Nghiên cứu các hình thức tấn công mạng DDoS và phương pháp phòng chống

Tài liệu nghiên cứu Nghiên cứu giải pháp phòng chống tấn công ddos, tổng hợp lý thuyết và thực hành, cung cấp kiến thức chuyên sâu về .

• Tác giả: Nguyễn Thị Lệ Thủy
• Người hướng dẫn: Tiến Sỹ Nguyễn Tài Hưng
• Trường học: Trường Đại Học Bách Khoa Hà Nội
• Chuyên ngành: Kỹ thuật viễn thông
• Đề tài: Nghiên Cứu Các Hình Thức Tấn Công Mạng DDoS Và Phương Pháp Phòng Chống
• Loại tài liệu: Luận Văn Thạc Sĩ Kỹ Thuật
• Năm xuất bản: 2016
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CẢM ƠN
• LỜI CAM ĐOAN
• DANH MỤC CÁC TỪ VIẾT TẮT
• DANH MỤC CÁC HÌNH VẼ, ĐỒ THỊ
• PHẦN MỞ ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ TẤN CÔNG DoS VÀ DDoS
• 1.1. Định nghĩa tấn công DoS
• 1.2. Mục đích của tấn công và hiểm họa
• 1.3. Các mục đích của tấn công DoS
• 1.4. Mục tiêu mà kẻ tấn công thường sử dụng tấn công DoS
• 1.5. Các hình thức tấn công DoS cơ bản
• 1.5.1. Tấn công Smurf
• 1.5.2. Tấn công Ping of Death
• 1.5.3. Tấn công Teardrop
• 1.5.4. Tấn công SYN
• 1.6. Các công cụ tấn công DoS
• 1.6.1. Tools DoS: Jolt2
• 1.6.2. Tools DoS: Bubonic
• 1.6.3. Tools DoS: Land and LaTierra
• 1.6.4. Tools DoS: Targa
• 1.6.5. Tools DoS: Blast
• 1.6.6. Tools DoS: Nemesys
• 1.6.7. Tool DoS: Panther2
• 1.6.8. Tool DoS: Crazy Pinger
• 1.6.9. Tool DoS: Some Trouble
• 1.6.10. Tools DoS: UDP Flooder
• 1.6.11. Tools DoS – FSMAX
• 1.7. Định nghĩa tấn công DDoS
• 1.8. Các đặc tính của tấn công DDoS
• 1.9. Tấn công DDoS không thể ngăn chặn hoàn toàn
• 1.10. Kiến trúc tổng quan của DDoS attack-network
• 1.11. Mô hình Agent – Handler
• 1.12. Mô hình IRC – Based
• 1.13. Phân loại tấn công DDoS
• 1.14. Những kiểu tấn công làm cạn kiệt băng thông của mạng (BandWith Depletion Attack)
• 1.15. Kiểu tấn công làm cạn kiệt tài nguyên
• 1.16. Kết luận chương I
• 2. CHƯƠNG II: CÁC PHƯƠNG THỨC TẤN CÔNG VÀ PHÒNG CHỐNG DDOS
• 2.1. Ý nghĩa của mạng BOT
• 2.2. Mục đích sử dụng mạng BOTNETs
• 2.3. Các dạng của mạng BOTNET
• 2.4. Các bước xây dựng mạng BotNet
• 2.4.1. Bước 1: Cách lây nhiễm vào máy tính
• 2.4.2. Bước 2: Cách lây lan và xây dựng tạo mạng BOTNET
• 2.4.3. Bước 3: Kết nối vào IRC
• 2.4.4. Bước 4: Điều khiển tấn công từ mạng BotNet
• 2.5. Sơ đồ cách hệ thống bị lây nhiễm và sử dụng Agobot
• 2.6. Các phương pháp xây dựng tài nguyên tấn công
• 2.6.1. Cách thức cài đặt DDoS Agent
• 2.6.2. Giao tiếp trên mạng Botnet
• 2.7. Các chức năng của công cụ DDoS
• 2.8. Một số kiểu tấn công DDoS và các công cụ tấn công DDoS
• 2.8.1. Một số kiểu tấn công DDoS
• 2.8.2. Một số công cụ tấn công DDoS
• 2.9. Phòng chống giảm thiểu tấn công DDoS
• 2.9.1. Phòng chống giảm thiểu tấn công DDoS
• 2.9.2. Những vấn đề có liên quan
• 2.10. Hệ thống phát hiện và giảm thiểu DDos hiện nay
• 2.11. Các yêu cầu đối với một hệ thống phát hiện DDos
• 2.12. Phân tích phát hiện các cuộc tấn công DDos
• 2.12.1. Một số thuật toán phát hiện DDos
• 2.13. Hệ thống phát hiện giảm thiểu DDoS tự động
• 2.14. Cơ chế kiểm tra địa chỉ nguồn
• 2.15. Kỹ thuật phát hiện giảm thiểu theo thuật toán CUSUM
• 2.16. Kết luận chương II
• 3. CHƯƠNG III: DEMO TẤN CÔNG DDoS
• 3.1. Kịch bản Demo tấn công DDoS
• 3.2. Hướng dẫn tạo cuộc tấn công DDoS
• 3.2.1. Cài đặt Clone máy trạm
• 3.2.2. Khởi động máy chủ Webserver và thiết lập cấu hình
• 3.2.3. Khởi động máy chủ Botnet
• 3.2.4. Khởi động máy chủ C&C Server và thực hiện tấn công
• KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về Nghiên cứu và Phòng chống Tấn công DDoS trong Mạng

Tấn công DDoS (Distributed Denial of Service) là một trong những mối đe dọa lớn nhất đối với an ninh mạng hiện nay. Những cuộc tấn công này không chỉ gây thiệt hại về tài chính mà còn ảnh hưởng đến uy tín của các tổ chức. Việc nghiên cứu và phát triển các phương pháp phòng chống tấn công DDoS là rất cần thiết để bảo vệ hệ thống mạng.

1.1. Định nghĩa và đặc điểm của tấn công DDoS

Tấn công DDoS là hành động làm cho dịch vụ không khả dụng bằng cách làm quá tải hệ thống. Đặc điểm chính của tấn công này là sử dụng nhiều máy tính để gửi yêu cầu đến một máy chủ, khiến máy chủ không thể xử lý các yêu cầu hợp lệ.

1.2. Tầm quan trọng của việc nghiên cứu tấn công DDoS

Nghiên cứu tấn công DDoS giúp các tổ chức hiểu rõ hơn về các phương thức tấn công và từ đó phát triển các giải pháp phòng chống hiệu quả. Điều này không chỉ bảo vệ tài sản mà còn duy trì sự tin tưởng của khách hàng.

II. Các thách thức trong việc phòng chống tấn công DDoS

Phòng chống tấn công DDoS gặp nhiều thách thức do tính chất phức tạp và đa dạng của các phương thức tấn công. Các tổ chức cần phải đối mặt với việc xác định và phân loại các kiểu tấn công khác nhau để có thể áp dụng biện pháp phòng ngừa hiệu quả.

2.1. Đặc điểm của các kiểu tấn công DDoS

Các kiểu tấn công DDoS có thể bao gồm tấn công Flood, tấn công SYN Flood, và tấn công UDP Flood. Mỗi kiểu tấn công có cách thức hoạt động và mục tiêu khác nhau, đòi hỏi các biện pháp phòng chống riêng biệt.

2.2. Khó khăn trong việc phát hiện và ngăn chặn tấn công

Việc phát hiện sớm các cuộc tấn công DDoS là rất khó khăn do lưu lượng mạng có thể thay đổi nhanh chóng. Các công cụ phát hiện cần phải được cập nhật thường xuyên để theo kịp với các phương thức tấn công mới.

III. Phương pháp phòng chống tấn công DDoS hiệu quả

Để phòng chống tấn công DDoS, các tổ chức có thể áp dụng nhiều phương pháp khác nhau. Những phương pháp này không chỉ giúp giảm thiểu thiệt hại mà còn tăng cường khả năng phục hồi của hệ thống mạng.

3.1. Sử dụng tường lửa và hệ thống phát hiện xâm nhập

Tường lửa có thể giúp chặn các lưu lượng không hợp lệ, trong khi hệ thống phát hiện xâm nhập có thể phát hiện và cảnh báo sớm về các cuộc tấn công DDoS.

3.2. Triển khai các giải pháp bảo mật mạng

Các giải pháp bảo mật mạng như CDN (Content Delivery Network) có thể giúp phân phối lưu lượng và giảm tải cho máy chủ chính, từ đó giảm thiểu tác động của các cuộc tấn công DDoS.

IV. Ứng dụng thực tiễn và kết quả nghiên cứu về tấn công DDoS

Nghiên cứu về tấn công DDoS đã chỉ ra rằng việc áp dụng các biện pháp phòng chống hiệu quả có thể giảm thiểu thiệt hại đáng kể. Các tổ chức đã áp dụng thành công các giải pháp này và bảo vệ được hệ thống của mình.

4.1. Các trường hợp thành công trong phòng chống DDoS

Nhiều tổ chức đã thành công trong việc ngăn chặn các cuộc tấn công DDoS nhờ vào việc triển khai các giải pháp bảo mật mạng tiên tiến. Những trường hợp này đã chứng minh tính hiệu quả của các biện pháp phòng chống.

4.2. Kết quả nghiên cứu và ứng dụng thực tiễn

Các nghiên cứu đã chỉ ra rằng việc đầu tư vào công nghệ bảo mật và đào tạo nhân viên có thể giúp giảm thiểu rủi ro từ các cuộc tấn công DDoS. Điều này không chỉ bảo vệ tài sản mà còn nâng cao uy tín của tổ chức.

V. Kết luận và tương lai của nghiên cứu về tấn công DDoS

Nghiên cứu và phòng chống tấn công DDoS là một lĩnh vực quan trọng trong an ninh mạng. Tương lai của nghiên cứu này sẽ tập trung vào việc phát triển các công nghệ mới và cải tiến các phương pháp hiện có để đối phó với các mối đe dọa ngày càng tinh vi.

5.1. Xu hướng phát triển công nghệ phòng chống DDoS

Công nghệ phòng chống DDoS sẽ tiếp tục phát triển với sự ra đời của các giải pháp mới như AI và machine learning, giúp phát hiện và ngăn chặn các cuộc tấn công hiệu quả hơn.

5.2. Tầm quan trọng của việc nâng cao nhận thức về DDoS

Nâng cao nhận thức về tấn công DDoS trong cộng đồng và các tổ chức là rất cần thiết. Điều này sẽ giúp mọi người hiểu rõ hơn về các mối đe dọa và cách phòng chống hiệu quả.

Nội dung chính

Tổng quan nghiên cứu

Trong kỷ nguyên số hóa và bùng nổ hạ tầng thông tin, an toàn an ninh mạng đã trở thành yếu tố sống còn đối với mọi tổ chức và doanh nghiệp. Theo các báo cáo an ninh mạng toàn cầu, các đợt tấn công từ chối dịch vụ phân tán (DDoS) đã gây ra những tổn thất khổng lồ; điển hình như cuộc tấn công lịch sử do Mafiaboy thực hiện vào năm 2000 đã làm gián đoạn các cổng dịch vụ trực tuyến lớn, gây thiệt hại ước tính hơn 1,2 triệu USD chỉ trong vài giờ. Tiếp đó, vào năm 2003, hệ thống máy chủ của Microsoft đã phải ngừng hoạt động trong suốt 2 giờ liên tục, hay vào năm 2011, hơn 40 website trọng yếu của chính phủ Hàn Quốc đã bị tê liệt hoàn toàn trước các đợt bão lưu lượng dữ liệu.

Vấn đề nghiên cứu trọng tâm của luận văn bắt nguồn từ sự gia tăng nhanh chóng về mức độ phức tạp và quy mô của các mạng máy tính ma (Botnet), với khả năng huy động từ 1.000 đến hơn 400.000 máy trạm bị chiếm quyền điều khiển. Thực trạng này tạo ra các cuộc tấn công bão hòa băng thông và cạn kiệt tài nguyên hệ thống vô cùng nghiêm trọng, đặc biệt đối với các mô hình mạng vừa và nhỏ chỉ sở hữu một máy chủ kết nối Internet qua một đường truyền đơn lẻ.

Mục tiêu cụ thể của đề tài là hệ thống hóa và phân loại chuyên sâu các hình thức tấn công DoS/DDoS, phân tích đặc tính biến thiên của lưu lượng mạng trước và sau xâm nhập, khảo sát các thuật toán phát hiện bất thường, từ đó đề xuất mô hình giải pháp phát hiện sớm và giảm thiểu thiệt hại. Phạm vi nghiên cứu được thực hiện tại Viện Điện tử Viễn thông thuộc Trường Đại học Bách khoa Hà Nội trong giai đoạn 2014–2016, tập trung trực tiếp vào kiến trúc mạng đơn máy chủ (Single Server). Ý nghĩa thực tiễn của công trình thể hiện qua việc cung cấp mô hình phòng vệ có khả năng giảm thời gian ngắt kết nối dịch vụ xuống dưới 5%, đồng thời nâng cao độ chính xác trong việc phát hiện sớm các gói tin bất thường lên trên 90% nhằm bảo vệ an toàn cho hạ tầng viễn thông.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng dựa trên ba khung lý thuyết nền tảng trong lĩnh vực kỹ thuật mạng và viễn thông:

• Lý thuyết phân tầng giao thức truyền thông mạng TCP/IP: Tập trung vào cơ chế bắt tay ba bước (Three-Way Handshake: SYN, SYN/ACK, ACK). Trong điều kiện hoạt động tiêu chuẩn, máy chủ phải duy trì socket kết nối tối thiểu 75 giây để chờ gói tin phản hồi trước khi giải phóng bộ nhớ. Kẻ tấn công lợi dụng điểm yếu này để gửi các gói tin SYN giả mạo nhằm chiếm dụng toàn bộ bảng trạng thái kết nối.
• Lý thuyết mạng lưới điều khiển phân tán Botnet: Phân tích kiến trúc điều khiển mạng ma thông qua hai mô hình chính là Agent – Handler và IRC-Based (Internet Relay Chat). Mô hình này cho phép kẻ điều khiển chỉ huy hàng nghìn máy trạm Zombie phân tán thực hiện các cuộc tấn công phối hợp với sức mạnh băng thông tổng hợp vượt trội.
• Lý thuyết phát hiện bất thường lưu lượng dựa trên mô hình toán học thống kê: Khảo sát quy luật phân phối của các luồng dữ liệu mạng, sự thay đổi tỷ lệ của các địa chỉ IP mới và ứng dụng thuật toán tổng tích lũy (CUSUM Algorithm) để phát hiện sự sai lệch tham số lưu lượng.

Mô hình nghiên cứu phân loại DDoS thành hai nhánh chính:

• Nhóm tấn công làm cạn kiệt băng thông (Bandwidth Depletion Attack): Bao gồm Flood Attack (UDP Flood, ICMP Flood) và Amplification Attack (Smurf Attack, Fraggle Attack tận dụng cổng 7 Echo và cổng 19 Chargen để khuếch đại gói tin).
• Nhóm tấn công làm cạn kiệt tài nguyên (Resource Depletion Attack): Bao gồm Protocol Exploit Attack (TCP SYN Attack, PUSH+ACK Attack) và Malformed Packet Attack (IP Address Spoofing, IP Options QoS Attack).

Các khái niệm then chốt bao gồm: Tấn công từ chối dịch vụ phân tán (DDoS), Mạng máy tính ma (Botnet), Giao thức bắt tay TCP (TCP Handshake), Tấn công khuếch đại (Amplification Attack) và Thuật toán tổng tích lũy CUSUM. Về mặt số liệu chuẩn, một gói tin IP hợp lệ có kích thước tối đa 65.535 bytes (như trong tấn công Ping of Death bị phân mảnh ở tầng liên kết dữ liệu), và một mạng botnet chỉ gồm 1.000 máy trạm với tốc độ khiêm tốn 128 Kbps mỗi máy đã có thể tạo ra luồng băng thông tấn công hủy diệt lên đến 128 Mbps hướng vào máy chủ đích.

Phương pháp nghiên cứu

Phương pháp nghiên cứu kết hợp giữa phân tích lý thuyết định lượng và thực nghiệm mô phỏng trên hệ thống phòng thí nghiệm:

• Nguồn dữ liệu: Dữ liệu log lưu lượng mạng được trích xuất từ các công cụ chuyên dụng như Wireshark và DU Meter, kết hợp bộ tập lệnh điều khiển của các công cụ tấn công kinh điển như Trinoo (sử dụng cổng TCP 27665, UDP 27444 và UDP 31335), Tribe Flood Network (TFN/TFN2K), Stacheldraht (sử dụng cổng TCP 16660 và TCP 65000), Shaft (cổng TCP 20432, UDP 18753 và UDP 20433) cùng các tập mã nguồn độc hại như Agobot, SDBot và sâu Storm.
• Cỡ mẫu và thu thập dữ liệu: Hệ thống thực nghiệm thu thập và phân tích hơn 100.000 gói tin dữ liệu trong 10 đợt thử nghiệm độc lập với các dải băng thông nền thay đổi từ 10 Mbps đến 100 Mbps.
• Phương pháp chọn mẫu: Sử dụng phương pháp lấy mẫu phân tầng theo cửa sổ thời gian (Time-Window Sampling) với chu kỳ cố định n = 10 giây. Phương pháp này cho phép đo lường chính xác tỷ lệ xuất hiện của các địa chỉ IP mới (New IP Ratio) và sự biến động đột biến của số lượng cờ TCP SYN trên mỗi đơn vị thời gian.
• Lý do lựa chọn phương pháp phân tích: Phân tích thống kê chuỗi thời gian kết hợp thuật toán CUSUM phi tham số được lựa chọn vì tính linh hoạt, tốc độ xử lý nhanh theo thời gian thực và không đòi hỏi năng lực tính toán quá cao của phần cứng, rất phù hợp cho máy chủ đơn lẻ.
• Timeline nghiên cứu: Đề tài được triển khai trong thời gian 24 tháng (2014–2016), phân bổ qua các giai đoạn: nghiên cứu tổng quan tài liệu (6 tháng), xây dựng mô hình thuật toán lý thuyết (6 tháng), thiết lập hệ thống thử nghiệm XAMPP Apache và C&C Server (8 tháng), cuối cùng là phân tích thực nghiệm và hoàn thiện luận văn (4 tháng).

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình mô phỏng thực nghiệm trên mô hình mạng bao gồm máy chủ WebServer (Apache/XAMPP), máy chủ điều khiển C&C Server và hệ thống máy trạm Botnet đã mang lại 4 phát hiện kỹ thuật cốt lõi:

1. Cơ chế bão hòa bảng trạng thái kết nối: Khi xảy ra tấn công TCP SYN Flood với tần suất vượt quá 500 yêu cầu/giây, bộ nhớ đệm dành cho các kết nối bán mở (Half-Open Connections) của máy chủ bị chiếm dụng 100% chỉ trong khoảng 15 đến 30 giây. Hậu quả là tỷ lệ phản hồi các yêu cầu truy cập hợp lệ giảm mạnh hơn 95%, khiến trang web rơi vào trạng thái mất kết nối hoàn toàn.

2. Hiệu ứng khuếch đại băng thông của mô hình Botnet: Các mạng Botnet hoạt động theo mô hình IRC-Based và Agent-Handler có khả năng khuếch đại lưu lượng tấn công tăng gấp từ 10 đến 50 lần so với các công cụ DoS đơn lẻ. Việc ngụy tạo địa chỉ IP nguồn (IP Spoofing) đạt tỷ lệ 100%, làm cho các giải pháp lọc địa chỉ tĩnh thông thường hoàn toàn mất tác dụng.

3. Tính chất nguy hiểm của tấn công tầng ứng dụng và tấn công khuếch đại: Kỹ thuật tấn công X-Flash và Fraggle Attack (sử dụng gói tin UDP Echo hướng vào cổng 7 và cổng 19 Chargen) có thể đẩy mức tiêu thụ tài nguyên CPU của máy chủ lên ngưỡng 100% liên tục. Đường truyền mạng 100 Mbps bị nghẽn hoàn toàn chỉ sau 10 giây kích hoạt đợt tấn công từ mạng botnet quy mô nhỏ.

4. Hiệu quả nhận diện bất thường của thuật toán CUSUM: Khi áp dụng thuật toán CUSUM theo dõi tỷ lệ địa chỉ IP mới trong cửa sổ thời gian n = 10 giây, hệ thống phát hiện chính xác dấu hiệu tấn công bất thường với độ chính xác đạt 92,5%, đồng thời duy trì tỷ lệ cảnh báo sai (False Positive) ở mức thấp dưới 4,8%.

Thảo luận kết quả

Nguyên nhân cốt lõi dẫn đến sự sụp đổ nhanh chóng của hệ thống mạng nằm ở tính bất đối xứng nghiêm trọng về mặt tài nguyên giữa kẻ tấn công và hệ thống phòng thủ. Trong khi máy chủ nạn nhân phải phân bổ hàng loạt khối bộ nhớ để duy trì trạng thái chờ trong suốt thời gian timeout 75 giây cho từng gói tin SYN ảo, kẻ tấn công chỉ cần phát tán các gói tin dung lượng nhỏ mà không cần tốn bất kỳ tài nguyên nào để duy trì phiên kết nối.

Dữ liệu thực nghiệm được trực quan hóa rõ nét thông qua biểu đồ lưu lượng mạng và bảng thống kê gói tin. Biểu đồ giám sát từ DU Meter minh chứng rằng trước khi tấn công, lưu lượng mạng dao động ổn định trong khoảng 1–2 Mbps; tuy nhiên, ngay khi lệnh tấn công từ C&C Server được phát ra, đồ thị lưu lượng lập tức tạo bước nhảy vọt thẳng đứng chạm mức trần 98–100 Mbps. Đồng thời, bảng phân tích gói tin từ Wireshark ghi nhận sự bùng nổ của hàng nghìn gói tin TCP mang cờ SYN liên tiếp hướng tới cổng 80 của máy chủ WebServer, làm tê liệt hoàn toàn dịch vụ Apache.

So sánh với các nghiên cứu an ninh mạng quốc tế, kết quả này hoàn toàn tương thích với các mô hình lý thuyết của Cisco và Arbor Networks về ngưỡng bão hòa đường truyền. Tuy nhiên, điểm cải tiến vượt bậc của luận văn là đã chứng minh được tính khả thi của việc ứng dụng thuật toán CUSUM kết hợp cơ chế kiểm tra địa chỉ IP nguồn ngay tại máy chủ biên. Giải pháp này giúp các doanh nghiệp vừa và nhỏ có thể tự thiết lập cơ chế phòng thủ hiệu quả mà không cần đầu tư các trung tâm lọc rửa dữ liệu (Scrubbing Center) đắt tiền.

Đề xuất và khuyến nghị

Dựa trên các kết quả nghiên cứu và thực nghiệm mô phỏng, luận văn đưa ra 4 nhóm giải pháp kỹ thuật cụ thể nhằm nâng cao năng lực phòng chống tấn công DDoS:

1. Triển khai kỹ thuật SYN Cookie và tái cấu hình thông số ngăn xếp TCP/IP: Yêu cầu quản trị viên hệ thống máy chủ tiến hành kích hoạt tính năng SYN Cookie trên hệ điều hành máy chủ và giảm thời gian chờ kết nối bán mở (Timeout) từ 75 giây xuống dưới 15 giây. Mục tiêu là giúp máy chủ duy trì khả năng phục vụ liên tục, nâng cao năng lực chịu tải kết nối lên 300%, hoàn thành trong vòng 1 tháng bởi đội ngũ quản trị hệ thống.

2. Tích hợp thuật toán CUSUM vào hệ thống phát hiện xâm nhập tự động: Thiết lập module giám sát lưu lượng dựa trên thuật toán CUSUM với chu kỳ đo lường n = 10 giây tại gateway hoặc router biên. Giải pháp này giúp nhận diện sớm các cuộc tấn công bùng phát lưu lượng với độ chính xác trên 90%, giảm thiểu thời gian trễ cảnh báo xuống dưới 5 giây, hoàn thành triển khai trong 2 tháng bởi kỹ sư an toàn thông tin.

3. Áp dụng quy tắc lọc địa chỉ nguồn (Ingress/Egress Filtering) và đóng các cổng dịch vụ rủi ro: Tiến hành cấu hình trên các thiết bị định tuyến để loại bỏ 100% các gói tin có địa chỉ IP nguồn giả mạo phát sinh từ mạng nội bộ, đồng thời vô hiệu hóa các cổng dịch vụ không thiết yếu như UDP port 19 (Chargen) và UDP port 7 (Echo) nhằm triệt tiêu hoàn toàn nguy cơ bị lợi dụng cho tấn công Fraggle, thực hiện định kỳ hàng quý bởi chuyên viên bảo mật mạng.

4. Xây dựng quy trình rà soát lỗ hổng và giám sát mã độc Botnet trên máy trạm: Sử dụng các công cụ chuyên dụng như Nessus và Nmap để quét định kỳ các lỗ hổng hệ điều hành, giám sát các khóa Registry tự khởi động (như Run, RunServices) và các luồng dữ liệu IRC/HTTP bất thường nhằm cô lập trên 95% nguy cơ lây nhiễm phần mềm độc hại (như Agobot, Trojan), thực hiện hàng tuần bởi bộ phận giám sát an ninh (SOC).

Đối tượng nên tham khảo luận văn

Công trình nghiên cứu mang giá trị học thuật và ứng dụng thực tiễn cao, đặc biệt hữu ích cho 4 nhóm đối tượng sau:

1. Kỹ sư quản trị mạng và bảo mật hệ thống (Network & System Administrators): Nắm bắt chi tiết cơ chế hoạt động của các hình thức tấn công DoS/DDoS, từ đó tối ưu hóa cấu hình thiết bị định tuyến, máy chủ Web (Apache, IIS) và hệ thống tường lửa, đảm bảo tính sẵn sàng của dịch vụ luôn đạt trên 99,9%.

2. Học viên sau đại học và nhà nghiên cứu chuyên ngành Kỹ thuật Viễn thông, Công nghệ Thông tin: Tiếp cận khung lý thuyết phân loại tấn công chuẩn mực, cấu trúc mạng Botnet và phương pháp ứng dụng thuật toán toán học CUSUM trong phân tích lưu lượng, làm tài liệu tham khảo nền tảng cho các đề tài nghiên cứu nâng cao.

3. Chuyên viên phân tích và ứng cứu sự cố an ninh mạng (SOC/CSIRT Analysts): Sử dụng thành thạo các công cụ bắt gói tin như Wireshark và DU Meter để phân tích dấu hiệu tấn công thực tế từ các công cụ như Trinoo, TFN2K, Stacheldraht, Shaft, giúp rút ngắn hơn 50% thời gian xử lý khi có sự cố xảy ra.

4. Giám đốc công nghệ (CTO) và cán bộ quản lý an toàn thông tin tại các tổ chức, doanh nghiệp trực tuyến: Xây dựng chiến lược đầu tư hạ tầng an ninh mạng hợp lý, thiết lập quy trình ứng phó rủi ro an toàn thông tin và lựa chọn các giải pháp giảm thiểu thiệt hại DDoS tối ưu cho mô hình mạng của đơn vị.

Câu hỏi thường gặp

Tấn công DDoS khác biệt căn bản như thế nào so với tấn công DoS truyền thống?
Điểm khác biệt cốt lõi nằm ở quy mô và tính phân tán nguồn gốc phát động tấn công. Trong khi tấn công DoS thông thường chỉ xuất phát từ một máy nguồn và dễ dàng bị chặn đứng bởi tường lửa, tấn công DDoS sử dụng mạng Botnet gồm hàng nghìn đến hơn 400.000 máy tính ma (Zombie) trên toàn cầu, tạo ra lưu lượng dữ liệu khổng lồ đánh sập mục tiêu mà không thể ngăn chặn bằng cách lọc IP đơn lẻ.

Tại sao hình thức tấn công TCP SYN Flood lại cực kỳ phổ biến và khó phòng thủ?
TCP SYN Flood khai thác triệt để lỗ hổng trong cơ chế bắt tay ba bước của giao thức TCP. Kẻ tấn công liên tục gửi các gói tin SYN với địa chỉ IP giả mạo, buộc máy chủ phải lưu trạng thái chờ trong suốt 75 giây. Trong các thử nghiệm thực tế, chỉ cần 500 yêu cầu/giây đã có thể làm cạn kiệt bảng kết nối của máy chủ trong vòng 20 giây, khiến người dùng hợp lệ hoàn toàn bị từ chối truy cập.

Mạng Botnet như Agobot lây lan và điều khiển các cuộc tấn công DDoS bằng cách nào?
Agobot lây lan qua việc đánh lừa người dùng mở tệp thực thi, tự ghi vào Registry hệ thống và dò quét các thư mục chia sẻ quản trị mặc định (C$, D$, Admin$). Sau khi xâm nhập thành công, phần mềm độc hại mở cổng kết nối ngầm tới máy chủ IRC (Internet Relay Chat) để nhận lệnh điều khiển từ hacker, đồng loạt phát động các đợt tấn công DDoS mà chủ nhân máy tính không hề hay biết.

Thuật toán CUSUM đóng vai trò gì trong việc phát hiện sớm các cuộc tấn công DDoS?
Thuật toán CUSUM (Cumulative Sum) thực hiện tính toán sự thay đổi tích lũy của tỷ lệ gói tin và địa chỉ IP mới trong các khung thời gian ngắn cố định (ví dụ n = 10 giây). Khi phát hiện độ lệch tham số vượt qua ngưỡng thống kê an toàn, thuật toán sẽ phát tín hiệu cảnh báo sớm với độ chính xác trên 90%, cho phép hệ sinh thái phòng thủ kích hoạt bộ lọc trước khi máy chủ bị tê liệt.

Có giải pháp duy nhất nào có thể ngăn chặn triệt để 100% các cuộc tấn công DDoS không?
Trong thực tế, không có một giải pháp đơn lẻ nào có thể ngăn chặn hoàn toàn 100% mọi cuộc tấn công DDoS do sự đa dạng về phương thức và quy mô băng thông của các mạng botnet. Tuy nhiên, việc áp dụng đồng bộ các giải pháp đa tầng như lọc địa chỉ IP nguồn, tinh chỉnh SYN Cookie, đóng cổng dịch vụ nguy hiểm và ứng dụng thuật toán CUSUM có thể giảm thiểu trên 85% thiệt hại cho hệ thống mạng.

Kết luận

• Hệ thống hóa toàn diện các khái niệm, cơ chế hoạt động và phân loại chuyên sâu các hình thức tấn công DoS/DDoS làm cạn kiệt băng thông và tài nguyên.
• Làm rõ cấu trúc vận hành, phương thức lây nhiễm và cơ chế điều khiển của các mạng Botnet nguy hiểm như Agobot, SDBot trên hạ tầng mạng toàn cầu.
• Đánh giá chi tiết đặc tính kỹ thuật của các bộ công cụ tấn công phân tán kinh điển gồm Trinoo, TFN2K, Stacheldraht, Shaft và kỹ thuật X-Flash.
• Ứng dụng thành công thuật toán thống kê CUSUM với chu kỳ n = 10 giây, đạt độ chính xác phát hiện bất thường trên 90% với tỷ lệ báo động giả dưới 4,8%.
• Xây dựng thành công kịch bản thực nghiệm mô phỏng tấn công trên nền tảng WebServer Apache/XAMPP, chứng minh trực quan quy luật bão hòa tài nguyên hệ thống.

Đóng góp chính của luận văn là đã cung cấp một khung giải pháp kỹ thuật khả thi, chi phí thấp, giúp các doanh nghiệp bảo vệ hiệu quả hệ thống máy chủ dịch vụ đơn lẻ trước các nguy cơ tấn công từ chối dịch vụ phân tán. Hướng phát triển tiếp theo trong 12 tháng tới là tích hợp các mô hình học máy (Machine Learning) để nhận diện tấn công Zero-Day và mở rộng thử nghiệm trên hạ tầng điện toán đám mây. Hãy tham khảo và ứng dụng ngay các giải pháp kỹ thuật từ luận văn để củng cố vững chắc lá chắn an toàn thông tin cho hệ thống mạng của bạn.

Trích đoạn nội dung tài liệu

phần mở đầu và phần kết luận, phần nội dung của luận văn gồm có 4 chương như sau: Ch฀฀฀฀฀฀฀ ฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀DoS và DDoS: ฀ Giới thiệu chung về DoS, phân loại các kiểu tấn công DoS. ฀ Giới thiệu chung về DDoS, phân loại các kiểu tấn công DDoS, cách thức xây dựng mạng Botnet, giới thiệu một số công cụ tấn công DDoS ฀฀฀฀฀฀฀ II. ฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀ các phƣơng thức, cách thức tấn công DDoS ฀฀฀฀฀฀฀฀฀฀. Demo t฀฀฀฀฀฀฀ DDoS: Trình bày mô hình thực tế mạng Botne giả định, giải pháp, mô hình thực nghiệm và quá trình kiểm tra đánh giá, nhận xét hệ thống trƣớc khi có xâm nhập và sau khi có xâm nhập.

฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀ 13 Document shared on https://www.com/en/nghien-cuu-ddos-cong-thuc-mang-va-phuong-phap-phong-chong-b-nghien-cuu-cac-dang-tan-cong/8552665/ Downloaded by: bui-thi-hong-hanh ([e-mail]) ฀฀฀฀฀฀฀฀฀฀฀฀฀ ฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀ ฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀ Tấn công từ chối dịch vụ DoS là dạng tấn công nhằm ngăn chặn ngƣời dùng hợp pháp truy nhập các tài nguyên mạng. Tấn công DoS đã xuất hiện từ khá sớm, vào đầu những năm 80 của thế kỷ trƣớc. Tấn công DoS là một kiểu tấn công mà một ngƣời làm cho một hệ thống không thể sử dụng, hoặc làm cho hệ thống đó chậm đi một cách đáng kể với ngƣời dùng bình thƣờng, bằng cách làm quá tải tài nguyên của hệ thống. Nếu kẻ tấn công không có khả năng thâm nhập đƣợc vào hệ thống, thì chúng cố gắng tìm cách làm cho hệ thống đó sụp đổ và không có khả năng phục vụ ngƣời dùng bình thƣờng đó là tấn công DoS.

Mặc dù tấn công DoS không có khả năng truy cập vào dữ liệu thực của hệ thống nhƣng nó có thể làm gián đoạn các dịch vụ mà hệ thống đó cung cấp. Nhƣ định nghĩa trên DoS khi tấn công vào một hệ thống sẽ khai thác những cái yếu nhất của hệ thống để tấn công, những mục đích của tấn công DoS.1฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀ Cố gắng chiếm băng thông mạng và làm hệ thống mạng bị ngập (flood), khi đó hệ thống mạng sẽ không có khả năng đáp ứng những dịch vụ khác cho ngƣời dùng bình thƣờng. Cố gắng làm ngắt kết nối giữa hai máy, và ngăn chặn quá trình truy cập vào dịch vụ. Cố gắng ngăn chặn những ngƣời dùng cụ thể vào một dịch vụ nào đó Cố gắng ngăn chặn các dịch vụ không cho ngƣời khác có khả năng truy cập vào.

Khi tấn công DoS xảy ra ngƣời dùng có cảm giác khi truy cập vào dịch vụ đó nhƣ bị: 14 Document shared on https://www.com/en/nghien-cuu-ddos-cong-thuc-mang-va-phuong-phap-phong-chong-b-nghien-cuu-cac-dang-tan-cong/8552665/ Downloaded by: bui-thi-hong-hanh ([e-mail]) + Disable Network - Tắt mạng + Disable Organization - Tổ chức không hoạt động + Financial Loss - Thiệt hại tài chính 1.2฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀ Ta thấy, tấn công DoS xảy ra khi kẻ tấn công sử dụng hết tài nguyên của hệ thống và hệ thống không thể đáp ứng cho ngƣời dùng bình thƣờng đƣợc. Vì vậy các tài nguyên chúng thƣờng sử dụng để tấn công là: - Tạo ra sự khan hiếm, những giới hạn và không đổi mới tài nguyên - Băng thông của hệ thống mạng, bộ nhớ, ổ đĩa, và CPU Time hay cấu trúc dữ liệu đều là mục tiêu của tấn công DoS. - Tấn công vào hệ thống khác phục vụ cho mạng máy tính nhƣ: hệ thống điều hoà, hệ thống điện, hệt hống làm mát và nhiều tài nguyên khác của doanh nghiệp. Bạn thử tƣởng tƣợng khi nguồn điện vào máy chủ web bị ngắt thì ngƣời dùng có thể truy cập vào máy chủ đó không.

- Phá hoại hoặc thay đổi các thông tin cấu hình. - Phá hoại tầng vật lý hoặc các thiết bị mạng nhƣ nguồn điện, điều hoà… ฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀ - Smurf. - Buffer Overflow Attack. - Ping of Death.

฀฀฀฀฀฀฀฀฀฀฀฀฀฀ Là thủ phạm sinh ra cực nhiều giao tiếp ICMP (ping) tới địa chỉ Broadcast của nhiều mạng với địa chỉ nguồn là mục tiêu cần tấn công. Tấn công Buffer overflow. Buffer Overflow xảy ra tại bất kỳ thời điểm nào có chƣơng trình ghi lƣợng thông tin lớn hơn dung lƣợng của bộ nhớ đệm trong bộ nhớ. Kẻ tấn công có thể ghi đè lên dữ liệu và điều khiển chạy các chƣơng trình và đánh cắp quyền điều khiển của một số chƣơng trình nhằm thực thi các đoạn mã nguy hiểm.

15 Document shared on https://www.com/en/nghien-cuu-ddos-cong-thuc-mang-va-phuong-phap-phong-chong-b-nghien-cuu-cac-dang-tan-cong/8552665/ Downloaded by: bui-thi-hong-hanh ([e-mail]) Quá trình gửi một bức thƣ điện tử mà file đính kèm dài quá 256 ký tự có thể sẽ xảy ra quá trình tràn bộ nhớ đệm.1: Tấn công Ping of Death Kẻ tấn công gửi những gói tin IP lớn hơn số lƣơng bytes cho phép của tin IP là 65. Quá trình chia nhỏ gói tin IP thành những phần nhỏ đƣợc thực hiện ở layer II. Quá trình chia nhỏ có thể thực hiện với gói IP lớn hơn 65. Nhƣng hệ điều hành không thể nhận biết đƣợc độ lớn của gói tin này và sẽ bị khởi động lại, hay đơn giản là sẽ bị gián đoạn giao tiếp.

Để nhận biết kẻ tấn công gửi gói tin lớn hơn gói tin cho phép thì tƣơng đối dễ dàng.4฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀ Gói tin IP rất lớn khi đến Router sẽ bị chia nhỏ làm nhiều phần nhỏ. Kẻ tấn công sử dụng sử dụng gói IP với các thông số rất khó hiểu để chia ra các phần nhỏ (fragment). 16 Document shared on https://www.com/en/nghien-cuu-ddos-cong-thuc-mang-va-phuong-phap-phong-chong-b-nghien-cuu-cac-dang-tan-cong/8552665/ Downloaded by: bui-thi-hong-hanh (hanh74873@gmail.2:Tấn công SYN (mô hình bắt tay ba bƣớc) Kẻ tấn công gửi các yêu cầu (request ảo) TCP SYN tới máy chủ bị tấn công. Để xử lý lƣợng gói tin SYN này hệ thống cần tốn một lƣợng bộ nhớ cho kết nối.

Khi có rất nhiều gói SYN ảo tới máy chủ và chiếm hết các yêu cầu xử lý của máy chủ. Một ngƣời dùng bình thƣờng kết nối tới máy chủ ban đầu thực hiện Request TCP SYN và lúc này máy chủ không còn khả năng đáp lại - kết nối không đƣợc thực hiện. Đây là kiểu tấn công mà kẻ tấn công lợi dụng quá trình giao tiếp của TCP theo – Three-way. Quá trình TCP Three-way handshake (mô hình bắt tay ba bƣớc) đƣợc thực hiện: Khi máy A muốn giao tiếp với máy B.

(1) máy A bắn ra một gói TCP SYN tới máy B – (2) máy B khi nhận đƣợc gói SYN từ A sẽ gửi lại máy A gói ACK đồng ý kết nối – (3) máy A gửi lại máy B gói ACK và bắt đầu các giao tiếp dữ liệu. Máy A và máy B sẽ dữ kết nối ít nhất là 75 giây, sau đó lại thực hiện một quá trình TCP Three-way handshake lần nữa để thực hiện phiên kết nối tiếp theo để trao đổi dữ liệu. 17 Document shared on https://www.com/en/nghien-cuu-ddos-cong-thuc-mang-va-phuong-phap-phong-chong-b-nghien-cuu-cac-dang-tan-cong/8552665/ Downloaded by: bui-thi-hong-hanh ([e-mail]) ฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀ - Jolt2 - Blast20 - Some Trouble - Bubonic.c - Nemesy - UDP Flooder - Land and LaTierra - Panther2 - FSMax - Targa - Crazy Pinger 1. Tools DoS: Jolt2 Hình 1.3:Tấn công kiểu Tools DoS: Jolt2 Cho phép kẻ tấn từ chối dịch vụ lên các hệ thống trên nền tảng Window.

Nó là nguyên nhân khiến máy chủ bị tấn công có CPU luôn hoạt động ở mức độ 100%, CPU không thể xử lý các dịch vụ khác. Không phải trên nền tảng Windows nhƣ Cisco Router và một số loại Router khác cũng có thể bị lỗ hổng bảo mật này và bị tools này tấn công. Tools DoS: Bubonic.c là một tools DoS dựa vào các lỗ hổng bảo mật trên Windows 2000. Nó hoạt động bằng cách ngẫu nhiên gửi các gói tin TCP với các thiết lập ngẫu 18 Document shared on https://www.com/en/nghien-cuu-ddos-cong-thuc-mang-va-phuong-phap-phong-chong-b-nghien-cuu-cac-dang-tan-cong/8552665/ Downloaded by: bui-thi-hong-hanh ([e-mail]) nhiên làm cho máy chủ tốn rất nhiều tài nguyên để xử lý vấn đề này, và từ đó sẽ xuất hiện những lỗ hổng bảo mật.

Sử dụng bubonic.c bằng cách gõ câu lệnh: bubonic 12.4:Tấn công kiểu Tools DoS: Bubonic. Tools DoS: Land and LaTierra Giả mạo địa chỉ IP đƣợc kết hợp với quá trình mở các kết nối giữa hai máy tính. Cả hai địa chỉ IP, địa chỉ nguồn (source) và địa chỉ IP đích, đƣợc chỉnh sửa thành một địa chỉ của IP đích khi đó kết nối giữa máy A và máy B đang đƣợc thực hiện nếu có tấn công này xảy ra thì kết nối giữa hai máy A và B sẽ bị ngắt kết nối. Kết quả này do địa chỉ IP nguồn và địa chỉ IP đích của gói tin giống nhau và gói tin không thể đi đến đích cần đến.

Tools DoS: Targa Targa là một chƣơng trình có thể sử dụng 8 dạng tấn công DoS khác nhau. Nó đƣợc coi nhƣ một hƣớng dẫn tích hợp toàn bộ các ảnh hƣởng của DoS. 19 Document shared on https://www.com/en/nghien-cuu-ddos-cong-thuc-mang-va-phuong-phap-phong-chong-b-nghien-cuu-cac-dang-tan-cong/8552665/ Downloaded by: bui-thi-hong-hanh (hanh74873@gmail. Tools DoS: Blast 2.0 Blast rất nhỏ, là một công cụ dùng để kiểm tra khả năng của dịch vụ TCP nó có khả năng tạo ra một lƣu lƣợng rất lớn gói TCP và có thể sẽ gây nguy hiểm cho một hệ thống mạng với các server yếu.

Tools DoS: Nemesys Hình 1.5: Tấn công kiểu Tools DoS: Nemesys Đây là một chƣơng trình sinh ra những gói tin ngẫu nhiên nhƣ (protocol, port, etc. size, …) Dựa vào chƣơng trình này kẻ tấn công có thể chạy các đoạn mã nguy hiểm vào máy tính không đƣợc bảo mật. Tool DoS: Panther2. Tấn công từ chối dịch vụ dựa trên nền tảng UDP Attack đƣợc thiết kế dành riêng cho kết nối 28.

Tool DoS: Crazy Pinger Công cụ này có khả năng gửi những gói ICPM lớn tới một hệ thống mạng từ xa.6: Tấn công kiểu Tool DoS: Crazy Pinger 20 Document shared on https://www.com/en/nghien-cuu-ddos-cong-thuc-mang-va-phuong-phap-phong-chong-b-nghien-cuu-cac-dang-tan-cong/8552665/ Downloaded by: bui-thi-hong-hanh (hanh74873@gmail. Tool DoS: Some Trouble Hình 1.7: Tấn công kiểu Tool DoS: Some Trouble SomeTrouble 1.0 là một chƣơng trình gây nghẽn hệ thống mạng SomeTrouble là một chƣơng trình rất đơn giản với ba thành phần ฀ Mail Bomb (tự có khả năng Resole Name với địa chỉ mail có) ฀ ICQ Bomb ฀ Net Send Flood 1. Tools DoS: UDP Flooder UDP Flooder là một chƣơng trình gửi các gói tin UDP. Nó gửi ra ngoài những gói tin UDP tới một địa chỉ IP và port không cố định.

Gói tin có khả năng là một đoạn mã văn bản hay một số lƣợng dữ liệu đƣợc sinh ngẫu nhiên hay từ một file. Đƣợc sử dụng để kiểm tra khả năng đáp ứng của Server. Tools DoS ฀ FSMAX Kiểm tra hiệu năng đáp ứng của máy chủ. Nó tạo ra một file sau đó chạy trên Server nhiều lần lặp đi lặp lại một lúc.8: Tấn công kiểu Tool DoS: FSMAX 21 Document shared on https://www.com/en/nghien-cuu-ddos-cong-thuc-mang-va-phuong-phap-phong-chong-b-nghien-cuu-cac-dang-tan-cong/8552665/ Downloaded by: bui-thi-hong-hanh ([e-mail]) ฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀฀ Tấn công từ chối dịch vụ phân tán là một dạng phát triển ở mức độ cao của tấn công DoS đƣợc phát hiện lần đầu tiên vào năm 1999.

Trên thực tế, tấn công từ chối dịch vụ phân tán là kiểu tấn công làm hệ thống máy tính hay hệ thống mạng quá tải, không thể cung cấp dịch vụ hoặc phải dừng hoạt động, song từ nhiều nguồn tấn công khác nhau, phân tán trên mạng. Khác biệt cơ bản của tấn công DoS và DDoS là phạm vi tấn công.