Luận văn thạc sĩ về nghiên cứu và phòng chống tấn công DDoS vào các website

Luận văn thạc sĩ phân tích nghiên cứu và phòng chống tấn công từ chối dịch vụ phân tán vào các website, đánh giá thực trạng, chỉ ra hạn chế, đề xuất giải pháp khả thi cho thực

• Tác giả: Tống Quang Tân
• Người hướng dẫn: TS. Phạm Hoàng Duy
• Trường học: Học viện Công nghệ Bưu chính Viễn Thông
• Đề tài: Nghiên cứu và phòng chống tấn công DDoS vào website
• Loại tài liệu: luận văn
• Năm xuất bản: 2018
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• MỤC LỤC
• DANH MỤC THUẬT NGỮ, CÁC CHỮ VIẾT TẮT
• DANH SÁCH BẢNG
• DANH MỤC CÁC HÌNH VẼ, ĐỒ THỊ
• 1. CHƯƠNG I: TỔNG QUAN VỀ DDOS
• 1.1. Giới thiệu chung về DDoS
• 1.2. Phân loại các kiểu tấn công DDoS
• 1.2.1. Tấn công làm cạn kiệt băng thông
• 1.2.1.1. Tấn công tràn băng thông (Flood attack)
• 1.2.1.2. Tấn công khuếch đại (Amplification Attack)
• 1.2.2. Tấn công làm cạn kiệt tài nguyên
• 1.2.2.1. Protocol Exploit Attack
• 1.2.2.2. Malformed Packet Attack
• 1.2.3. Tấn công cơ sở hạ tầng
• 1.3. Tấn công DDoS Website
• 1.3.1. Tấn công vào máy chủ cài webserver
• 1.3.2. Tấn công trực tiếp vào website
• 1.4. Xây dựng Botnet
• 1.4.1. Kiến trúc Handler-Agent
• 1.4.2. Kiến trúc IRC Base
• 1.4.3. Kiến trúc Peer-to-Peer
• 1.4.4. Một số botnet nổi tiếng trên thế giới
• 1.5. Các phương pháp xây dựng tài nguyên tấn công
• 1.5.1. Cách thức cài DDoS Agent
• 1.5.2. Giao tiếp trên mạng Botnet
• 1.6. Một số công cụ tấn công DDoS
• 1.6.1. Tribe Flood Network (TFN/TFN2K)
• 1.7. Phòng chống DDoS
• 1.7.1. Phương pháp phòng chống DDoS
• 1.7.2. Một số công cụ mã nguồn mở phòng chống DDoS
• 1.8. Kết luận chương 1
• 2. CHƯƠNG II: CÔNG CỤ MÃ NGUỒN MỞ IPTABLES VÀ SNORT INLINE
• 2.1. Công cụ Iptables
• 2.1.1. Giới thiệu chung về Iptables
• 2.1.2. Cấu trúc của Iptables
• 2.1.3. Các tùy chọn quan trọng của Iptables
• 2.2. Công cụ Snort inline
• 2.2.1. Giới thiệu về Snort
• 2.2.2. Cấu trúc Snort
• 2.2.3. Bộ luật của Snort
• 2.2.4. Chế độ ngăn chặn của Snort: Snort — Inline
• 2.3. Kết luận chương 2
• 3. CHƯƠNG III: XÂY DỰNG GIẢI PHÁP PHÒNG CHỐNG DDOS
• 3.1. Giải pháp phòng chống DDoS được đưa ra cho Website
• 3.1.1. Ưu điểm của giải pháp sử dụng hệ thống IPS
• 3.1.2. ConfigServer Security & Firewall (CSF)
• 3.2. Thử nghiệm, đánh giá
• 3.3. Cấu hình trên IPS
• 3.4. Chạy thử nghiệm
• 3.5. Đánh giá thử nghiệm
• 3.6. Kết luận chương 3
• DANH MỤC TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về DDoS

Tấn công DDoS (Distributed Denial of Service) là một trong những mối đe dọa lớn nhất đối với an ninh mạng hiện nay. Tấn công này không chỉ làm gián đoạn dịch vụ mà còn gây thiệt hại nghiêm trọng cho các tổ chức. Tấn công DDoS huy động một số lượng lớn máy tính bị chiếm quyền điều khiển để tấn công một mục tiêu duy nhất. Điều này làm cho việc phát hiện và ngăn chặn trở nên khó khăn hơn. Các cuộc tấn công DDoS có thể được phân loại thành nhiều loại khác nhau, bao gồm tấn công làm cạn kiệt băng thông và tấn công làm cạn kiệt tài nguyên. Việc hiểu rõ về các loại tấn công này là rất quan trọng để phát triển các giải pháp bảo vệ website hiệu quả.

1.1 Giới thiệu chung về DDoS

Tấn công DDoS là một hình thức tấn công từ chối dịch vụ phân tán, trong đó kẻ tấn công sử dụng nhiều máy tính để gửi một lượng lớn yêu cầu đến một máy chủ mục tiêu. Điều này dẫn đến việc máy chủ không thể xử lý các yêu cầu hợp lệ từ người dùng thực. Nguy cơ DDoS ngày càng gia tăng với sự phát triển của công nghệ và Internet. Các cuộc tấn công DDoS có thể gây ra thiệt hại lớn cho các doanh nghiệp, đặc biệt là trong lĩnh vực thương mại điện tử. Việc phát hiện và ngăn chặn các cuộc tấn công này là một thách thức lớn cho các chuyên gia an ninh mạng.

1.2 Phân loại các kiểu tấn công DDoS

Các kiểu tấn công DDoS có thể được phân loại thành hai nhóm chính: tấn công làm cạn kiệt băng thông và tấn công làm cạn kiệt tài nguyên. Tấn công làm cạn kiệt băng thông thường sử dụng các phương pháp như Flood Attack và Amplification Attack để làm tràn ngập mạng mục tiêu. Trong khi đó, tấn công làm cạn kiệt tài nguyên thường nhắm vào các tài nguyên hệ thống như CPU và bộ nhớ. Việc phân loại này giúp các chuyên gia an ninh mạng hiểu rõ hơn về cách thức hoạt động của các cuộc tấn công và từ đó phát triển các giải pháp phòng chống DDoS hiệu quả.

II. Phương pháp phòng chống DDoS

Để bảo vệ các website khỏi tấn công DDoS, cần áp dụng nhiều phương pháp khác nhau. Một trong những phương pháp hiệu quả nhất là sử dụng các công cụ mã nguồn mở như Iptables và Snort. Các công cụ này cho phép quản lý lưu lượng mạng và phát hiện các hành vi bất thường. Việc cấu hình đúng các công cụ này có thể giúp giảm thiểu thiệt hại do tấn công DDoS. Ngoài ra, việc sử dụng các dịch vụ bảo mật từ bên thứ ba cũng là một lựa chọn tốt để tăng cường bảo mật website.

2.1 Giải pháp phòng chống DDoS

Giải pháp phòng chống DDoS cần được thiết kế để phát hiện và ngăn chặn các cuộc tấn công ngay từ đầu. Việc sử dụng các hệ thống phát hiện xâm nhập (IDS) và hệ thống phòng chống xâm nhập (IPS) là rất quan trọng. Các hệ thống này có thể giúp phát hiện các mẫu tấn công và tự động chặn các yêu cầu đáng ngờ. Hơn nữa, việc thường xuyên cập nhật và bảo trì các hệ thống này cũng rất cần thiết để đảm bảo hiệu quả trong việc phòng chống DDoS.

2.2 Công cụ mã nguồn mở phòng chống DDoS

Công cụ mã nguồn mở như Iptables và Snort là những lựa chọn phổ biến trong việc phòng chống DDoS. Iptables cho phép quản lý lưu lượng mạng và thiết lập các quy tắc để chặn các gói tin không hợp lệ. Snort, với khả năng phát hiện xâm nhập, có thể giúp phát hiện các cuộc tấn công DDoS ngay khi chúng xảy ra. Việc sử dụng các công cụ này không chỉ giúp bảo vệ website mà còn giúp tiết kiệm chi phí cho các tổ chức, đặc biệt là các tổ chức nhỏ và vừa.

III. Kết luận

Nghiên cứu và phòng chống tấn công DDoS là một lĩnh vực quan trọng trong an ninh mạng. Các cuộc tấn công DDoS không chỉ gây thiệt hại về tài chính mà còn ảnh hưởng đến uy tín của các tổ chức. Việc phát triển các giải pháp bảo vệ website hiệu quả là cần thiết để đảm bảo an toàn cho các dịch vụ trực tuyến. Các công cụ mã nguồn mở như Iptables và Snort cung cấp những giải pháp khả thi cho các tổ chức trong việc phòng chống DDoS. Tương lai của an ninh mạng sẽ phụ thuộc vào khả năng phát hiện và ngăn chặn các cuộc tấn công này một cách hiệu quả.

3.1 Tầm quan trọng của việc phòng chống DDoS

Phòng chống DDoS không chỉ là trách nhiệm của các chuyên gia an ninh mạng mà còn là trách nhiệm của tất cả các tổ chức sử dụng Internet. Việc nâng cao nhận thức về nguy cơ DDoS và các phương pháp phòng chống là rất quan trọng. Các tổ chức cần đầu tư vào công nghệ và đào tạo nhân viên để đảm bảo an toàn cho hệ thống của mình. Chỉ khi có sự hợp tác giữa các bên liên quan, việc phòng chống DDoS mới có thể đạt được hiệu quả cao nhất.

Nội dung chính

Tổng quan nghiên cứu

Tấn công từ chối dịch vụ phân tán (DDoS) là một trong những mối đe dọa nghiêm trọng đối với an ninh mạng toàn cầu, với các sự kiện điển hình như vụ tấn công Spamhaus năm 2013 đạt mức băng thông lên đến 300 Gbps, gây ảnh hưởng lan rộng đến tốc độ truy cập Internet trên toàn thế giới. Ở Việt Nam, khi công nghệ thông tin được thúc đẩy áp dụng trong các cơ quan nhà nước, việc các website bị tấn công DDoS không chỉ làm gián đoạn dịch vụ mà còn ảnh hưởng nghiêm trọng đến uy tín và hoạt động của các tổ chức. Mục tiêu nghiên cứu của luận văn là xây dựng và kiểm thử giải pháp phòng chống tấn công DDoS vào các website, sử dụng các công cụ mã nguồn mở nhằm tạo điều kiện triển khai dễ dàng cho các cơ quan, tổ chức. Phạm vi nghiên cứu tập trung vào các cuộc tấn công DDoS nhắm vào máy chủ webserver và website, với thời gian nghiên cứu trong giai đoạn từ năm 2016 đến 2018 tại Việt Nam. Ý nghĩa của nghiên cứu được thể hiện qua việc giảm thiểu thiệt hại do tấn công DDoS gây ra, nâng cao độ an toàn và ổn định của hệ thống mạng, đồng thời góp phần phát triển môi trường Internet an toàn hơn cho thương mại và dịch vụ công.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên hai lý thuyết chính: lý thuyết về tấn công DDoS và lý thuyết về hệ thống phòng chống xâm nhập (Intrusion Prevention System - IPS). Lý thuyết tấn công DDoS phân loại các kiểu tấn công thành: tấn công làm cạn kiệt băng thông (bandwidth depletion), tấn công làm cạn kiệt tài nguyên hệ thống (resource depletion), tấn công cơ sở hạ tầng và tấn công zero-day. Mô hình mạng Botnet được phân tích qua ba kiến trúc phổ biến: Handler-Agent, IRC Base và Peer-to-Peer, giúp hiểu rõ cách thức điều khiển và phát động tấn công. Về phòng chống, luận văn tập trung vào các công cụ mã nguồn mở như Iptables và Snort inline, dựa trên mô hình IPS để phát hiện và ngăn chặn các gói tin tấn công. Các khái niệm chính bao gồm: luật lọc gói tin (firewall rules), phát hiện xâm nhập dựa trên dấu hiệu (signature-based detection), và xử lý gói tin theo trạng thái kết nối (stateful packet inspection).

Phương pháp nghiên cứu

Nguồn dữ liệu chính được thu thập từ các tài liệu chuyên ngành, báo cáo kỹ thuật và thực nghiệm trên hệ thống mạng mô phỏng. Phương pháp nghiên cứu bao gồm phân tích lý thuyết, thiết kế giải pháp phòng chống DDoS dựa trên Iptables và Snort inline, và thực hiện thử nghiệm đánh giá hiệu quả trên môi trường thực tế. Cỡ mẫu thử nghiệm gồm một hệ thống máy chủ web và các máy tính giả lập Agent tấn công, với các kịch bản tấn công UDP Flood, SYN Flood và HTTP Flood. Phương pháp chọn mẫu là chọn các kiểu tấn công phổ biến và có mức độ nguy hiểm cao để kiểm tra khả năng phòng chống. Phân tích dữ liệu sử dụng các chỉ số như thời gian đáp ứng trung bình của máy chủ, mức sử dụng CPU và băng thông trước và sau khi áp dụng giải pháp. Timeline nghiên cứu kéo dài trong 12 tháng, từ thiết kế, triển khai đến đánh giá thử nghiệm.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu quả giảm thiểu tấn công UDP Flood: Khi áp dụng giải pháp sử dụng Iptables và Snort inline, tài nguyên CPU của máy chủ web giảm khoảng 40% so với khi không có giải pháp, đồng thời thời gian đáp ứng trung bình tăng không quá 15%, cho thấy khả năng duy trì dịch vụ ổn định trong điều kiện tấn công.

2. Khả năng ngăn chặn SYN Flood: Giải pháp đã giảm thiểu thành công số lượng kết nối nửa mở (half-open connections) đến dưới 10% so với kịch bản tấn công không có phòng chống, giúp tránh tình trạng cạn kiệt tài nguyên hệ thống.

3. Giảm thiểu tấn công HTTP Flood: Thời gian đáp ứng trung bình của máy chủ khi bị tấn công HTTP Flood giảm từ 8 giây xuống còn khoảng 3 giây sau khi áp dụng giải pháp, tương đương giảm 62,5%, giúp duy trì trải nghiệm người dùng.

4. Tính linh hoạt và khả năng mở rộng: Giải pháp dựa trên phần mềm mã nguồn mở cho phép cấu hình linh hoạt, dễ dàng mở rộng và triển khai trên nhiều hệ thống khác nhau với chi phí thấp.

Thảo luận kết quả

Nguyên nhân chính của hiệu quả trên là do sự kết hợp giữa Iptables trong việc lọc và chặn các gói tin không hợp lệ ở tầng mạng và Snort inline trong việc phát hiện các mẫu tấn công dựa trên luật, giúp ngăn chặn kịp thời các gói tin độc hại. So sánh với các nghiên cứu trước đây, giải pháp này có ưu điểm về chi phí và khả năng tùy biến cao hơn so với các thiết bị phần cứng chuyên dụng. Biểu đồ thể hiện sự thay đổi thời gian đáp ứng và mức sử dụng CPU trước và sau khi áp dụng giải pháp sẽ minh họa rõ nét hiệu quả phòng chống. Tuy nhiên, giải pháp vẫn còn hạn chế trong việc xử lý các tấn công zero-day hoặc các biến thể tấn công mới chưa có luật phát hiện, đòi hỏi cập nhật liên tục luật Snort và nâng cao nhận thức người dùng để giảm thiểu số lượng Agent trong mạng Botnet.

Đề xuất và khuyến nghị

1. Triển khai hệ thống IPS dựa trên Iptables và Snort inline: Các cơ quan, tổ chức nên áp dụng giải pháp này để tăng cường khả năng phòng chống tấn công DDoS, đặc biệt là các website quan trọng. Thời gian triển khai dự kiến trong vòng 3-6 tháng.

2. Cập nhật và duy trì luật phát hiện tấn công: Định kỳ cập nhật các luật Snort để phát hiện các biến thể tấn công mới, đảm bảo hệ thống luôn được bảo vệ trước các mối đe dọa mới. Chủ thể thực hiện là đội ngũ an ninh mạng, với chu kỳ cập nhật hàng tháng.

3. Tăng cường đào tạo và nâng cao nhận thức người dùng: Tổ chức các khóa đào tạo về an ninh mạng cho cán bộ, nhân viên nhằm giảm thiểu nguy cơ bị lợi dụng làm Agent trong mạng Botnet. Thời gian thực hiện liên tục, ưu tiên trong 6 tháng đầu.

4. Phối hợp với nhà cung cấp dịch vụ Internet (ISP): Thiết lập các cơ chế lọc lưu lượng và phát hiện sớm các dấu hiệu tấn công từ phía ISP, giúp giảm thiểu lưu lượng tấn công đến hệ thống. Thời gian thực hiện trong 12 tháng, cần sự phối hợp liên ngành.

Đối tượng nên tham khảo luận văn

1. Chuyên gia an ninh mạng: Nghiên cứu và phát triển các giải pháp phòng chống tấn công DDoS, áp dụng các công cụ mã nguồn mở để tối ưu chi phí và hiệu quả.

2. Quản trị viên hệ thống và mạng: Áp dụng các kiến thức và cấu hình Iptables, Snort inline để bảo vệ hệ thống mạng và website của tổ chức khỏi các cuộc tấn công DDoS.

3. Cơ quan nhà nước và tổ chức công: Nâng cao khả năng bảo vệ các dịch vụ trực tuyến quan trọng, đảm bảo hoạt động liên tục và uy tín trong môi trường số.

4. Sinh viên và nhà nghiên cứu CNTT: Tìm hiểu về các kỹ thuật tấn công DDoS, kiến trúc Botnet và các phương pháp phòng chống thực tiễn, làm cơ sở cho các nghiên cứu tiếp theo.

Câu hỏi thường gặp

1. DDoS là gì và tại sao nó nguy hiểm?
   DDoS là tấn công từ chối dịch vụ phân tán, sử dụng nhiều máy tính để gửi lượng lớn lưu lượng đến mục tiêu, làm gián đoạn hoặc ngừng hoạt động dịch vụ. Ví dụ, vụ tấn công Spamhaus 2013 đã làm chậm toàn bộ mạng Internet toàn cầu.

2. Iptables và Snort inline có vai trò gì trong phòng chống DDoS?
   Iptables là tường lửa lọc gói tin ở tầng mạng, còn Snort inline là hệ thống phát hiện và ngăn chặn xâm nhập dựa trên luật. Kết hợp hai công cụ này giúp phát hiện và chặn kịp thời các gói tin tấn công.

3. Giải pháp mã nguồn mở có hiệu quả như thế nào so với phần cứng chuyên dụng?
   Giải pháp mã nguồn mở có ưu điểm về chi phí thấp, dễ tùy biến và triển khai, phù hợp với các tổ chức có ngân sách hạn chế, đồng thời vẫn đảm bảo hiệu quả phòng chống trong nhiều trường hợp.

4. Làm thế nào để cập nhật luật Snort hiệu quả?
   Luôn theo dõi các nguồn tin về lỗ hổng và tấn công mới, sử dụng các bộ luật cập nhật từ cộng đồng và nhà phát triển Snort, đồng thời kiểm tra và thử nghiệm trước khi áp dụng vào hệ thống thực tế.

5. Người dùng có thể làm gì để giảm nguy cơ bị lợi dụng làm Agent trong Botnet?
   Người dùng cần cài đặt và cập nhật phần mềm diệt virus, tránh tải các file không rõ nguồn gốc, cập nhật bản vá hệ điều hành thường xuyên và nâng cao nhận thức về an ninh mạng.

Kết luận

• Luận văn đã phân tích chi tiết các kiểu tấn công DDoS, đặc biệt là tấn công vào website và máy chủ webserver.
• Giải pháp phòng chống dựa trên công cụ mã nguồn mở Iptables và Snort inline được thiết kế, triển khai và thử nghiệm thành công với hiệu quả rõ rệt.
• Các kết quả thử nghiệm cho thấy giảm thiểu đáng kể tài nguyên bị tiêu hao và cải thiện thời gian đáp ứng của hệ thống khi bị tấn công.
• Đề xuất các giải pháp thực tiễn bao gồm triển khai IPS, cập nhật luật phát hiện, đào tạo người dùng và phối hợp với ISP.
• Các bước tiếp theo là mở rộng thử nghiệm trên quy mô lớn hơn và nghiên cứu nâng cao khả năng phát hiện tấn công zero-day.

Hãy bắt đầu áp dụng các giải pháp này để bảo vệ hệ thống của bạn trước các mối đe dọa DDoS ngày càng tinh vi và nguy hiểm!

Trích đoạn nội dung tài liệu

CHƯƠNG I. TỔNG QUAN VỀ DDOS 1.1 Giới thiệu chung về DDoS. Tấn công từ chối dịch vụ phân tán (DDoS - Distributed Denial Of Service) là hoạt động làm chấm dứt hoặc gián đoạn các dịch vụ tại máy nạn nhân. Tấn công DDoS huy động số lượng lớn các máy bị lợi dụng để tấn công nạn nhân vào cùng một thời điểm.

Do DDoS có tính chất phân tán nên việc ngăn chặn là rất khó khăn. Việc ngăn chặn DDoS không thể từ một máy tính bị tấn công mà phải kết hợp giữa các router để tiến hành phân tích và chặn. Do có số lượng Agent lớn và bao phủ trên diện rộng nên việc phát hiện được các gói tin tấn công nhưng khó có khả năng giải quyết triệt để được DDoS. Ở đây Agent là những máy trực tiếp gửi thông điệp tấn công.

Trên Internet tấn công từ chối dịch vụ phân tán là một dạng tấn công từ nhiều máy tính tới một đích, nó gây ra từ chối các yêu cầu hợp lệ của các user bình thường. Bằng các tạo ra rất nhiều các gói tin đến đích cụ thể, nó có thể gây tình trạng tương tự như hệ thống bị shutdown. Khác với tấn công DoS (Denial of Service) là chỉ cần một máy để tấn công, DDoS sử dụng nhiều máy tính bị chiếm quyền điều khiển kết nối với nhau (mạng Botnet) để tấn công nên sức hủy hoại là rất lớn.2 Phân loại các kiểu tấn công DDoS. Để hiểu nghiên cứu về các cuộc tấn công DDoS, điều quan trọng là phải hiểu các cơ chế phân loại tấn công DDoS.

Nhìn chung, có rất nhiều biến thể của kỹ thuật tấn công DDoS nhưng nếu nhìn dưới góc độ chuyên môn thì có thể chia các biến thể này thành hai loại dựa trên mục đích tấn công: “Làm cạn kiệt băng thông và làm cạn kiệt tài nguyên hệ thống”. Tuy nhiên, trong thực tế, một cuộc tấn công có thể có cả hai tác động và có thể áp đặt những ảnh hưởng cao nhất có thể lên toàn bộ Internet. Loại này được đặt tên là tấn công cơ sở hạ tầng. Chúng ta sẽ đề cập đến loại tấn công này trong nghiên cứu của mình.

Trong bài luận cũng sẽ giới thiệu một loại tấn công khác được gọi là tấn công zero-day, nơi mà các tác động của cuộc tấn công không xác định. Dưới đây là sơ đồ mô tả sự phân loại các kiểu tấn công DDoS. Luan van 4 Hình 1.1: Phân loại các kiểu tấn công DDoS 1.1 Tấn công làm cạn kiệt băng thông Tấn công làm cạn kiệt băng thông (BandWith Depletion) được thiết kế nhằm làm tràn ngập mạng mục tiêu với những traffic không cần thiết, với mục địch làm giảm tối thiểu khả năng của các traffic hợp lệ đến được hệ thống cung cấp dịch vụ của mục tiêu. Có hai loại tấn công làm cạn kiệt băng thông: - Tấn công tràn băng thông (Flood attack) - Tấn công khuếch đại (Amplification attack) 1.1 Tấn công tràn băng thông (Flood attack): Trong phương pháp này, các Agent sẽ gửi một lượng lớn IP traffic làm hệ thống dịch vụ của mục tiêu bị chậm lại, hệ thống bị treo hay đạt đến trạng thái hoạt động bão hòa.

Làm cho những người dùng thực sự của hệ thống không sử dụng được dịch vụ. Ta có thể chia Flood Attack thành hai loại: - UDP Flood Attack: do tính chất connectionless của UDP, hệ thống nhận UDP message chỉ đơn giản nhận vào tất cả các packet mình cần phải xử lý. Một Luan van 5 lượng lớn các UDP packet được gửi đến hệ thống dịch vụ của mục tiêu sẽ đẩy toàn bộ hệ thống đến ngưỡng tới hạn. - Các UDP packet này có thể được gửi đến nhiều port tùy ý hay chỉ duy nhất một port.

Thông thường là sẽ gửi đến nhiều port làm cho hệ thống mục tiêu phải căng ra để xử lý phân hướng cho các packet này. Nếu port bị tấn công không sẵn sàng thì hệ thống mục tiêu sẽ gửi ra một ICMP packet loại “destination port unreachable”. Thông thường các Agent software sẽ dùng địa chỉ IP giả để che giấu hành tung, cho nên các packet trả về do không có port xử lý sẽ dẫn đến một địa chỉ IP khác. UDP Flood attack cũng có thể làm ảnh hưởng đến các kết nối xung quanh mục tiêu do sự hội tụ của packet diễn ra rất mạnh.

- ICMP Flood Attack: được thiết kế nhằm mục đích quản lý mạng cũng như định vị thiết bị mạng. Khi các Agent gửi một lượng lớn ICMP ECHO REQUEST đến hệ thống mục tiêu thì hệ thống này phải reply một lượng tương ứng Packet để trả lời, sẽ dẫn đến nghẽn đường truyền. Tương tự trường hợp trên, địa chỉ IP của các Agent có thể bị giả mạo.2 Tấn công khuếch đại (Amplification Attack): Amplification Attack nhắm đến việc sử dụng các chức năng hỗ trợ địa chỉ IP broadcast của các router nhằm khuyếch đại và hồi chuyển cuộc tấn công. Chức năng này cho phép bên gửi chỉ định một địa chỉ IP broadcast cho toàn subnet bên nhận thay vì nhiều địa chỉ.

Router sẽ có nhiệm vụ gửi đến tất cả địa chỉ IP trong subnet đó packet broadcast mà nó nhận được. Attacker có thể gửi broadcast packet trực tiếp hay thông qua một số Agent nhằm làm gia tăng cường độ của cuộc tấn công. Nếu attacker trực tiếp gửi packet, thì có thể lợi dụng các hệ thống bên trong broadcast network như một Agent. Luan van 6 Hình 1.2: Amplification Attack Có thể chia amplification attack thành hai loại, Smuft và Fraggle attack: - Smuft attack: trong kiểu tấn công này attacker Điều khiển các agent hay client tự gửi message đến một địa chỉ IP broadcast làm cho tất cả các máy trong subnet này gửi message đến hệ thống dịch vụ của mục tiêu làm gia tăng traffic không cần thiết và làm suy giảm băng thông mục tiêu.

Trong Smurf Attack, cần có ba thành phần: hacker (người ra lệnh tấn công), mạng khuếch đại (sẽ nghe lệnh của hacker) và nạn nhân. Hacker sẽ gửi các ICMP echo request packets đến địa chỉ broadcast của mạng khuếch đại. Điều đặc biệt là các ICMP echo request packet này có địa chỉ IP nguồn chính là địa chỉ IP của nạn nhân. Khi các packet đó đến được địa chỉ broadcast của mạng khuếch đại, lập tức tất cả các máy tính trong mạng khuếch đại sẽ nhận được các packet này.

Các máy này tưởng rằng máy tính nạn nhân đã gửi ICMP echo request packets đến (do hacker đã làm giả địa chỉ IP nguồn), lập tức chúng sẽ đồng loạt gửi trả lại hệ thống nạn nhân các ICMP reply echo request packet. Hệ thống máy nạn nhân sẽ không chịu nổi một khối lượng khổng lồ packet và nhanh chóng bị ngừng hoạt động, crash hoặc reboot. Như vậy có thể thấy rằng hacker chỉ cần gửi một lượng nhỏ các ICMP echo request packets đi, và hệ thống mạng khuếch đại sẽ khuếch đại lượng ICMP echo request packet này lên gấp bội. Luan van 7 - Fraggle Attack: tương tự như Smuft attack nhưng thay vì dùng ICMP ECHO REQUEST packet thì sẽ dùng UDP ECHO packet gửi đến mục tiêu.

Thật ra còn một biến thể khác của Fraggle attack sẽ gửi đến UDP ECHO packet đến chargen port (port 19/UNIX) của mục tiêu, với địa chỉ bên gửi là echo port (port 7/UNIX) của mục tiêu, tạo nên một vòng lặp vô hạn. Attacker phát động cuộc tấn công bằng một ECHO REQUEST với địa chỉ bên nhận là một địa chỉ broadcast, toàn bộ hệ thống thuộc địa chỉ này lập tức gửi REPLY đến port echo của nạn nhân, sau đó từ nạn nhân một ECHO REPLY lại gửi trở về địa chỉ broadcast, quá trình cứ thế tiếp diễn. Đây chính là nguyên nhân Flaggle Attack nguy hiểm hơn Smuft Attack rất nhiều.2 Tấn công làm cạn kiệt tài nguyên. Tấn công làm cạn kiệt tài nguyên (Resource Deleption Attack) là kiểu tấn công trong đó Attacker gửi những packet dùng các protocol sai chức năng thiết kế, hay gửi những packet với dụng ý làm tắt nghẽn tài nguyên mạng làm cho các tài nguyên này không phục vụ những người dùng thông thường khác được.1 Protocol Exploit Attack.

- TCP SYN Attack: Transfer Control Protocol hỗ trợ truyền nhận với độ tin cậy cao nên sử dụng phương thức bắt tay giữa bên gửi và bên nhận trước khi truyền dữ liệu. Bước đầu tiên, bên gửi gửi một SYN REQUEST packet (Synchronize). Bên nhận nếu nhận được SYN REQUEST sẽ trả lời bằng SYN/ACK packet. Bước cuối cùng, bên gửi sẽ truyền packet cuối cùng ACK và bắt đầu truyền dữ liệu.3: Ba bước kết nối TCP/IP Nếu bên server đã trả lời một yêu cầu SYN bằng một SYN/ACK nhưng không nhận được ACK packet cuối cùng sau một khoảng thời gian quy định thì nó Luan van 8 sẽ gửi lại SYN/ACK cho đến hết thời gian timeout.

Toàn bộ tài nguyên hệ thống “dự trữ” để xử lý phiên giao tiếp nếu nhận được ACK packet cuối cùng sẽ bị “phong tỏa” cho đến hết thời gian timeout.4: Trường hợp IP nguồn giả Nắm được điểm yếu này, attacker gửi một SYN packet đến nạn nhân với địa chỉ bên gửi là giả mạo, kết quả là nạn nhân gửi SYN/ACK đến một địa chỉ khác và sẽ không bao giờ nhận được ACK packet cuối cùng, cho đến hết thời gian timeout nạn nhân mới nhận ra được điều này và giải phóng các tài nguyên hệ thống. Tuy nhiên, nếu lượng SYN packet giả mạo đến với số lượng nhiều và dồn dập, hệ thống của nạn nhân có thể bị hết tài nguyên. - PUSH và ACK Attack: Trong TCP protocol, các packet được chứa trong buffer, khi buffer đầy thì các packet này sẽ được chuyển đến nơi cần thiết. Tuy nhiên, bên gửi có thể yêu cầu hệ thống unload buffer trước khi buffer đầy bằng cách gửi một packet với cờ PUSH và ACK mang giá trị là 1.

Những packet này làm cho hệ thống của nạn nhân unload tất cả dữ liệu trong TCP buffer ngay lập tức và gửi một ACK packet trở về khi thực hiện xong điều này, nếu quá trình được diễn ra liên tục với nhiều Agent, hệ thống sẽ không thể xử lý được lượng lớn packet gửi đến và sẽ bị treo.2 Malformed Packet Attack. Malformed Packet Attack là cách tấn công dùng các Agent để gửi các packet có cấu trúc không đúng chuẩn nhằm làm cho hệ thống của nạn nhân bị treo. Có hai loại Malformed Packet Attack: - IP address attack: dùng packet có địa chỉ gửi và nhận giống nhau làm cho hệ điều hành của nạn nhân không xử lý nổi và bị treo. Luan van 9 - IP packet options attack ngẫu nhiên hóa vùng OPTION trong IP packet và thiết lập tất cả các bit QoS lên 1, điều này làm cho hệ thống của nạn nhân phải tốn thời gian phân tích, nếu sử dụng số lượng lớn Agent có thể làm hệ thống nạn nhân hết khả năng xử lý.