Nghiên Cứu Về Các Cuộc Tấn Công Giảm Chất Lượng Trên Cơ Chế Thích Ứng

Luận án tiến sĩ nghiên cứu reduction of quality attacks on adaptation mechanisms, phân tích chuyên sâu, xây dựng mô hình lý thuyết, đề xuất giải pháp khoa học cho vấn đề thực tiễn.

• Tác giả: Mina Guirguis
• Người hướng dẫn: Azer Bestavros, Ph. Professor of Computer Science
• Trường học: Boston University
• Chuyên ngành: Computer Science
• Đề tài: Reduction of Quality Attacks on Adaptation Mechanisms
• Loại tài liệu: Dissertation
• Năm xuất bản: 2007
• Địa điểm: Ann Arbor

Mục lục chi tiết

• Acknowledgments
• 1. CHƯƠNG 1: INTRODUCTION
• 2. RoQ Attack Definition and Premise
• 2.1. Attack Goal and Definition
• 2.2. Adaptation as an Optimization Process
• 3. RoQ Attacks on Network Transport Protocols
• 3.3. Numerical and Simulation Results
• 3.4. Internet Experiments and Implementation Results
• 4. Distributed RoQ Attacks for Stealing Bandwidth
• 4.1. Attack Definition
• 4.2. RoQ Attack Construction
• 4.3. Selecting the Targeted Links
• 4.4. A Lower Bound on Zombies
• 4.5. Internet Experiments and Implementation Results
• 5. Bounds on the Impact of Low-Rate Attacks
• 5.1. Low-Rate Attacks
• 5.2. Reduction of Quality Attacks
• 5.3. An Outline for a Possible Defense Mechanism
• 5.4. RTO Randomization vs. Randomized Attacker
• 6. RoQ Attacks on End-System Admission Controllers
• 6.4. Internet Experiments and Implementation Results
• 7. RoQ Attacks on End-System Load Balancers
• 7.1. An Upper Bound on Attack Potency
• 7.2. Potency for Dynamic Load Balancing
• 7.3. A Lower Bound on Attack Potency
• 7.5. Internet Experiments and Implementation Results
• 8. Conclusions, Derivative Work and Future Work
• 8.1. Exposing Additional Vulnerabilities in Adaptation Mechanisms
• 8.2. Other (Less Harmful and More Plausible) RoQ-like Exploits
• 8.3. Control-Plane Intrusion Detection System
• Appendix A
• Appendix B
• References
• Curriculum Vitae

Tóm tắt

I. Tổng Quan Về Tấn Công Giảm Chất Lượng RoQ Cơ Chế Thích Ứng

Trong bối cảnh an ninh mạng ngày càng phức tạp, việc hiểu rõ các cuộc tấn công giảm chất lượng (Reduction of Quality - RoQ) nhắm vào cơ chế thích ứng là vô cùng quan trọng. Các hệ thống hiện đại sử dụng cơ chế thích ứng để tối ưu hóa hiệu suất, đảm bảo tính ổn định, hiệu quả và công bằng. Tuy nhiên, những cơ chế này lại trở thành mục tiêu của các cuộc tấn công tinh vi, khai thác các đặc tính động của chúng. Nghiên cứu này tập trung vào việc khám phá và phân tích loại hình tấn công này, cung cấp một khuôn khổ lý thuyết kiểm soát chung để mô hình hóa và đánh giá các lỗ hổng tiềm ẩn. Mục tiêu là làm suy yếu khả năng phục hồi của hệ thống và giảm đáng kể chất lượng dịch vụ. Mina Guirguis đã trình bày một khuôn khổ lý thuyết kiểm soát chung, cung cấp một phương pháp thống nhất để mô hình hóa và đánh giá tính dễ bị tấn công của các khai thác RoQ.

1.1. Định Nghĩa và Mục Tiêu của Tấn Công Giảm Chất Lượng RoQ

Tấn công RoQ không giống như các cuộc tấn công từ chối dịch vụ (DoS) truyền thống. Thay vì làm sập hệ thống bằng lưu lượng truy cập lớn, RoQ khai thác các đặc tính động của cơ chế thích ứng, đẩy hệ thống vào trạng thái chuyển tiếp liên tục. Điều này làm giảm hiệu quả hoạt động và chất lượng dịch vụ. Mục tiêu của tấn công RoQ là tối đa hóa thiệt hại gây ra cho hệ thống bằng cách tiêu thụ một phần nhỏ tài nguyên bị chiếm đoạt. Điều này khác biệt so với các cuộc tấn công DoS hoặc DDoS brute-force, vốn tìm cách hạ gục hệ thống bằng mọi giá. RoQ tập trung vào việc tối ưu hóa tác động tiêu cực với chi phí thấp.

1.2. Cơ Chế Thích Ứng Quá Trình Tối Ưu Hóa và Lỗ Hổng Bảo Mật

Cơ chế thích ứng được thiết kế để tối ưu hóa hiệu suất hệ thống bằng cách điều chỉnh các thông số hoạt động dựa trên điều kiện môi trường. Tuy nhiên, quá trình này có thể tạo ra các lỗ hổng bảo mật. Tấn công RoQ lợi dụng các lỗ hổng này bằng cách thao túng các thông số để làm suy yếu hiệu suất. Ví dụ, một cuộc tấn công có thể làm cho bộ điều khiển chấp nhận liên tục ở trạng thái chuyển tiếp, làm giảm khả năng xử lý yêu cầu hợp lệ. Việc hiểu rõ cách thức cơ chế thích ứng hoạt động và các điểm yếu tiềm ẩn của chúng là rất quan trọng để phát triển các biện pháp phòng thủ hiệu quả.

II. Phương Pháp Phân Tích Rủi Ro Tấn Công RoQ Mô Hình Lý Thuyết Kiểm Soát

Để đánh giá rủi ro và tác động của tấn công RoQ, một khuôn khổ lý thuyết kiểm soát chung được phát triển. Khuôn khổ này cung cấp một phương pháp thống nhất để mô hình hóa và phân tích các đặc tính động của cơ chế thích ứng. Nó cho phép các nhà nghiên cứu và chuyên gia bảo mật xác định các lỗ hổng tiềm ẩn và đánh giá hiệu quả của các biện pháp phòng thủ. Khuôn khổ này cũng giới thiệu khái niệm về "tiềm năng tấn công", tập trung vào việc tối đa hóa lợi ích biên của lưu lượng tấn công. Điều này giúp hiểu rõ hơn về động cơ của kẻ tấn công và phát triển các chiến lược phòng thủ hiệu quả hơn. Mina Guirguis đã sử dụng các mô hình phân tích chi tiết và các số liệu liên quan trên một loạt các cơ chế thích ứng thường được sử dụng trong các giao thức mạng, bộ điều khiển chấp nhận hệ thống cuối và bộ cân bằng tải.

2.1. Xây Dựng Mô Hình Tấn Công RoQ Xác Định Điểm Yếu Hệ Thống

Việc xây dựng mô hình tấn công RoQ đòi hỏi phải xác định các điểm yếu trong cơ chế thích ứng. Điều này bao gồm việc phân tích các đặc tính động của hệ thống và xác định các thông số có thể bị thao túng để gây ra sự suy giảm hiệu suất. Mô hình nên xem xét các yếu tố như thời gian phản hồi của hệ thống, độ trễ phản hồi và khả năng phục hồi. Bằng cách xây dựng mô hình tấn công, các nhà nghiên cứu có thể dự đoán tác động của các cuộc tấn công khác nhau và phát triển các biện pháp phòng thủ phù hợp. Việc phân tích rủi ro và quản lý rủi ro là yếu tố then chốt.

2.2. Đánh Giá Tiềm Năng Tấn Công Tối Ưu Hóa Thiệt Hại Với Chi Phí Thấp

Tiềm năng tấn công là một thước đo về khả năng của một cuộc tấn công RoQ để gây ra thiệt hại cho hệ thống. Nó được xác định bởi các yếu tố như tốc độ tấn công, thời gian tấn công và hiệu quả của cuộc tấn công trong việc thao túng cơ chế thích ứng. Mục tiêu của kẻ tấn công là tối đa hóa tiềm năng tấn công với chi phí thấp nhất. Điều này có nghĩa là tìm ra các chiến lược tấn công hiệu quả nhất mà không cần sử dụng quá nhiều tài nguyên. Việc đánh giá tiềm năng tấn công giúp các nhà nghiên cứu ưu tiên các biện pháp phòng thủ và tập trung vào việc bảo vệ chống lại các cuộc tấn công có khả năng gây ra thiệt hại lớn nhất.

III. Ứng Dụng Nghiên Cứu Tấn Công RoQ Trên Giao Thức Vận Chuyển Mạng

Nghiên cứu này áp dụng khuôn khổ lý thuyết kiểm soát để phân tích tấn công RoQ trên các giao thức vận chuyển mạng, đặc biệt là TCP (Transmission Control Protocol) với RED (Random Early Detection). Các kết quả cho thấy rằng tấn công RoQ có thể gây ra sự suy giảm đáng kể về hiệu suất mạng bằng cách thao túng các thông số của TCP và RED. Các thí nghiệm trên Internet và mô phỏng số xác nhận tính hiệu quả của các cuộc tấn công này. Nghiên cứu cũng xác định các yếu tố chính ảnh hưởng đến khả năng phục hồi và tính dễ bị tấn công của các giao thức mạng đối với tấn công RoQ. Các yếu tố này có thể được sử dụng để tăng cường khả năng phòng thủ của các giao thức mạng và phát triển các biện pháp đối phó mới. Các giao thức mạng như TCP rất dễ bị tấn công làm cạn kiệt tài nguyên.

3.1. Phân Tích Lỗ Hổng TCP RED Khai Thác Đặc Tính Động

TCP và RED là các giao thức quan trọng để đảm bảo truyền dữ liệu đáng tin cậy trên Internet. Tuy nhiên, các đặc tính động của chúng có thể bị khai thác bởi tấn công RoQ. Ví dụ, một cuộc tấn công có thể thao túng cơ chế kiểm soát tắc nghẽn của TCP để làm giảm tốc độ truyền dữ liệu. Tương tự, một cuộc tấn công có thể thao túng RED để làm tăng độ trễ và mất gói. Việc phân tích các lỗ hổng này giúp các nhà nghiên cứu hiểu rõ hơn về cách thức tấn công RoQ có thể ảnh hưởng đến hiệu suất mạng và phát triển các biện pháp phòng thủ hiệu quả.

3.2. Thí Nghiệm và Mô Phỏng Đánh Giá Tác Động Thực Tế

Để đánh giá tác động thực tế của tấn công RoQ trên các giao thức vận chuyển mạng, các thí nghiệm trên Internet và mô phỏng số đã được thực hiện. Các thí nghiệm này cho thấy rằng tấn công RoQ có thể gây ra sự suy giảm đáng kể về hiệu suất mạng, đặc biệt là trong các điều kiện tắc nghẽn. Các kết quả mô phỏng cũng xác nhận tính hiệu quả của các cuộc tấn công này và cung cấp thông tin chi tiết về các yếu tố ảnh hưởng đến khả năng phục hồi của mạng. Các thí nghiệm này rất quan trọng để xác thực các mô hình lý thuyết và phát triển các biện pháp phòng thủ thực tế.

IV. Giải Pháp Phòng Chống Tấn Công RoQ Cơ Chế Tự Bảo Vệ Phản Ứng Tự Động

Để chống lại tấn công RoQ, cần phát triển các cơ chế tự bảo vệ và phản ứng tự động. Điều này bao gồm việc phát hiện các cuộc tấn công, giảm thiểu tác động của chúng và phục hồi hệ thống về trạng thái bình thường. Các biện pháp phòng thủ có thể bao gồm việc sử dụng các thuật toán phát hiện bất thường, điều chỉnh động các thông số hệ thống và triển khai các chính sách bảo mật mạnh mẽ. Nghiên cứu này đề xuất một số biện pháp phòng thủ tiềm năng và đánh giá hiệu quả của chúng thông qua mô phỏng và thí nghiệm. Mục tiêu là tạo ra các hệ thống có khả năng tự bảo vệ chống lại tấn công RoQ và duy trì chất lượng dịch vụ ngay cả khi bị tấn công. Các hệ thống cần có khả năng phục hồi hệ thống cao.

4.1. Phát Hiện Bất Thường Sử Dụng Học Máy và Phân Tích Lưu Lượng Mạng

Phát hiện bất thường là một kỹ thuật quan trọng để xác định tấn công RoQ. Điều này bao gồm việc phân tích lưu lượng mạng và các thông số hệ thống để tìm kiếm các mẫu bất thường có thể chỉ ra một cuộc tấn công. Học máy và trí tuệ nhân tạo có thể được sử dụng để tự động hóa quá trình phát hiện bất thường và cải thiện độ chính xác của nó. Ví dụ, một thuật toán học máy có thể được huấn luyện để xác định các mẫu lưu lượng truy cập liên quan đến tấn công RoQ. Việc sử dụng phân tích lưu lượng mạng là yếu tố then chốt.

4.2. Giảm Thiểu Tác Động Điều Chỉnh Động và Chính Sách Bảo Mật

Khi một cuộc tấn công RoQ được phát hiện, cần thực hiện các biện pháp để giảm thiểu tác động của nó. Điều này có thể bao gồm việc điều chỉnh động các thông số hệ thống để giảm thiểu sự suy giảm hiệu suất. Ví dụ, bộ điều khiển chấp nhận có thể được điều chỉnh để hạn chế số lượng yêu cầu được chấp nhận. Các chính sách bảo mật mạnh mẽ cũng có thể được triển khai để ngăn chặn kẻ tấn công truy cập vào hệ thống. Việc sử dụng bảo mật chủ động và bảo mật phản ứng là rất quan trọng.

V. Kết Luận Hướng Nghiên Cứu Tương Lai Bảo Mật Hệ Thống Thích Ứng

Nghiên cứu này đã khám phá một loại hình tấn công mới, tấn công RoQ, nhắm vào cơ chế thích ứng trong các hệ thống máy tính và mạng. Các kết quả cho thấy rằng tấn công RoQ có thể gây ra sự suy giảm đáng kể về hiệu suất và chất lượng dịch vụ. Nghiên cứu cũng cung cấp một khuôn khổ lý thuyết kiểm soát chung để mô hình hóa và đánh giá các lỗ hổng tiềm ẩn. Hướng nghiên cứu tương lai bao gồm việc phát triển các biện pháp phòng thủ hiệu quả hơn, khám phá các loại hình tấn công RoQ mới và mở rộng khuôn khổ lý thuyết kiểm soát để bao gồm các loại cơ chế thích ứng khác. Mục tiêu cuối cùng là tạo ra các hệ thống có khả năng tự bảo vệ chống lại tấn công RoQ và duy trì chất lượng dịch vụ ngay cả trong môi trường thù địch. Cần tập trung vào kiến trúc bảo mật và thiết kế bảo mật.

5.1. Khám Phá Lỗ Hổng Mới Mở Rộng Phạm Vi Nghiên Cứu

Nghiên cứu tương lai nên tập trung vào việc khám phá các lỗ hổng mới trong cơ chế thích ứng. Điều này bao gồm việc phân tích các loại cơ chế thích ứng khác nhau và xác định các điểm yếu tiềm ẩn của chúng. Nghiên cứu cũng nên xem xét các loại hình tấn công RoQ mới có thể được phát triển để khai thác các lỗ hổng này. Việc mở rộng phạm vi nghiên cứu sẽ giúp các nhà nghiên cứu hiểu rõ hơn về các mối đe dọa tiềm ẩn và phát triển các biện pháp phòng thủ toàn diện hơn.

5.2. Phát Triển Biện Pháp Phòng Thủ Tăng Cường Khả Năng Chống Chịu

Một hướng nghiên cứu quan trọng khác là phát triển các biện pháp phòng thủ hiệu quả hơn chống lại tấn công RoQ. Điều này bao gồm việc cải thiện các thuật toán phát hiện bất thường, phát triển các kỹ thuật điều chỉnh động tiên tiến hơn và triển khai các chính sách bảo mật mạnh mẽ hơn. Nghiên cứu cũng nên xem xét việc sử dụng các công nghệ mới như blockchain và AI để tăng cường khả năng chống chịu của hệ thống. Cần tập trung vào kiểm thử xâm nhập và đánh giá bảo mật.

Nội dung chính

Tổng quan luận án

Nghiên cứu an ninh mạng truyền thống chủ yếu tập trung vào các thuộc tính tĩnh của hệ thống và phần mềm, chẳng hạn như lỗi tràn bộ đệm (buffer overflow) chiếm khoảng 50% các lỗ hổng bảo mật nghiêm trọng trong hai thập kỷ theo thống kê của văn bản, hoặc các cuộc tấn công từ chối dịch vụ (Denial of Service - DoS) vét cạn tài nguyên dựa trên việc khai thác giới hạn năng lực cố định. Báo cáo của CSI/FBI năm 2005 chỉ ra rằng 65% số tổ chức tham gia khảo sát gặp phải sự cố virus và 25% là nạn nhân của tấn công DoS, gây tổng thiệt hại vượt 18 triệu USD. Các cuộc tấn công DoS quy mô lớn như sâu MyDoom đòi hỏi mạng botnet từ 100.000 đến 200.000 máy ma (zombies). Tuy nhiên, các tấn công này dễ bị phát hiện và ngăn chặn do lưu lượng dồn dập vượt ngưỡng trong thời gian dài.

Khoảng trống nghiên cứu then chốt mà luận án chỉ ra nằm ở động lực học của các cơ chế thích nghi (adaptation mechanisms). Để tối ưu hóa hiệu năng trong môi trường tải biến động, các thành phần mạng và hệ thống phân tán được trang bị các cơ chế phản hồi nhằm duy trì tính ổn định, hiệu quả và công bằng. Các mô hình thiết kế và đánh giá truyền thống thường bỏ qua hành vi quá độ (transient behavior) ngắn hạn và chỉ tập trung vào giá trị trung bình ở trạng thái dừng dài hạn. Luận án đặt vấn đề: một đối kháng có thể khai thác chính đặc tính quá độ này để gây suy giảm chất lượng dịch vụ nghiêm trọng mà không cần duy trì tải cao liên tục.

Mục tiêu và câu hỏi nghiên cứu của luận án được xác định cụ thể:

1. Phát hiện, định nghĩa và mô hình hóa hình thức tấn công đối kháng mới nhắm vào động lực học quá độ của các cơ chế thích nghi, được định danh là tấn công giảm chất lượng dịch vụ (Reduction of Quality - RoQ).
2. Xây dựng một khung lý thuyết điều khiển thống nhất (control-theoretic framework) và thiết lập chỉ số hiệu lực tấn công (attack potency) nhằm lượng hóa mối quan hệ đánh đổi giữa thiệt hại gây ra và chi phí tấn công.
3. Đánh giá tính dễ bị tổn thương và kiểm chứng thực nghiệm tác động của tấn công RoQ trên ba lớp cơ chế thích nghi phổ biến: giao thức truyền vận mạng (TCP kết hợp các chính sách quản lý hàng đợi RED, DropTail), bộ điều khiển chấp nhận yêu cầu ở hệ thống đầu cuối (PI admission controller), và các chính sách cân bằng tải động (load balancers).

Về đối tượng và phạm vi nghiên cứu:

• Đối tượng nghiên cứu: Các cơ chế thích nghi tài nguyên mạng và hệ thống đầu cuối, bao gồm thuật toán điều khiển tắc nghẽn Additive Increase Multiplicative Decrease (AIMD) của TCP, cơ chế quản lý hàng đợi chủ động Random Early Detection (RED), hàng đợi DropTail, bộ điều khiển chấp nhận Proportional Integral (PI), và các chính sách cân bằng tải tỷ lệ (proportional), có trọng số (weighted) và tải ít nhất (least-loaded).
• Phạm vi không gian: Nghiên cứu kết hợp mô hình hóa giải tích, mô phỏng trên phần mềm ns-2, và thực nghiệm trên mạng Internet thực tế kết nối các máy trạm tại Đại học Boston qua bộ định tuyến Linux với máy chủ nội bộ và máy chủ từ xa xuyên Đại Tây Dương qua 21 chặng mạng (hops).
• Phạm vi thời gian: Luận án hoàn thành và bảo vệ năm 2006 (xuất bản năm 2007). Các thực nghiệm Internet liên lục địa được đo đạc trong khung giờ cố định từ 4:00 đến 7:00 GMT nhằm hạn chế sai số do lưu lượng nền.

Tổng quan tài liệu và vị trí của luận án

Trong việc bảo vệ các đặc tính tĩnh của hệ thống, các công trình trước đây tập trung vào ngôn ngữ an toàn bộ nhớ như CCured [54] và Cyclone [74], hoặc các kỹ thuật phòng thủ ngăn xếp như StackGuard [29] và ProPolice [36]. Đối với các cuộc tấn công DoS, các nghiên cứu của Lau và ctg [20, 21] xem xét các chiến lược làm tràn ngập tài nguyên bằng lưu lượng cao liên tục. Nghiên cứu của Kuzmanovic và Knightly [59] giới thiệu tấn công Shrew, một dạng tấn công tốc độ thấp khai thác cấu hình tĩnh của cơ chế định thời tái truyền (Retransmission Timeout - RTO) của giao thức TCP. Bên cạnh đó, các nghiên cứu gần đây như của Hussain và ctg [55] ghi nhận xu hướng kẻ tấn công chuyển dịch từ tấn công tràn ngập sang mô phỏng hành vi duyệt web của người dùng để tránh bị phát hiện.

Về lý thuyết điều khiển và mô hình hóa mạng, Frank Kelly [78] cùng các nghiên cứu của Steven Low và ctg [58] đã thiết lập nền tảng mô hình hóa cơ chế thích nghi tắc nghẽn như một quá trình giải bài toán tối ưu hóa thông qua hàm Lyapunov, trong đó phản hồi từ mạng được xem là tín hiệu định giá (pricing). Vấn đề định giá tắc nghẽn cũng được phân tích trong các nghiên cứu kinh tế mạng của MacKie-Mason và Varian [65, 76]. Về động lực học của TCP kết hợp với các cơ chế quản lý hàng đợi, Misra, Gong, Towsley, Hollot và ctg [48, 57, 62, 86] đã phát triển các mô hình dòng vi phân (fluid models) để phân tích tính ổn định của hệ thống phản hồi TCP + RED. Các chính sách quản lý hàng đợi chủ động bao gồm RED [39, 41], Flow Random Early Drop (FRED) [61], Proportional Integral (PI) [49], và Random Exponential Marking (REM) [12]. Tác động của mất gói ngẫu nhiên phi đối kháng đến hiệu năng TCP từng được khảo sát bởi Baccelli và ctg [13], cũng như Floyd và ctg [46]. Các nghiên cứu về quy tắc tăng giảm thân thiện với TCP (TCP-friendly) được tổng kết bởi Floyd và ctg [45], và Bansal, Balakrishnan [15]. Ở tầng ứng dụng, các bộ điều khiển chấp nhận dựa trên phản hồi độ trễ và tải CPU được phát triển bởi Abdelzaher và ctg [99, 100], Voigt và ctg [17].

Khoảng trống nghiên cứu mà luận án lựa chọn giải quyết là sự thiếu vắng một phương pháp luận an ninh đánh giá hành vi quá độ của các cơ chế thích nghi. Hầu hết các công trình trước đây chỉ xem cơ chế thích nghi là giải pháp kỹ thuật nâng cao hiệu năng mà không lường trước việc chính thuật toán điều khiển vòng lặp kín có thể bị vũ khí hóa. Đồng thời, các nghiên cứu trước đo lường mức độ phá hoại dựa trên thiệt hại tuyệt đối mà chưa định lượng tương quan giữa thiệt hại và chi phí của kẻ tấn công để đánh giá các mối đe dọa ẩn danh, tốc độ thấp.

Cơ sở lý thuyết và phương pháp nghiên cứu

Luận án xây dựng cơ sở lý thuyết dựa trên lý thuyết điều khiển tối ưu (optimal control theory). Quá trình thích ứng của tài nguyên được trừu tượng hóa thành việc quan sát tải và thiết lập giá $p_l(\cdot)$ thông qua một hàm định giá (pricing function), biểu thị mức độ tắc nghẽn (như tỷ lệ đánh dấu/loại bỏ gói tin hoặc thời gian trễ). Người tiêu thụ (consumers) quan sát giá và điều chỉnh tốc độ gửi $x_r(t)$ theo phương trình vi phân:

$$\dot{x}r(t) = f_r(x(t)) - g_r(x(t)) \sum{l \in r} p_l(y_l(t))$$

Trong đó $f_r(\cdot)$ và $g_r(\cdot)$ là các hàm tăng và giảm tốc độ. Trạng thái dừng của hệ thống được chứng minh hội tụ về điểm cực trị tối ưu hóa hàm Lyapunov $U(x)$:

$$U(x) = \sum_{r \in R} w_r \log x_r - \sum_{l \in L} \int_{0}^{y_l} p_l(y) dy$$

Mục tiêu của tấn công RoQ là làm xáo trộn hàm định giá vào đúng thời điểm hệ thống sắp đạt trạng thái cân bằng, phá vỡ tính chất ánh xạ co (contractive mapping) cần thiết cho sự hội tụ, từ đó ép hệ thống liên tục vận hành trong pha quá độ kém hiệu quả.

Để lượng hóa hành vi này, luận án thiết lập chỉ số hiệu lực tấn công Potency ($\Pi$):

$$\Pi = \frac{\text{Damage}}{(\text{Cost})^\Omega}$$

Trong đó, Cost là tài nguyên mà kẻ tấn công tiêu tốn (như tốc độ trung bình, thời gian xung), Damage là phần năng lực hệ thống bị lãng phí hoặc độ suy giảm chất lượng dịch vụ gây ra cho người dùng hợp lệ, và $\Omega$ là tham số biểu thị mức độ hung hăng (aggressiveness) của kẻ tấn công. Khi $\Omega = 1$, thiệt hại được đối chiếu trực tiếp với chi phí. Xung tấn công RoQ được biểu diễn bằng hàm sóng vuông lặp lại có độ lớn $M = \delta \tau$, với biên độ $\delta$, độ dài xung $\tau$ và chu kỳ lặp $T$.

Phương pháp nghiên cứu thực tế bao gồm ba kỹ thuật định lượng:

1. Mô hình hóa giải tích: Xây dựng hệ phương trình vi phân dòng (fluid models) tuyến tính hóa cho hệ thống TCP + RED và mô hình thời gian rời rạc (discrete-time models) cho bộ điều khiển chấp nhận và cân bằng tải.
2. Mô phỏng số và mô phỏng mạng: Thực hiện giải tích số và mô phỏng hướng sự kiện trên phần mềm ns-2 để bao hàm các hiện tượng phi tuyến tính như cơ chế khởi động chậm (slow start), hết thời gian chờ (timeouts) và lưu lượng chéo đa chặng.
3. Thực nghiệm mạng thực tế (Internet testbed): Triển khai hệ thống gồm các máy tính chạy hệ điều hành Linux RedHat 2.4, sử dụng gói công cụ iproute2 và tc để cấu hình kỷ luật xếp hàng (pfifo) trên giao diện mạng 10 Mbps của bộ định tuyến nút nghẽn $R$. Lưu lượng tấn công UDP từ nguồn $A_s$ tới đích $A_t$ đi qua nút nghẽn để tác động lên 6 luồng TCP hợp lệ nối với máy chủ nội bộ $S_0$ (RTT khoảng 15 ms) hoặc máy chủ từ xa $S_1$ (RTT khoảng 120 ms).

Nội dung chính theo từng chương

Chương 1: Giới thiệu (Introduction)

Chương này đặt nền móng bằng việc phân biệt giữa các lỗ hổng tĩnh và lỗ hổng động lực học trong hệ thống máy tính và mạng. Tác giả chỉ ra rằng các cơ chế thích nghi như kiểm soát tắc nghẽn, kiểm soát chấp nhận và cân bằng tải vốn được thiết kế để ổn định hệ thống trong điều kiện tải ngẫu nhiên phi đối kháng, nhưng chính độ trễ phản hồi (feedback delay) nội tại của chúng lại tạo ra điểm yếu. Chương đưa ra ví dụ minh họa về bộ điều khiển chấp nhận máy chủ web: một xung tải ngắn đẩy hệ thống vào trạng thái quá tải và thrashing, khiến bộ điều khiển khóa các yêu cầu hợp lệ kế tiếp trong một khoảng thời gian dài. Khi hệ thống vừa hồi phục, kẻ tấn công lặp lại xung tải. Tác giả tóm tắt hai nhóm đóng góp chính của luận án về mặt quan niệm và mặt kỹ thuật, đồng thời phác thảo sơ đồ cấu trúc toàn bộ luận án.

Chương 2: Định nghĩa và tiền đề của tấn công RoQ (RoQ Attack Definition and Premise)

Chương 2 chính thức định nghĩa toán học xung tấn công RoQ thông qua các tham số $M, \delta, \tau, T$ và thiết lập công thức tính chỉ số Potency $\Pi = \text{Damage} / (\text{Cost})^\Omega$. Quá trình thích ứng được mô hình hóa như một bài toán tối ưu hóa theo lý thuyết điều khiển với hàm mục tiêu Lyapunov $U(x)$. Hệ thống tuyến tính hóa dạng $\dot{y} = L y$ có tốc độ hội tụ được xác định bởi giá trị riêng nhỏ nhất $\mu$ của ma trận $L$. Khi có tấn công, hàm định giá dịch chuyển sang trái, làm thay đổi điểm cân bằng sang $(x')^*$ với tốc độ hội tụ $\mu'$. Tác giả phân tích một trường hợp nghiên cứu điển hình gồm mạng 2 liên kết (tandem network) với 3 luồng điều khiển tốc độ tuân theo quy tắc AIMD, hàm giá $p_1(y) = 0.01 y$. Kết quả giải tích số chứng minh rằng với mỗi giá trị $\Omega$, luôn tồn tại một biên độ tấn công tối ưu $\delta$ giúp tối đa hóa $\Pi$; nếu $\delta$ quá nhỏ thì thiệt hại không đáng kể, còn nếu $\delta$ quá lớn thì chi phí tăng cao làm giảm hiệu lực tổng thể.

Chương 3: Tấn công RoQ vào các giao thức truyền vận mạng (RoQ Attacks on Network Transport Protocols)

Chương này tập trung vào sự kết hợp giữa TCP (AIMD) và các cơ chế quản lý hàng đợi AQM (RED, DropTail). Tác giả mở rộng mô hình dòng vi phân kết hợp phương trình hàng đợi trung bình $v(t)$, xác suất đánh dấu $p(t)$, hàng đợi tức thời $b(t)$ và tốc độ gửi $x_i(t)$. Trong mô phỏng ns-2 với nút nghẽn dung lượng 2.000 gói/giây (16 Mbps), bộ đệm 250 gói, RED được cấu hình với ngưỡng $B_{min} = 50$, $B_{max} = 120$, trọng số $w_q = 0.0001$, xác suất mất tối đa 0.1, phục vụ 19 luồng TCP và 1 luồng tấn công CBR. Tấn công bắt đầu tại $t = 40$ giây với $\delta = 16$ Mbps, $\tau = 0.2$ giây, $T = 5$ giây. Kết quả cho thấy lưu lượng trung bình của kẻ tấn công hòa lẫn hoàn toàn với các luồng hợp lệ, khiến các kỹ thuật giám sát dài hạn không thể phát hiện.

Bảng số liệu tổng hợp kết quả hiệu lực tấn công đối với băng thông và độ rung giật trễ (delay jitter) với $\Omega = 1$:

Cơ chế hàng đợi	Băng thông lãng phí $b_w$ (gói/s)	Băng thông tấn công $b_a$ (gói/s)	Hiệu lực $\Pi$ (Băng thông)	Jitter trước (ms)	Jitter sau (ms)	Hiệu lực $\Pi$ (Jitter)
RED (Mô hình giải tích)	170	79	2.15	0.00	28.44	0.36
RED (Mô phỏng ns-2)	335	41	8.17	0.07	21.39	0.52
DropTail (Mô phỏng ns-2)	458	44	10.41	0.20	15.65	0.35

Kết quả thực nghiệm trên mạng Internet khẳng định:

• Với các luồng RTT ngắn (15 ms), băng thông hợp lệ đạt 8.45 Mbps ở điều kiện thường. Khi tấn công với $\delta = 9.5$ Mbps, $\tau = 20$ ms, $T = 270$ ms, chi phí tấn công chỉ mất 0.45 Mbps nhưng làm giảm thông lượng hợp lệ xuống 4.4 Mbps, đạt $\Pi \approx 9$.
• Với các luồng RTT dài (120 ms, 21 hops), thông lượng bình thường đạt 8.08 Mbps. Tấn công với $\tau = 40$ ms, $T = 1.040$ ms, chi phí tấn công chỉ 0.37 Mbps, đạt $\Pi \approx 12$. Trong khi đó, việc tinh chỉnh thông số tương tự tấn công Shrew ($\tau = 240$ ms, $T \approx 1$ s) đòi hỏi chi phí 1.58 Mbps nhưng chỉ đạt $\Pi \approx 4$.

Chương 4: Tấn công RoQ phân tán nhằm chiếm đoạt băng thông (Distributed RoQ Attacks for Stealing Bandwidth)

Chương 4 mở rộng mô hình sang kịch bản phân tán, trong đó kẻ tấn công điều khiển mạng lưới zombies để triển khai các xung RoQ nhắm vào một tập hợp liên kết cụ thể dọc theo tuyến đường mạng. Mục đích không chỉ đơn thuần là phá hoại mà nhằm cướp đoạt băng thông (stealing bandwidth) để dành ưu tiên cho các luồng dữ liệu riêng của kẻ tấn công. Tác giả thiết lập mô hình toán học xác định chặn dưới của số lượng zombies cần thiết nhằm duy trì xung tấn công đồng bộ mà không vượt quá ngưỡng phát hiện tại từng máy ma. Các thực nghiệm mô phỏng trên cấu trúc liên kết 2 liên kết và 5 liên kết trong ns-2 cùng thực nghiệm Internet chứng minh rằng thông lượng phân bổ cho các luồng hợp lệ bị suy giảm đáng kể, trong khi luồng của kẻ tấn công chiếm được phần băng thông giải phóng với chi phí phân tán tối thiểu.

Chương 5: Giới hạn tác động của các tấn công tốc độ thấp (Bounds on the Impact of Low-Rate Attacks)

Chương này nghiên cứu giới hạn hiệu năng của các dạng tấn công tốc độ thấp, bao gồm tấn công RoQ và tấn công Shrew. Dựa trên phân tích tiến trình bộ đệm và quy luật tiến hóa cửa sổ AIMD, tác giả xác lập các chặn lý thuyết về mức độ suy giảm sử dụng tài nguyên (under-utilization) ở hai trạng thái: trạng thái bão hòa đường truyền và trạng thái đầy bộ đệm. Tác giả so sánh độ nhạy cảm của các kết nối TCP có RTT khác nhau và đánh giá cơ chế phòng thủ ngẫu nhiên hóa thời gian chờ tái truyền (RTO randomization). Kết quả phân tích cho thấy việc ngẫu nhiên hóa RTO của TCP không thể triệt tiêu hoàn toàn tác động nếu kẻ tấn công cũng ngẫu nhiên hóa chu kỳ xung tấn công. Chương kết thúc bằng việc phác thảo cấu trúc của một cơ chế phòng thủ chuyên biệt.

Chương 6: Tấn công RoQ vào bộ điều khiển chấp nhận ở hệ thống đầu cuối (RoQ Attacks on End-System Admission Controllers)

Chương 6 chuyển hướng sang các cơ chế thích nghi tại hệ thống đầu cuối, cụ thể là bộ điều khiển chấp nhận tích phân - tỷ lệ (Proportional Integral - PI) thường dùng trên các máy chủ web để duy trì tải CPU hoặc thời gian phản hồi mục tiêu. Tác giả thiết lập mô hình thời gian rời rạc mô tả vòng lặp phản hồi của bộ điều khiển, tuyến tính hóa các hàm phi tuyến biểu diễn thời gian phục vụ của máy chủ. Thiệt hại được định nghĩa là số lượng yêu cầu hợp lệ bị từ chối oan do hệ thống rơi vào trạng thái phản ứng quá mức sau các xung tải đột biến. Các kết quả giải tích số và thực nghiệm Internet trên máy chủ web thực tế cho thấy tấn công RoQ làm sai lệch ước tính tải của bộ điều khiển PI, khiến máy chủ từ chối phần lớn các yêu cầu dịch vụ hợp lệ ngay cả khi xung tấn công đã chấm dứt.

Chương 7: Tấn công RoQ vào bộ cân bằng tải ở hệ thống đầu cuối (RoQ Attacks on End-System Load Balancers)

Chương này đánh giá các chính sách cân bằng tải động tại các trung tâm dữ liệu và cụm máy chủ, bao gồm chính sách tỷ lệ (proportional), có trọng số (weighted) và tải ít nhất (least-loaded). Sử dụng lý thuyết hàng đợi và mô hình thời gian rời rạc, tác giả thiết lập chặn trên và chặn dưới cho chỉ số Potency, trong đó thiệt hại được đo bằng sự gia tăng thời gian đáp ứng của các yêu cầu hợp lệ. Phân tích chỉ rõ rằng độ trễ phản hồi (feedback delay) và chi phí chuyển đổi/hiện tượng rung giật (thrashing overhead) giữa các máy chủ là các nhân tố khuếch đại sức phá hoại của tấn công RoQ. Các mô phỏng và thực nghiệm kiểm chứng cho thấy chính sách phân phối tải theo tỷ lệ và tải ít nhất đều dễ bị đánh lừa bởi các xung tải ngắn, dẫn đến tình trạng mất cân bằng nghiêm trọng và suy giảm hiệu năng xử lý toàn hệ thống.

Chương 8: Kết luận, các công trình phái sinh và hướng nghiên cứu tương lai (Conclusions, Derivative Work and Future Work)

Chương cuối tóm tắt toàn bộ các phát hiện của luận án và điểm lại các công trình phái sinh. Tác giả thảo luận về khả năng mở rộng các kịch bản khai thác dạng RoQ ít nguy hại hơn nhưng có tính khả thi cao hơn trong môi trường thương mại, chẳng hạn như việc giành ưu thế bất chính trong việc chia sẻ tài nguyên. Về phương hướng nghiên cứu dài hạn, tác giả đề xuất phát triển hệ thống phát hiện xâm nhập trên mặt phẳng điều khiển (Control-Plane Intrusion Detection System - IDS) có khả năng phân tích các bất thường trong miền tần số và động lực học quá độ, thay vì chỉ dựa vào ngưỡng dung lượng trung bình trên mặt phẳng dữ liệu.

Kết quả và những đóng góp mới

Luận án mang lại các đóng góp mới về mặt lý luận và thực tiễn:

1. Đóng góp về mặt lý luận:

• Định nghĩa và hình thức hóa lớp tấn công mới nhắm vào động lực học quá độ của các cơ chế thích nghi (RoQ attacks), chuyển hướng tư duy an ninh mạng từ phòng thủ các thuộc tính tĩnh sang phòng thủ các thuộc tính động.
• Giới thiệu và chuẩn hóa thước đo hiệu lực tấn công Potency ($\Pi$), cung cấp cơ sở định lượng để đánh giá hiệu quả của các cuộc tấn công dựa trên tối ưu hóa thỏa hiệp giữa thiệt hại gây ra và chi phí đối kháng.
• Xây dựng khung lý thuyết điều khiển hợp nhất, chứng minh rằng sự bất ổn định và lãng phí tài nguyên phát sinh từ việc phá vỡ quá trình hội tụ tối ưu hóa hàm Lyapunov của hệ thống.
• Phát hiện và lượng hóa sự đánh đổi (trade-off) trong thiết kế hệ thống thích nghi: các cơ chế được tinh chỉnh để phản ứng càng nhanh nhằm đạt hiệu năng tối ưu trong điều kiện bình thường lại càng trở nên nhạy cảm và dễ bị tổn thương trước các xung tấn công RoQ.

2. Đóng góp về mặt thực tiễn:

• Chứng minh trên mô phỏng và thực nghiệm Internet rằng một xung tấn công chỉ tiêu tốn 0.37 - 0.45 Mbps (chiếm dưới 2.5% đến 4.5% dung lượng) có thể làm tê liệt và cướp đi từ 25% đến hơn 50% thông lượng của các kết nối TCP hợp lệ, đạt hệ số Potency từ 9 đến 12.
• Chứng minh rằng cơ chế quản lý hàng đợi tích cực RED không giúp bảo vệ hệ thống tốt hơn DropTail trước tấn công RoQ, do bản chất tấn công đã ép RED thoái hóa về trạng thái hoạt động kém hiệu quả.
• Chỉ ra rằng tấn công RoQ đạt hiệu lực cao gấp gần 3 lần so với tấn công Shrew (Potency xấp xỉ 12.25 so với 4.0) mà không cần ép giao thức TCP rơi vào trạng thái timeout liên tục.

3. Giải pháp và kiến nghị thiết kế:

• Cảnh báo các nhà thiết kế không nên tùy tiện bổ sung các cơ chế thích nghi phức tạp nếu không tính toán đến các vector tấn công động lực học.
• Đề xuất nguyên lý phòng thủ thích nghi: hệ thống cần tự động nhận biết trạng thái nghi ngờ tấn công để chuyển đổi thông số điều khiển sang chế độ phản ứng chậm hơn, chấp nhận giảm hiệu năng ngắn hạn để triệt tiêu dao động do kẻ tấn công kích động.
• Kiến nghị xây dựng các cơ chế phát hiện xâm nhập giám sát mặt phẳng điều khiển (Control-Plane IDS) để theo dõi các dao động bất thường ở thang thời gian ngắn.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của luận án:

• Mô hình dòng vi phân (fluid model) dùng cho TCP + RED chỉ bao hàm quy tắc AIMD mà lược bỏ các hiện tượng phi tuyến tính như khởi động chậm (slow start) và hết thời gian chờ (timeouts), do đó các kết quả giải tích số chỉ đóng vai trò là chặn dưới (lower bound) so với thực tế.
• Trong các thực nghiệm Internet liên lục địa, kết quả bị phụ thuộc vào biến động tải ngoại cảnh trên 21 chặng mạng, buộc tác giả phải giới hạn đo đạc trong khung giờ 4:00 - 7:00 GMT để duy trì tính nhất quán.

Hướng nghiên cứu tiếp theo được văn bản đề cập:

• Thiết kế chi tiết và triển khai thực nghiệm hệ thống phát hiện xâm nhập trên mặt phẳng điều khiển (Control-Plane IDS) khai thác các biến đổi miền tần số và biến đổi thời gian động (Dynamic Time Warping - DTW).
• Nghiên cứu các biến thể tấn công dạng RoQ tinh vi hơn nhưng có mức độ phá hoại thấp hơn, phục vụ mục đích cạnh tranh băng thông không lành mạnh trên hạ tầng dùng chung thay vì làm sập toàn bộ dịch vụ.
• Đánh giá khả năng phòng thủ thông qua việc điều chỉnh trực tuyến các tham số điều khiển khi phát hiện dấu hiệu bất thường.

Giá trị tham khảo

Luận án có giá trị tham khảo chuyên sâu cho các nhóm đối tượng:

• Nghiên cứu sinh và học giả chuyên ngành Mạng máy tính và An toàn thông tin: Khung lý thuyết điều khiển tại Chương 2 và phương pháp xây dựng mô hình dòng vi phân kết hợp mô phỏng ns-2 tại Chương 3 và Chương 5 cung cấp quy trình nghiên cứu chuẩn mực về an ninh động lực học.
• Kỹ sư thiết kế giao thức mạng và quản trị hệ thống mạng: Các phát hiện tại Chương 3 và Chương 4 về tác động của chu kỳ $T$, độ rộng xung $\tau$ lên hàng đợi RED/DropTail và hiện tượng thoái hóa của AQM là cơ sở quan trọng để cấu hình bộ định tuyến và kích thước bộ đệm an toàn.
• Kiến trúc sư hệ thống phần mềm và kỹ sư đám mây: Chương 6 và Chương 7 cung cấp các mô hình toán học lượng hóa độ trễ phản hồi và chi phí rung giật (thrashing), giúp ích trực tiếp cho việc thiết kế bộ điều khiển chấp nhận máy chủ web và các thuật toán cân bằng tải tránh bẫy phản hồi sai lệch.

Câu hỏi thường gặp

1. Tấn công RoQ khác biệt cơ bản như thế nào so với tấn công từ chối dịch vụ (DoS) truyền thống và tấn công Shrew? Tấn công DoS truyền thống sử dụng lưu lượng dồn dập liên tục với cường độ vượt quá năng lực xử lý cố định để làm sập hệ thống, đòi hỏi chi phí lớn và dễ bị phát hiện. Tấn công Shrew khai thác thông số cấu hình tĩnh của cơ chế RTO trong TCP để ép luồng vào trạng thái timeout liên tục. Ngược lại, tấn công RoQ nhắm vào động lực học quá độ của các cơ chế thích nghi bằng các xung lưu lượng ngắn lặp lại theo chu kỳ, khiến hệ thống liên tục dao động giữa các trạng thái mà không thể hội tụ về điểm cân bằng, tối đa hóa thiệt hại trên mỗi đơn vị lưu lượng tấn công mà không nhất thiết phải làm tắt nghẽn hoàn toàn đường truyền.

2. Chỉ số hiệu lực tấn công (Potency) được định nghĩa và mang ý nghĩa gì? Chỉ số Potency được định nghĩa bằng công thức $\Pi = \text{Damage} / (\text{Cost})^\Omega$. Trong đó, Damage biểu thị dung lượng bị lãng phí, số lượng yêu cầu bị từ chối hoặc độ gia tăng rung giật trễ; Cost biểu thị lượng tài nguyên kẻ tấn công tiêu tốn; $\Omega$ là tham số phản ánh mức độ hung hăng. Chỉ số này phản ánh lợi ích cận biên của lưu lượng tấn công, giúp kẻ đối kháng xác định cấu hình tấn công tối ưu để gây tổn hại lớn nhất với mức độ lộ diện thấp nhất.

3. Tại sao cơ chế quản lý hàng đợi chủ động RED lại không ngăn chặn được tấn công RoQ so với DropTail? Mặc dù RED được thiết kế để ổn định kích thước hàng đợi và cải thiện tính công bằng thông qua việc loại bỏ gói sớm theo xác suất, các xung tấn công RoQ làm hàng đợi dao động mạnh từ mức rỗng đến mức đầy. Tác động của xung ép hàng đợi RED rơi vào trạng thái cạn kiệt sau khi phản ứng quá mức, khiến năng lực liên kết bị lãng phí tương tự như DropTail. Thực nghiệm ns-2 cho thấy RED chịu thiệt hại 335 gói/s ($\Pi = 8.17$) so với DropTail chịu thiệt hại 458 gói/s ($\Pi = 10.41$).

4. Các thông số tấn công tối ưu và giá trị Potency đo được trong thực nghiệm Internet là bao nhiêu? Trong thực nghiệm mạng Internet với nút nghẽn 10 Mbps:

• Đối với 6 luồng TCP nội bộ (RTT 15 ms, thông lượng chuẩn 8.45 Mbps): Cấu hình tối ưu là biên độ $\delta = 9.5$ Mbps, thời gian xung $\tau = 20$ ms, chu kỳ $T = 270$ ms. Lưu lượng tấn công trung bình chỉ 0.45 Mbps đã làm giảm thông lượng hợp lệ xuống 4.4 Mbps, đạt $\Pi \approx 9$.
• Đối với 6 luồng TCP xuyên Đại Tây Dương (RTT 120 ms, thông lượng chuẩn 8.08 Mbps): Cấu hình tối ưu là $\tau = 40$ ms, $T = 1.040$ ms, lưu lượng tấn công chỉ 0.37 Mbps, đạt $\Pi \approx 12$.

5. Sự đánh đổi (trade-off) cốt lõi giữa khả năng phục hồi và tính dễ bị tổn thương trong các cơ chế thích ứng là gì? Nếu cơ chế thích nghi được tinh chỉnh để phản ứng nhanh nhằm đạt hiệu năng tối ưu và triệt tiêu nhanh các dao động tải ngẫu nhiên, hệ thống sẽ phản ứng rất mạnh với các xung tải đối kháng, dẫn đến việc tự ngắt dịch vụ hợp lệ hoặc gây sụt giảm hiệu năng nghiêm trọng. Ngược lại, nếu làm giảm độ nhạy để kháng cự tấn công RoQ, hệ thống sẽ phản ứng chậm chạp trước các biến động tải thông thường, làm giảm tính ổn định tổng thể.

Kết luận

Luận án của Mina Guirguis đã phát hiện và hệ thống hóa toàn diện lớp tấn công giảm chất lượng dịch vụ (RoQ) nhắm vào động lực học quá độ của các cơ chế thích nghi trong mạng và hệ thống máy tính. Thông qua khung lý thuyết điều khiển hợp nhất kết hợp chỉ số hiệu lực Potency, tác giả chứng minh bằng giải tích, mô phỏng ns-2 và thực nghiệm Internet rằng các xung tải ngắn được điều phối chính xác có thể gây lãng phí nghiêm trọng tài nguyên mạng, bộ điều khiển chấp nhận và bộ cân bằng tải với chi phí tấn công tối thiểu. Công trình đặt nền móng lý thuyết quan trọng cho việc tái đánh giá các giải pháp thích ứng hiện nay và định hình hướng phát triển các hệ thống phát hiện xâm nhập trên mặt phẳng điều khiển trong tương lai.

Trích đoạn nội dung tài liệu

BOSTON UNIVERSITY GRADUATE SCHOOL OF ARTS AND SCIENCE Dissertation REDUCTION-OF-QUALITY ATTACKS ON ADAPTATION MECHANISMS MINA GUIRGUIS B., Boston University, 2005 Submitted in partial fulfillment of the requirements for the degree of Doctor of Philosophy 2007 UMI Number: 3240623 Copyright 2006 by Guirguis, Mina All rights reserved. INFORMATION TO USERS The quality of this reproduction is dependent upon the quality of the copy submitted. Broken or indistinct print, colored or poor quality illustrations and photographs, print bleed-through, substandard margins, and improper alignment can adversely affect reproduction. In the unlikely event that the author did not send a complete manuscript and there are missing pages, these will be noted.

Also, if unauthorized copyright material had to be removed, a note will indicate the deletion. ® UMI UMI Microform 3240623 Copyright 2007 by ProQuest Information and Learning Company. All rights reserved. This microform edition is protected against unauthorized copying under Title 17, United States Code.

ProQuest Information and Learning Company 300 North Zeeb Road P. Box 1346 Ann Arbor, MI 48106-1346 © Copyright by MINA GUIRGUIS 2006 Approved by First Reader Azer Ẹ| 6 Bestavros, Ph. Professor of Computer Science Boston University Second Reader AMAL Tbrahim Matta, Ph. Associate Professor of Computer Science Boston University Third Reader "; Katabi, Pal pdistant Professdf of Computer Science assachusetts Institute of Technology Acknowledgments Looking back over the past few years, I am most certain that this work would not have been of any significance, if it was not for the support and help that I have received from many individuals during my graduate career at Boston University.

I am most grateful and truly indebted to my advisors, Azer Bestavros and Ibrahim Matta, for they have taught me how to be a computer scientist. They have supported me tremendously throughout my Ph. program and have been much more than advisors; they have been teachers, mentors and friends. They have always maintained an open door, offering their time and help, no matter how their schedules seemed busy.

The time I have spent interacting with them has benefited me extremely, not just on the academic level but also on the personal level. I would like to thank John Byers and Mark Crovella for their valuable feedback on different pieces of my research work, for supporting me with their recommendation letters and for serving on my thesis committee. I would also like to thank Dina Katabi, for her feedback on earlier versions of this thesis and for serving on my thesis committee. I would also like to thank Abdelsalam Heddaya and Sonia Fahmy for their efforts throughout my job application process.

They have supported me with recommendation letters and have always made sure to let me know of any opportunities that would be of an interest to me. I would like to specially thank Yuting Zhang for her help with some of the experimental work done in this thesis. Additional support for my research work has been provided by the National Science Foundation and by Fortress Technologies. I would like to thank Owais Hassan and Magued Barsoum for their support during my internships at Fortress and beyond.

I am very grateful to Fady Barsoum for his constant support as early as I could re- member. He has invested great efforts in following up with my applications when I was applying for graduate schools and he has always been there for me when I needed advice. iv There is no way to thank my family enough, for their love, support and prayers that brought me to this stage of my career and brought my thesis to completion. I would also like to thank George Atia, Hany Morcos, Karim Mattar, Maria Mitsi, Dan Buzan, and Xiaoyu Jiang for their support during my Ph.

Special thanks to Raymond Sweha for his help in submitting my thesis and paperwork for graduation. Finally, I would like to thank all members of the WING, NRG and BOSS for the wonderful times that I spent at Boston University. REDUCTION-OF-QUALITY ATTACKS ON ADAPTATION MECHANISMS (Order No. ) MINA GUIRGUIS Boston University, Graduate School of Arts and Science, 2007 Major Professor: Azer Bestavros, Professor of Computer Science Department ABSTRACT One important consideration in realizing dependable computing systems and networks is to uncover vulnerabilities in their designs to adversarial attacks.

Currently, the designs of these systems employ different forms of adaptation mechanisms in order to optimize their performance by ensuring that desirable properties, such as stability, efficiency and fairness, are not compromised. This thesis discovers and studies a new type of adversarial attacks that target such adaptation mechanisms by exploiting their dynamics of operation — ?., the characteristics of their transient behavior. We coin this new breed of adversarial attacks, Reduction of Quality (RoQ) attacks. The premise of RoQ attacks is to keep an adaptive mechanism constantly in a transient state, effectively depriving the system from much of its capacity and significantly reducing its service quality.

In this thesis we develop a general control-theoretic framework that provides a uni- fied approach to modeling and vulnerability assessment of the dynamics underlying RoQ exploits. Within this framework, we introduce and formalize the notion of an attack ” Po- tency” that capitalizes on the attacker’s best incentive: maximizing the marginal utility of its attack traffic. Unlike traditional brute-force Denial of Service attacks that aim to take down a system at any cost, RoQ attacks aim to maximize the damage inflicted on a system through consuming an innocuous, small fraction of that system’s hijacked capacity. vi We instantiate our framework using detailed analytical models and associated metrics on a series of adaptation mechanisms that are commonly used in networking protocols, end- system admission controllers and load balancers.

We assess the impact of RoQ attacks using analysis, simulations, and Internet experiments. We identify key factors that expose the tradeoffs between resilience and susceptibility to RoQ attacks. These factors could be used to harden adaptation mechanisms against RoQ exploits, in addition to developing new forms of countermeasures and defense mechanisms. vii Contents 1 Introduction eCoNŒRFO 1.

1 co Ca 6 8 L6 an 1. 00800 eae “ca 6 1 U18 8 2 RoQ Attack Definition and Premise 11 2.1 Attack Goal and Definition .2 Adaptation as an Optimization Process. ee ee 17 3 RoQ Attacks on Network Transport Protocols 20 3.3 Numerical and Simulation Results .4 Internet Experiments and Implementation Results cS g 31 3.c R1 1 8 SA 35 Distributed RoQ Attacks for Stealing Bandwidth 41 Attack Definition. cv và số Ce HC R6 8 C8 411 RoQ Attack Construction .2 Selecting the Targeted links .3 A Lower Bound on Zombies .3 Internet Experiments and Implementation Results 4.

EU NÓ L8 viii 5 Bounds on the Impact of Low-Rate Attacks 50 5. ee oe SA 1 K6 8 8 8 8 51 5. uc ee ee, 55 5.2 Low-Rate Attacks 2. es Se SS L9 56 5.

e ue v1 YÊU ÔN 56 5.2 Reduction of Quality Attacks .2 An Outline for a Possible Defense Mechanism .3 RTO Randomization vs. Randomized Attacker 66 6 RoQ Attacks on End-System Admission Controllers 68 6.4 Internet Experiments and Implementation Results. ¬ 82 7 RoQ Attacks on End-System Load Balancers 7. cuc ch cu ko {R6 C8 8 R8 7.

eee ee oe. An Upper Bound on Attack Potency .2 Potency for Dynamic Load Balancing .3 A Lower Bound on Attack Potency. ee ee Ce .5 Internet Experiments and Implementation Results — 8 Conclusions, Derivative Work and Future Work 119 8.2 Derivative Work and Impact.1 Exposing Additional Vulnerabilities in Adaptation Mechanisms .2 Other (Less Harmful and More Plausible) RoQ-like Exploits.3 Control-Plane Intrusion Detection System ¬ 123 Appendix A 124 Appendix B 126 References 130 Curriculum Vitae 138 List of Tables 3.1 Potency values for Bandwidth (withQ=1) .2 Potency values for Delay Jitter (withQ=1).1 Gain Ratio for different round-trip time TCP connections .1 Model parameters for a PI admission controller. 71 71 Model parameters for load balancing policles.

0 e 90 x1 List of Figures 11 Thesis organization. cv kg vn kg kg gà kg và 9 21 A general block diagram for the adaptation mechanisms considered. 14 2:2 An example of a pricing function and the effect of a RoQ attack. 15 2:3 Attack potency versus attack peak rate for different 9 values.

19 3-1 Block diagram showing the feedback control system for TCP and RED. 22 3:2 Vulnerability assessment of TCP+RED and TCP+DropTail to RoQ attacks. 26 3:3 Tuning RoQ attack parameters to maximize potency for link bandwidth. 30 3-4 Tuning RoQ attack parameters to maximize potency for delay jitter.

31 đỗ Setup for Internet Experiments. 0 0 HQ nh Q va va 32 j.6 RoQ attack potency as the attack period T is changed. 33 3:7 RoQ attack potency as the attack duration 7 is changed.1 Adversarial scheme considered for distributed RoQ attacks. 39 4-2 A more detailed view of the adversarial scheme considered.

41 4:3 A lower bound on zombies for different probabilities and degrees.4 The two-link topology used in ns-2 simulation experiments. 45 4:5 Improvement in allocated bandwidth as the level of DoS attack increases. 45 4:6 Improvement in allocated bandwidth as r changes for a fixed Tanddé. 46 4:7 The five-link topology used in ns-2 simulation experiments.

46 4:8 Throughput allocated to each flow from the BC flows.9 Setup for Internet experimenf§. 48 4:10 Throughput allocated to the connection between C4 and S90. 49 xi 5-1 Buffer process and window evolution via the AIMD mechanism. 5:2 Under-utilization due to a Shrew attack at saturation.

5:3 Under-utilization due to a Shrew attack at full buffer. 5:4 Normalized potency versus buffer size for different attack variants. 5:5 Under-utilization due to a RoQ attack at saturation. 5-6 Under-utilization due to a Shrew attack at full buffer.

5-7 Assessment of RTO randomization for different RTT connections. 5:8 Impact of different ranges of randomization under periodic attack. 5-9 Impact of different ranges of randomization under randomized attack. 6-1 Block diagram for the components of the admission control feedback loop.

70 6:2 Linearized instances for the web-server model functions. 70 6:3 Numerical assessment of admission controllers to RoQ attacks. 78 6-4 Setup for Internet experiments. 0 ee và 80 6:5 Experimental assessment of admission controllers to RoQ attacks.

81 71 A general setup for load balancing. ee 89 7:2 Vulnerability assessment for proportional load-balancing to RoQ attacks. 99 7:3 Vulnerability assessment for weighted load-balancing to RoQ attacks. 99 7-4 Vulnerability assessment for least-loaded load-balancing to RoQ attacks.

100 7:5 Attack potency under different balancing policies. 101 76 Simulation result for the optimal balancing policy. 103 77 Vulnerability assessment for proportional load balancers. 104 7:8 Impact of feedback delay on the attack potency .004 105 7-9 Service degradation model as a linear function of the queue size.

107 7:10 Impact of overhead/thrashing on attack potency. 108 7-11 Changes in the queue size observed by a monitor. 109 7-12 Impact of Ø on the admission ratio under proportional balancing policy. 111 7-13 Experimental assessment for the proportional load-balancer (@ = 0.

113 xi1 7-14 Experimental assessment for the weighted load-balancer (y=0. 115 7-15 Experimental assessment for the least-loaded load-balancer. 116 7-16 Experimental assessment for load balancing policies to RoQ attacks. 117 7-17 Effect of feedback update periods.

0004 ee 117 XIV List of Abbreviations AIMD. Additive Increase Multiplicative Decrease AQM. Active Queue Management DDoS _. Distributed Denial of Service DoS.

Denial of Service DTW. Dynamic Time Warping ESM _. End System Multicast FRED. Flow Random Early Drop TT.

Internet Protocol PL. Proportional Integral RED. Random Early Detection REM. Random Exponential Marking RoQ —.

Reduction of Quality RIT. Round-Trip Time TCP _. Transmission Control Protocol 10) D). User Data-gram Protocol VoIP _.

Voice over Internet Protocol xv Chapter 1 Introduction The Internet continues to play a vital role in our daily lives with a profound impact on our economy and on our society.