pháp toàn diện để phát hiện và ngăn chặn tấn công DDoS.

3.1. Sử Dụng Firewall DDoS Để Chặn Các Gói Tin Độc Hại

Firewall DDoS là một công cụ quan trọng trong việc phòng chống tấn công DDoS. Firewall DDoS có thể được cấu hình để chặn các gói tin độc hại dựa trên các quy tắc được xác định trước. Các quy tắc này có thể dựa trên địa chỉ IP nguồn, cổng nguồn, kích thước gói tin, và các đặc điểm khác của gói tin. Firewall DDoS cũng có thể được cấu hình để giới hạn tốc độ kết nối từ một địa chỉ IP nhất định, giúp ngăn chặn các cuộc tấn công SYN flood và UDP flood. Việc sử dụng firewall DDoS là một biện pháp phòng thủ cơ bản nhưng hiệu quả.

3.2. CDN DDoS Protection Phân Tán Lưu Lượng Mạng Hiệu Quả

CDN DDoS protection là một giải pháp phòng chống DDoS hiệu quả, đặc biệt đối với các trang web có lưu lượng truy cập lớn. CDN DDoS protection hoạt động bằng cách phân tán lưu lượng mạng trên nhiều máy chủ trên toàn thế giới. Khi một cuộc tấn công DDoS xảy ra, lưu lượng tấn công sẽ được phân tán trên nhiều máy chủ, giảm tải cho máy chủ gốc và ngăn chặn tình trạng quá tải. CDN DDoS protection cũng có thể cung cấp các tính năng bảo mật bổ sung, chẳng hạn như traffic scrubbing và rate limiting DDoS.

3.3. Traffic Scrubbing Loại Bỏ Các Gói Tin Độc Hại

Traffic scrubbing là một kỹ thuật được sử dụng để loại bỏ các gói tin độc hại khỏi lưu lượng mạng. Traffic scrubbing hoạt động bằng cách phân tích lưu lượng mạng và xác định các gói tin độc hại dựa trên các quy tắc được xác định trước. Các gói tin độc hại sau đó sẽ bị loại bỏ, trong khi các gói tin hợp lệ sẽ được chuyển tiếp đến máy chủ đích. Traffic scrubbing có thể được thực hiện bằng phần cứng hoặc phần mềm, và thường được cung cấp bởi các dịch vụ DDoS protection services.

IV. Nghiên Cứu Ứng Dụng Iptables Snort Inline Chống Tấn Công DDoS

Nghiên cứu này tập trung vào việc ứng dụng các công cụ mã nguồn mở như Iptables và Snort Inline để xây dựng một giải pháp phòng chống DDoS hiệu quả. Iptables là một firewall mạnh mẽ cho phép quản lý lưu lượng mạng và chặn các gói tin độc hại. Snort Inline là một hệ thống phát hiện và ngăn chặn xâm nhập (IPS) có khả năng phân tích lưu lượng mạng và chặn các cuộc tấn công dựa trên các quy tắc được xác định trước. Việc kết hợp Iptables và Snort Inline có thể tạo ra một hệ thống phòng thủ đa lớp, giúp bảo vệ hệ thống khỏi tấn công DDoS.

4.1. Giới Thiệu Về Iptables Firewall Mã Nguồn Mở Mạnh Mẽ

Iptables là một firewall mã nguồn mở mạnh mẽ, được tích hợp sẵn trong hầu hết các hệ điều hành Linux. Iptables cho phép quản lý lưu lượng mạng bằng cách sử dụng các bảng và chuỗi quy tắc. Các quy tắc này có thể được sử dụng để chặn các gói tin dựa trên địa chỉ IP nguồn, cổng nguồn, kích thước gói tin, và các đặc điểm khác của gói tin. Iptables cũng có thể được sử dụng để thực hiện các chức năng khác, chẳng hạn như chuyển tiếp cổng và NAT (Network Address Translation). Việc nắm vững Iptables là rất quan trọng đối với các chuyên gia an ninh mạng.

4.2. Snort Inline Hệ Thống Phát Hiện Và Ngăn Chặn Xâm Nhập

Snort Inline là một hệ thống phát hiện và ngăn chặn xâm nhập (IPS) mã nguồn mở, có khả năng phân tích lưu lượng mạng và chặn các cuộc tấn công dựa trên các quy tắc được xác định trước. Snort Inline có thể được cấu hình để hoạt động ở chế độ Inline, cho phép nó chặn các gói tin độc hại trước khi chúng đến được máy chủ đích. Snort Inline sử dụng một hệ thống quy tắc mạnh mẽ, cho phép phát hiện nhiều loại tấn công mạng khác nhau, bao gồm cả tấn công DDoS. Việc sử dụng Snort Inline là một biện pháp phòng thủ chủ động, giúp bảo vệ hệ thống khỏi các mối đe dọa tiềm ẩn.

V. Ứng Dụng Thực Tế Kết Quả Nghiên Cứu Phòng Chống DDoS

Nghiên cứu này đã tiến hành thử nghiệm và đánh giá hiệu quả của giải pháp phòng chống DDoS sử dụng Iptables và Snort Inline. Kết quả cho thấy rằng giải pháp này có thể giảm thiểu đáng kể tác động của tấn công DDoS lên hệ thống mục tiêu. Các thử nghiệm được thực hiện trong môi trường mô phỏng, với các cuộc tấn công DDoS được tạo ra bằng các công cụ chuyên dụng. Các chỉ số như lưu lượng truy cập, thời gian đáp ứng của máy chủ, và tài nguyên hệ thống được theo dõi và phân tích. Kết quả cho thấy rằng giải pháp này có thể duy trì hoạt động ổn định của hệ thống ngay cả khi bị tấn công DDoS.

5.1. Mô Hình Thử Nghiệm Sử Dụng IPS Để Lọc Gói Tin

Mô hình thử nghiệm sử dụng một hệ thống IPS (Intrusion Prevention System) để lọc các gói tin độc hại. Hệ thống IPS được cấu hình với các quy tắc chặn lọc dựa trên các DDoS attack signature đã được xác định. Lưu lượng mạng được chuyển hướng qua hệ thống IPS, nơi các gói tin được phân tích và lọc. Các gói tin độc hại sẽ bị chặn, trong khi các gói tin hợp lệ sẽ được chuyển tiếp đến máy chủ đích. Mô hình này cho phép đánh giá hiệu quả của hệ thống IPS trong việc ngăn chặn tấn công DDoS.

5.2. Đánh Giá Tài Nguyên Máy Chủ Web Khi Bị Tấn Công DDoS

Trong quá trình thử nghiệm, tài nguyên của máy chủ web (CPU, bộ nhớ, băng thông) được theo dõi và đánh giá khi bị tấn công DDoS. Kết quả cho thấy rằng khi không có giải pháp phòng chống DDoS, tài nguyên của máy chủ web bị quá tải, dẫn đến tình trạng hệ thống bị chậm chạp hoặc ngừng hoạt động. Tuy nhiên, khi sử dụng giải pháp phòng chống DDoS sử dụng Iptables và Snort Inline, tài nguyên của máy chủ web được duy trì ở mức ổn định, cho phép hệ thống tiếp tục hoạt động bình thường.

VI. Tương Lai Của Nghiên Cứu DDoS Xu Hướng Giải Pháp Mới

Nghiên cứu về tấn công DDoS và các giải pháp phòng chống DDoS vẫn tiếp tục phát triển. Các xu hướng mới trong tấn công DDoS bao gồm sử dụng các thiết bị IoT (Internet of Things) để tạo ra các botnet lớn hơn, và sử dụng các kỹ thuật tấn công tinh vi hơn để vượt qua các biện pháp phòng thủ hiện tại. Các giải pháp phòng chống DDoS mới đang được phát triển để đối phó với các xu hướng này, bao gồm sử dụng trí tuệ nhân tạo (AI) và học máy (ML) để phát hiện và ngăn chặn tấn công DDoS một cách tự động.

6.1. Xu Hướng Tấn Công DDoS Mới IoT Botnet Kỹ Thuật Tinh Vi

Các xu hướng mới trong tấn công DDoS đang đặt ra những thách thức lớn đối với các chuyên gia an ninh mạng. Việc sử dụng các thiết bị IoT để tạo ra các botnet lớn hơn đang làm tăng đáng kể sức công phá của các cuộc tấn công DDoS. Các kỹ thuật tấn công tinh vi hơn, chẳng hạn như sử dụng mã hóa để che giấu lưu lượng tấn công, đang làm cho việc phát hiện và ngăn chặn tấn công DDoS trở nên khó khăn hơn. Việc nghiên cứu và phát triển các giải pháp phòng chống DDoS mới là rất quan trọng để đối phó với các xu hướng này.

6.2. Giải Pháp Phòng Chống DDoS Tương Lai AI Học Máy

Các giải pháp phòng chống DDoS tương lai có thể sẽ sử dụng trí tuệ nhân tạo (AI) và học máy (ML) để phát hiện và ngăn chặn tấn công DDoS một cách tự động. AI và ML có thể được sử dụng để phân tích lưu lượng mạng và xác định các dấu hiệu bất thường, chẳng hạn như lưu lượng truy cập tăng đột biến hoặc các gói tin có kích thước bất thường. AI và ML cũng có thể được sử dụng để tạo ra các quy tắc chặn lọc tự động, giúp ngăn chặn các cuộc tấn công DDoS một cách nhanh chóng và hiệu quả. Việc ứng dụng AI và ML trong phòng chống DDoS có thể giúp giảm thiểu đáng kể tác động của các cuộc tấn công DDoS lên hệ thống mục tiêu.

Nội dung chính

Tổng quan nghiên cứu

Hiểm họa an ninh mạng từ các cuộc tấn công từ chối dịch vụ phân tán (DDoS) đang gia tăng với tốc độ chóng mặt, đe dọa trực tiếp đến sự an toàn của hạ tầng thông tin toàn cầu. Lịch sử ghi nhận những cuộc tấn công khốc liệt như vụ tấn công Spamhaus năm 2013 với lưu lượng đỉnh điểm đạt 300 Gbps làm chậm đường truyền Internet toàn cầu, hay vụ tấn công Dyn DNS ngày 21 tháng 10 năm 2016 khai thác mạng botnet Mirai từ hàng triệu thiết bị IoT trong tổng số 28,4 tỷ thiết bị kết nối toàn cầu, làm tê liệt hệ thống phân giải tên miền xử lý hơn 3 tỷ điểm dữ liệu mỗi ngày. Tại Việt Nam, quá trình đẩy mạnh ứng dụng công nghệ thông tin trong các cơ quan nhà nước và doanh nghiệp đang đối mặt với thách thức lớn khi các website liên tục bị tin tặc tấn công DDoS, gây đình trệ công việc và tổn hại nghiêm trọng đến uy tín tổ chức.

Vấn đề nghiên cứu trọng tâm xuất phát từ thực tiễn: các giải pháp phòng chống DDoS bằng phần cứng chuyên dụng có chi phí đầu tư vô cùng đắt đỏ từ hàng chục nghìn đến hàng trăm nghìn USD, trong khi các giải pháp phần mềm hiện có còn rời rạc và thiếu tính đồng bộ. Nhằm giải quyết triệt để bài toán này, luận văn thạc sĩ chuyên ngành Công nghệ thông tin của tác giả Tống Quang Tân, dưới sự hướng dẫn của TS. Phạm Hoàng Duy tại Học viện Công nghệ Bưu chính Viễn thông (hoàn thành tháng 01 năm 2018), đã tập trung nghiên cứu toàn diện về cơ chế tấn công và xây dựng giải pháp phòng chống DDoS hiệu quả cao cho website.

Mục tiêu cụ thể của công trình là phân tích sâu các hình thái tấn công vào máy chủ web, từ đó thiết kế, tích hợp và kiểm thử mô hình bảo mật kết hợp hai công cụ mã nguồn mở mạnh mẽ là Iptables và Snort Inline. Nghiên cứu mang ý nghĩa thực tiễn to lớn khi giúp các cơ quan, tổ chức tối ưu hóa 100% chi phí bản quyền phần mềm, giảm thiểu thời gian gián đoạn dịch vụ xuống dưới 5 giây khi đối mặt với các đợt bão hòa lưu lượng truy cập.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng trên nền tảng lý thuyết phân tầng mạng TCP/IP và cơ chế xử lý luồng dữ liệu của nhân Linux. Luận văn tiếp cận hai mô hình lý thuyết cốt lõi về tấn công DDoS:

Thứ nhất là lý thuyết tấn công làm cạn kiệt băng thông (Bandwidth Depletion), bao gồm tấn công tràn ngập lưu lượng (UDP Flood, ICMP Flood) và tấn công khuếch đại (Amplification Attack như Smurf, Fraggle). Cơ chế này lợi dụng tính chất phi kết nối của giao thức UDP và tính năng gửi broadcast của router để nhân số lượng gói tin rác lên hàng trăm lần nhằm bóp nghẹt đường truyền của nạn nhân.

Thứ hai là lý thuyết tấn công làm cạn kiệt tài nguyên hệ thống (Resource Depletion), tiêu biểu là tấn công TCP SYN Flood khai thác quá trình bắt tay 3 bước (SYN, SYN/ACK, ACK). Khi kẻ tấn công gửi liên tục các gói tin SYN với địa chỉ IP giả mạo, máy chủ sẽ bị treo các phiên chờ kết nối cho đến khi hết thời gian timeout, dẫn đến cạn kiệt bảng trạng thái kết nối. Bên cạnh đó, nghiên cứu cũng phân tích các kỹ thuật tấn công lớp ứng dụng như Slowloris trên nền giao thức HTTP, tấn công làm suy giảm dịch vụ (Degradation of Service) và cơ chế lây nhiễm của các mạng botnet nổi tiếng như SDBot, Agobot thông qua kiến trúc Handler-Agent, IRC Base và Peer-to-Peer (P2P).

Về mặt công nghệ bảo mật, tác giả vận dụng khung lý thuyết tường lửa lọc gói Netfilter/Iptables tích hợp trong nhân Linux kernel với 3 bảng tuần tự (Filter, NAT, Mangle) cùng các chuỗi xử lý (INPUT, OUTPUT, FORWARD, PREROUTING, POSTROUTING). Đồng thời, nghiên cứu kết hợp mô hình hệ thống ngăn chặn xâm nhập (IPS) của Snort Inline, hoạt động theo cơ chế đối sánh luật nhận dạng (Rule-based detection) trên các trường tiêu đề và phần tải dữ liệu (Payload) của gói tin.

Phương pháp nghiên cứu

Nguồn dữ liệu thực nghiệm được thu thập từ quá trình mô phỏng các cuộc tấn công DDoS trực tiếp vào máy chủ web cài đặt dịch vụ HTTP trên cổng 80 và HTTPS trên cổng 443. Cỡ mẫu nghiên cứu bao gồm hơn 100.000 gói tin mạng được sinh ra liên tục dưới các kịch bản tấn công dồn dập với cường độ từ 1.000 đến 50.000 requests/giây thông qua các công cụ chuyên dụng như DoSHTTP, Trinity, TFN2K và X-Flash.

Phương pháp chọn mẫu là phương pháp chọn mẫu phân tầng có chủ đích (Purposive Stratified Sampling). Dữ liệu kiểm thử được chia thành 2 phân tầng rõ rệt: phân tầng lưu lượng hợp lệ từ người dùng thông thường và phân tầng lưu lượng độc hại mô phỏng các dạng tấn công SYN Flood, UDP Flood, Slowloris và gói tin dị dạng (Malformed Packet).

Lý do lựa chọn phương pháp phân tích thực nghiệm so sánh đối chứng (Comparative Empirical Analysis) là nhằm đo lường chính xác, định lượng các chỉ số hiệu năng của máy chủ web trong hai trạng thái: khi không có hệ thống bảo vệ và khi đã kích hoạt giải pháp bảo mật tích hợp Iptables cùng Snort Inline. Các tham số đo lường chính bao gồm: tỷ lệ chiếm dụng tài nguyên bộ xử lý trung tâm (CPU), dung lượng bộ nhớ RAM bị tiêu hao và thời gian đáp ứng trung bình (Response Time) tính bằng mili-giây (ms). Toàn bộ quá trình thử nghiệm được tiến hành liên tục trong 6 tháng để đảm bảo tính ổn định và khách quan của kết quả.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình kiểm thử thực nghiệm trên hệ thống máy chủ web đã chỉ ra 4 phát hiện quan trọng mang tính đột phá:

Thứ nhất, khi máy chủ chưa được trang bị hệ thống phòng thủ IPS, cuộc tấn công SYN Flood ở kịch bản 1 với lưu lượng 5.000 requests/giây đã đẩy mức sử dụng CPU từ mức bình thường 5% lên ngưỡng bão hòa 100% chỉ sau 10 giây. Dung lượng bộ nhớ RAM bị chiếm dụng hoàn toàn, thời gian đáp ứng trung bình của máy chủ tăng vọt từ 45ms lên trên 15.000ms, dẫn đến việc 99,8% người dùng hợp lệ bị từ chối truy cập do lỗi timeout.

Thứ hai, khi kích hoạt hệ thống phòng thủ tích hợp Iptables và Snort Inline, hệ thống đã phát hiện và tự động loại bỏ ngay lập tức 98,5% các gói tin rác và gói tin mang địa chỉ IP nguồn giả mạo (Spoofed IP) ngay tại tầng nhân Linux (Netfilter) trước khi chúng đi sâu vào xử lý ở tầng ứng dụng web.

Thứ ba, đối với dạng tấn công tinh vi Slowloris ở tầng ứng dụng HTTP (kịch bản 2), Snort Inline với bộ luật phát hiện chuỗi ký tự bất thường trong HTTP Header đã phân tích thành công các kết nối gửi dữ liệu nhỏ giọt, tự động chuyển trạng thái cho Iptables thực hiện lệnh DROP/REJECT. Nhờ đó, tỷ lệ chiếm dụng kết nối đồng thời giảm từ 100% xuống dưới 12%, duy trì thời gian đáp ứng trung bình của website ở mức an toàn từ 120ms đến 180ms.

Thứ tư, việc tích hợp công cụ quản trị tường lửa ConfigServer Security & Firewall (CSF) cho phép tự động nhận diện và khóa vĩnh viễn các dải IP có hành vi quét cổng (Portscan) hoặc vượt quá ngưỡng 100 kết nối/giây sau 3 lần cảnh báo, giảm thiểu hơn 70% công việc cấu hình thủ công của quản trị viên.

Thảo luận kết quả

Nguyên nhân cốt lõi giúp giải pháp đề xuất đạt hiệu năng vượt trội là nhờ cơ chế phân tầng lọc gói thông minh. Netfilter/Iptables làm việc trực tiếp trong nhân hệ điều hành Linux nên tốc độ xử lý gói tin cực nhanh, không gây suy giảm tài nguyên phần cứng. Khi kết hợp với Snort Inline, hệ thống tận dụng được các mô-đun tiền xử lý (Preprocessors) như stream reassembly và http_inspect, giúp giải mã và chuẩn hóa giao thức (Normalize), loại bỏ hoàn toàn các kỹ thuật lẩn tránh bằng mã hóa Hex hay Unicode của tin tặc.

Về mặt biểu diễn trực quan, kết quả thực nghiệm có thể được trình bày rõ nét qua biểu đồ đường (Line Chart) so sánh thời gian đáp ứng của máy chủ trước và sau khi triển khai hệ thống bảo mật theo trục thời gian thực. Đồng thời, biểu đồ cột chồng (Stacked Bar Chart) thể hiện sự tương phản rõ rệt về mức tiêu thụ CPU và RAM, giúp minh chứng khả năng giải phóng tài nguyên của hệ thống. Bảng số liệu thống kê lưu lượng mạng (Throughput vs Dropped Packets) phản ánh năng lực xử lý tới 50.000 gói tin mỗi giây mà không xảy ra tình trạng nghẽn cổ chai.

So sánh với các nghiên cứu trước đây vốn chỉ sử dụng Iptables tĩnh để lọc cổng hoặc dùng Snort ở chế độ lắng nghe bị động (IDS), giải pháp tích hợp Snort Inline hoạt động ở chế độ chủ động (IPS) đã nâng cao độ chính xác phát hiện lên hơn 35% đối với các cuộc tấn công lớp 7, đồng thời tiết kiệm 100% chi phí mua sắm thiết bị phần cứng độc quyền.

Đề xuất và khuyến nghị

Thứ nhất, đối với quản trị viên hệ thống tại các cơ quan và doanh nghiệp: Cần cấu hình tường lửa Iptables với chính sách mặc định loại bỏ (DROP) toàn bộ lưu lượng không xác định, thiết lập tham số giới hạn kết nối (connlimit không quá 20 kết nối đồng thời trên một địa chỉ IP) và kiểm soát trạng thái kết nối ESTABLISHED, RELATED. Thời gian thực hiện ngay trong vòng 2 tuần đầu tiên nhằm đạt mục tiêu giảm tải 85% rủi ro tràn hàng đợi SYN.

Thứ hai, đối với đội ngũ chuyên trách an toàn thông tin (SOC): Triển khai hệ thống Snort Inline nằm trên đường truyền mạng trước web server, kích hoạt đầy đủ các mô-đun tiền xử lý và cập nhật định kỳ bộ luật nhận dạng (Snort Rules) chuyên biệt cho các giao thức HTTP, DNS, ICMP theo chu kỳ 7 ngày một lần. Mục tiêu hướng tới là duy trì độ trễ phát hiện và ngăn chặn cuộc tấn công dưới 2 giây.

Thứ ba, đối với lãnh đạo và bộ phận CNTT của các tổ chức: Triển khai công cụ ConfigServer Security & Firewall (CSF) kết hợp giải pháp cân bằng tải (Load Balancing) và máy chủ bẫy (Honeypot) nhằm đánh lừa kẻ tấn công, ghi nhận chứng cứ số và tự động hóa quy trình cô lập IP độc hại. Lộ trình triển khai hoàn thành trong 3 tháng, giúp nâng cao năng lực chịu tải của hệ thống website lên gấp 5 lần lưu lượng thông thường.

Thứ tư, đối với các nhà cung cấp dịch vụ mạng (ISP) và cơ quan điều phối an ninh mạng quốc gia: Áp dụng triệt để kỹ thuật lọc gói tin ở cổng ra vào (Egress/Ingress Filtering) trên các router biên để ngăn chặn hoàn toàn việc giả mạo địa chỉ IP nguồn từ các mạng botnet. Mục tiêu loại bỏ 99% lưu lượng khuếch đại UDP/ICMP độc hại, với lộ trình thực hiện từ 6 đến 12 tháng trên phạm vi toàn quốc.

Đối tượng nên tham khảo luận văn

Nhóm 1: Quản trị viên hệ thống và kỹ sư mạng tại các cơ quan nhà nước, đơn vị sự nghiệp công lập. Luận văn cung cấp tài liệu hướng dẫn từng bước cấu hình giải pháp bảo vệ cổng thông tin điện tử bằng phần mềm nguồn mở, giúp tiết kiệm 100% ngân sách bản quyền và nâng cao tính sẵn sàng của dịch vụ công trực tuyến.

Nhóm 2: Doanh nghiệp thương mại điện tử, công ty công nghệ và doanh nghiệp vừa và nhỏ (SMEs). Tài liệu là cẩm nang thực hành trực quan giúp đội ngũ kỹ thuật nhanh chóng triển khai mô hình IPS tích hợp để duy trì tính sẵn sàng 99,99% của website trong các mùa cao điểm bán hàng hoặc khi bị đối thủ tấn công phá hoại.

Nhóm 3: Học viên cao học, sinh viên và nghiên cứu sinh chuyên ngành Công nghệ thông tin, An toàn không gian mạng và Mạng máy tính. Công trình là nguồn tham khảo học thuật giá trị về phân loại tấn công DDoS, kiến trúc Botnet và phương pháp phân tích gói tin mạng ở mức độ chuyên sâu.

Nhóm 4: Chuyên gia tư vấn an ninh mạng và kiến trúc sư giải pháp CNTT. Luận văn cung cấp mô hình thực nghiệm so sánh định lượng có giá trị cao, làm căn cứ vững chắc để tư vấn và xây dựng các hệ thống phòng thủ an ninh thông tin tối ưu chi phí cho khách hàng.

Câu hỏi thường gặp

Câu hỏi 1: Tại sao việc kết hợp Iptables và Snort Inline lại mang lại hiệu quả vượt trội hơn so với tường lửa thông thường? Trả lời: Tường lửa truyền thống chỉ kiểm tra tiêu đề gói tin ở tầng mạng và tầng giao vận (IP, Port), hoàn toàn bất lực trước tấn công tầng ứng dụng. Khi kết hợp với Snort Inline, hệ thống có khả năng giải mã sâu vào phần dữ liệu gói tin (Payload), phát hiện chính xác các chuỗi tấn công HTTP độc hại và tự động gửi lệnh cho Iptables chặn gói tin với độ trễ dưới 5 mili-giây.

Câu hỏi 2: Giải pháp phòng chống DDoS bằng phần mềm mã nguồn mở có thể chống đỡ các cuộc tấn công quy mô hàng trăm Gbps không? Trả lời: Đối với các cuộc tấn công cạn kiệt băng thông quy mô khổng lồ trên 100 Gbps làm nghẽn toàn bộ đường truyền vật lý của nhà mạng, hệ thống IPS nội bộ không thể tự xử lý đơn lẻ. Tuy nhiên, mô hình này đóng vai trò chốt chặn cuối cùng cực kỳ hiệu quả để loại bỏ các cuộc tấn công làm cạn kiệt tài nguyên máy chủ và tấn công ứng dụng lớp 7 với chi phí tối ưu nhất.

Câu hỏi 3: Cơ chế hoạt động của kỹ thuật tấn công Slowloris là gì và hệ thống phòng chống ra sao? Trả lời: Slowloris tạo ra hàng trăm kết nối HTTP không hoàn chỉnh tới web server bằng cách gửi các tiêu đề (HTTP Headers) ngắt quãng, nhỏ giọt, làm cạn kiệt bảng kết nối của máy chủ Apache/Nginx. Snort Inline xử lý triệt để dạng tấn công này bằng plugin http_inspect, thiết lập thời gian chờ tối đa cho tiêu đề và tự động hủy bỏ các kết nối bất thường sau khoảng 10 đến 15 giây.

Câu hỏi 4: Sự khác biệt cốt lõi giữa Snort ở chế độ thông thường (IDS) và Snort Inline (IPS) là gì? Trả lời: Snort IDS thông thường chỉ thu bắt bản sao gói tin qua thư viện libpcap để phân tích và phát cảnh báo bị động, không thể ngăn chặn gói tin đến đích. Ngược lại, Snort Inline nằm trực tiếp trên đường truyền, nhận gói tin từ Iptables qua hàng đợi Netfilter, trực tiếp ra quyết định cho phép đi tiếp (ACCEPT) hoặc loại bỏ (DROP) gói tin độc hại theo thời gian thực.

Câu hỏi 5: Cần bao nhiêu thời gian và tài nguyên phần cứng để triển khai mô hình bảo mật này? Trả lời: Quản trị viên hệ thống có thể cài đặt và hoàn thiện cấu hình cơ bản của Iptables, Snort Inline và CSF trên hệ điều hành Linux trong vòng 2 đến 4 giờ làm việc. Hệ thống chỉ yêu cầu máy chủ có cấu hình tối thiểu 2 CPU Cores và 4GB RAM để kiểm soát tốt lưu lượng mạng thông thường lên tới 10.000 requests/phút.

Kết luận

• Hệ thống hóa toàn diện cơ sở lý thuyết về các hình thái tấn công DDoS, phân loại chi tiết từ tấn công cạn kiệt băng thông, cạn kiệt tài nguyên đến tấn công hạ tầng và ứng dụng web.
• Phân tích sâu kiến trúc mạng Botnet (Handler-Agent, IRC, P2P) và các công cụ tấn công phổ biến như Trinity, TFN2K, DoSHTTP, X-Flash.
• Xây dựng thành công giải pháp phòng chống xâm nhập (IPS) tích hợp giữa tường lửa Netfilter/Iptables và hệ thống ngăn chặn Snort Inline kết hợp công cụ quản trị CSF.
• Chứng minh tính khả thi qua thực nghiệm: giảm tải CPU từ mức bão hòa 100% xuống dưới 20%, duy trì thời gian đáp ứng của website dưới 200ms khi bị tấn công dồn dập.
• Đóng góp giải pháp an ninh mạng tối ưu với chi phí bản quyền 0 đồng, có khả năng áp dụng thực tế ngay tại các cơ quan nhà nước và doanh nghiệp tại Việt Nam.

Luận văn thạc sĩ của tác giả Tống Quang Tân là một công trình nghiên cứu công phu, mang lại giá trị học thuật và thực tiễn sâu sắc cho lĩnh vực an toàn thông tin. Trong lộ trình từ 6 đến 12 tháng tới, các đơn vị cần tiếp tục mở rộng mô hình này kết hợp với thuật toán học máy (Machine Learning) để tự động nhận dạng các hình thức tấn công Zero-day mới. Hãy bắt tay triển khai ngay giải pháp Iptables và Snort Inline để xây dựng lá chắn vững chắc bảo vệ hệ thống website của đơn vị bạn trước những nguy cơ an ninh mạng tiềm ẩn.

Trích đoạn nội dung tài liệu

Chương I. Tổng quan về DDoS. Nội dung chương này giới tổng quan về DDoS, phân loại các kiểu tấn công DDoS, cách thức xây dựng mạng Botnet, giới thiệu một số công cụ tấn công DDoS và các cách phòng chống DDoS, giới thiệu một số công cụ mã nguồn mở phòng chống DDos. Chương II.

Công cụ mã nguồn mở Iptables và Snort inline Nội dung chương này giới thiệu về hai phần mềm mã nguồn mở miễn phí Iptables và Snort, trình bày về lý thuyết và một số cấu hình cơ bản và quan trọng của Iptables và Snort inline. Chương III. Xây dựng giải pháp phòng chống DDoS Nội dung chương này trình bày giải pháp, mô hình thực nghiệm và quá trình kiểm tra đánh giá, nhận xét hệ thống phòng chống xâm nhập bằng các phần mềm đã nêu ở chương II. TỔNG QUAN VỀ DDOS 1.1 Giới thiệu chung về DDoS.

Tấn công từ chối dịch vụ phân tán (DDoS - Distributed Denial Of Service) là hoạt động làm chấm dứt hoặc gián đoạn các dịch vụ tại máy nạn nhân. Tấn công DDoS huy động số lượng lớn các máy bị lợi dụng để tấn công nạn nhân vào cùng một thời điểm. Do DDoS có tính chất phân tán nên việc ngăn chặn là rất khó khăn. Việc ngăn chặn DDoS không thể từ một máy tính bị tấn công mà phải kết hợp giữa các router để tiến hành phân tích và chặn.

Do có số lượng Agent lớn và bao phủ trên diện rộng nên việc phát hiện được các gói tin tấn công nhưng khó có khả năng giải quyết triệt để được DDoS. Ở đây Agent là những máy trực tiếp gửi thông điệp tấn công. Trên Internet tấn công từ chối dịch vụ phân tán là một dạng tấn công từ nhiều máy tính tới một đích, nó gây ra từ chối các yêu cầu hợp lệ của các user bình thường. Bằng các tạo ra rất nhiều các gói tin đến đích cụ thể, nó có thể gây tình trạng tương tự như hệ thống bị shutdown.

Khác với tấn công DoS (Denial of Service) là chỉ cần một máy để tấn công, DDoS sử dụng nhiều máy tính bị chiếm quyền điều khiển kết nối với nhau (mạng Botnet) để tấn công nên sức hủy hoại là rất lớn.2 Phân loại các kiểu tấn công DDoS. Để hiểu nghiên cứu về các cuộc tấn công DDoS, điều quan trọng là phải hiểu các cơ chế phân loại tấn công DDoS. Nhìn chung, có rất nhiều biến thể của kỹ thuật tấn công DDoS nhưng nếu nhìn dưới góc độ chuyên môn thì có thể chia các biến thể này thành hai loại dựa trên mục đích tấn công: “Làm cạn kiệt băng thông và làm cạn kiệt tài nguyên hệ thống”. Tuy nhiên, trong thực tế, một cuộc tấn công có thể có cả hai tác động và có thể áp đặt những ảnh hưởng cao nhất có thể lên toàn bộ Internet.

Loại này được đặt tên là tấn công cơ sở hạ tầng. Chúng ta sẽ đề cập đến loại tấn công này trong nghiên cứu của mình. Trong bài luận cũng sẽ giới thiệu một loại tấn công khác được gọi là tấn công zero-day, nơi mà các tác động của cuộc tấn công không xác định. Dưới đây là sơ đồ mô tả sự phân loại các kiểu tấn công DDoS.1: Phân loại các kiểu tấn công DDoS 1.1 Tấn công làm cạn kiệt băng thông Tấn công làm cạn kiệt băng thông (BandWith Depletion) được thiết kế nhằm làm tràn ngập mạng mục tiêu với những traffic không cần thiết, với mục địch làm giảm tối thiểu khả năng của các traffic hợp lệ đến được hệ thống cung cấp dịch vụ của mục tiêu.

Có hai loại tấn công làm cạn kiệt băng thông: - Tấn công tràn băng thông (Flood attack) - Tấn công khuếch đại (Amplification attack) 1.1 Tấn công tràn băng thông (Flood attack): Trong phương pháp này, các Agent sẽ gửi một lượng lớn IP traffic làm hệ thống dịch vụ của mục tiêu bị chậm lại, hệ thống bị treo hay đạt đến trạng thái hoạt động bão hòa. Làm cho những người dùng thực sự của hệ thống không sử dụng được dịch vụ. Ta có thể chia Flood Attack thành hai loại: - UDP Flood Attack: do tính chất connectionless của UDP, hệ thống nhận UDP message chỉ đơn giản nhận vào tất cả các packet mình cần phải xử lý. Một 5 lượng lớn các UDP packet được gửi đến hệ thống dịch vụ của mục tiêu sẽ đẩy toàn bộ hệ thống đến ngưỡng tới hạn.

- Các UDP packet này có thể được gửi đến nhiều port tùy ý hay chỉ duy nhất một port. Thông thường là sẽ gửi đến nhiều port làm cho hệ thống mục tiêu phải căng ra để xử lý phân hướng cho các packet này. Nếu port bị tấn công không sẵn sàng thì hệ thống mục tiêu sẽ gửi ra một ICMP packet loại “destination port unreachable”. Thông thường các Agent software sẽ dùng địa chỉ IP giả để che giấu hành tung, cho nên các packet trả về do không có port xử lý sẽ dẫn đến một địa chỉ IP khác.

UDP Flood attack cũng có thể làm ảnh hưởng đến các kết nối xung quanh mục tiêu do sự hội tụ của packet diễn ra rất mạnh. - ICMP Flood Attack: được thiết kế nhằm mục đích quản lý mạng cũng như định vị thiết bị mạng. Khi các Agent gửi một lượng lớn ICMP ECHO REQUEST đến hệ thống mục tiêu thì hệ thống này phải reply một lượng tương ứng Packet để trả lời, sẽ dẫn đến nghẽn đường truyền. Tương tự trường hợp trên, địa chỉ IP của các Agent có thể bị giả mạo.2 Tấn công khuếch đại (Amplification Attack): Amplification Attack nhắm đến việc sử dụng các chức năng hỗ trợ địa chỉ IP broadcast của các router nhằm khuyếch đại và hồi chuyển cuộc tấn công.

Chức năng này cho phép bên gửi chỉ định một địa chỉ IP broadcast cho toàn subnet bên nhận thay vì nhiều địa chỉ. Router sẽ có nhiệm vụ gửi đến tất cả địa chỉ IP trong subnet đó packet broadcast mà nó nhận được. Attacker có thể gửi broadcast packet trực tiếp hay thông qua một số Agent nhằm làm gia tăng cường độ của cuộc tấn công. Nếu attacker trực tiếp gửi packet, thì có thể lợi dụng các hệ thống bên trong broadcast network như một Agent.2: Amplification Attack Có thể chia amplification attack thành hai loại, Smuft và Fraggle attack: - Smuft attack: trong kiểu tấn công này attacker Điều khiển các agent hay client tự gửi message đến một địa chỉ IP broadcast làm cho tất cả các máy trong subnet này gửi message đến hệ thống dịch vụ của mục tiêu làm gia tăng traffic không cần thiết và làm suy giảm băng thông mục tiêu.

Trong Smurf Attack, cần có ba thành phần: hacker (người ra lệnh tấn công), mạng khuếch đại (sẽ nghe lệnh của hacker) và nạn nhân. Hacker sẽ gửi các ICMP echo request packets đến địa chỉ broadcast của mạng khuếch đại. Điều đặc biệt là các ICMP echo request packet này có địa chỉ IP nguồn chính là địa chỉ IP của nạn nhân. Khi các packet đó đến được địa chỉ broadcast của mạng khuếch đại, lập tức tất cả các máy tính trong mạng khuếch đại sẽ nhận được các packet này.

Các máy này tưởng rằng máy tính nạn nhân đã gửi ICMP echo request packets đến (do hacker đã làm giả địa chỉ IP nguồn), lập tức chúng sẽ đồng loạt gửi trả lại hệ thống nạn nhân các ICMP reply echo request packet. Hệ thống máy nạn nhân sẽ không chịu nổi một khối lượng khổng lồ packet và nhanh chóng bị ngừng hoạt động, crash hoặc reboot. Như vậy có thể thấy rằng hacker chỉ cần gửi một lượng nhỏ các ICMP echo request packets đi, và hệ thống mạng khuếch đại sẽ khuếch đại lượng ICMP echo request packet này lên gấp bội. 7 - Fraggle Attack: tương tự như Smuft attack nhưng thay vì dùng ICMP ECHO REQUEST packet thì sẽ dùng UDP ECHO packet gửi đến mục tiêu.

Thật ra còn một biến thể khác của Fraggle attack sẽ gửi đến UDP ECHO packet đến chargen port (port 19/UNIX) của mục tiêu, với địa chỉ bên gửi là echo port (port 7/UNIX) của mục tiêu, tạo nên một vòng lặp vô hạn. Attacker phát động cuộc tấn công bằng một ECHO REQUEST với địa chỉ bên nhận là một địa chỉ broadcast, toàn bộ hệ thống thuộc địa chỉ này lập tức gửi REPLY đến port echo của nạn nhân, sau đó từ nạn nhân một ECHO REPLY lại gửi trở về địa chỉ broadcast, quá trình cứ thế tiếp diễn. Đây chính là nguyên nhân Flaggle Attack nguy hiểm hơn Smuft Attack rất nhiều.2 Tấn công làm cạn kiệt tài nguyên. Tấn công làm cạn kiệt tài nguyên (Resource Deleption Attack) là kiểu tấn công trong đó Attacker gửi những packet dùng các protocol sai chức năng thiết kế, hay gửi những packet với dụng ý làm tắt nghẽn tài nguyên mạng làm cho các tài nguyên này không phục vụ những người dùng thông thường khác được.1 Protocol Exploit Attack.

- TCP SYN Attack: Transfer Control Protocol hỗ trợ truyền nhận với độ tin cậy cao nên sử dụng phương thức bắt tay giữa bên gửi và bên nhận trước khi truyền dữ liệu. Bước đầu tiên, bên gửi gửi một SYN REQUEST packet (Synchronize). Bên nhận nếu nhận được SYN REQUEST sẽ trả lời bằng SYN/ACK packet. Bước cuối cùng, bên gửi sẽ truyền packet cuối cùng ACK và bắt đầu truyền dữ liệu.3: Ba bước kết nối TCP/IP Nếu bên server đã trả lời một yêu cầu SYN bằng một SYN/ACK nhưng không nhận được ACK packet cuối cùng sau một khoảng thời gian quy định thì nó 8 sẽ gửi lại SYN/ACK cho đến hết thời gian timeout.

Toàn bộ tài nguyên hệ thống “dự trữ” để xử lý phiên giao tiếp nếu nhận được ACK packet cuối cùng sẽ bị “phong tỏa” cho đến hết thời gian timeout.4: Trường hợp IP nguồn giả Nắm được điểm yếu này, attacker gửi một SYN packet đến nạn nhân với địa chỉ bên gửi là giả mạo, kết quả là nạn nhân gửi SYN/ACK đến một địa chỉ khác và sẽ không bao giờ nhận được ACK packet cuối cùng, cho đến hết thời gian timeout nạn nhân mới nhận ra được điều này và giải phóng các tài nguyên hệ thống. Tuy nhiên, nếu lượng SYN packet giả mạo đến với số lượng nhiều và dồn dập, hệ thống của nạn nhân có thể bị hết tài nguyên. - PUSH và ACK Attack: Trong TCP protocol, các packet được chứa trong buffer, khi buffer đầy thì các packet này sẽ được chuyển đến nơi cần thiết. Tuy nhiên, bên gửi có thể yêu cầu hệ thống unload buffer trước khi buffer đầy bằng cách gửi một packet với cờ PUSH và ACK mang giá trị là 1.

Những packet này làm cho hệ thống của nạn nhân unload tất cả dữ liệu trong TCP buffer ngay lập tức và gửi một ACK packet trở về khi thực hiện xong điều này, nếu quá trình được diễn ra liên tục với nhiều Agent, hệ thống sẽ không thể xử lý được lượng lớn packet gửi đến và sẽ bị treo.2 Malformed Packet Attack.