Phòng Chống Tấn Công DDoS Trong Môi Trường Điện Toán Đám Mây

Luận văn về kỹ thuật phòng chống tấn công DDoS trong môi trường điện toán đám mây. Nghiên cứu giải pháp bảo mật, phát hiện và ngăn chặn tấn công hiệu quả.

• Tác giả: Nguyễn Minh Phương
• Người hướng dẫn: TS. Lưu Thanh Trà
• Trường học: Trường Đại Học Bách Khoa - ĐHQG - HCM
• Chuyên ngành: Kỹ Thuật Viễn Thông
• Đề tài: Phòng Chống Tấn Công DDoS Trong Môi Trường Điện Toán Đám Mây
• Loại tài liệu: Luận Văn Thạc Sĩ
• Năm xuất bản: 2017
• Địa điểm: Tp. Hồ Chí Minh

Tóm tắt

I. Tổng Quan Về Tấn Công DDoS Điện Toán Đám Mây An Toàn

Điện toán đám mây đã trở thành nền tảng quan trọng cho nhiều ứng dụng và dịch vụ, mang lại sự linh hoạt và khả năng mở rộng. Tuy nhiên, đi kèm với lợi ích này là những thách thức về an ninh, đặc biệt là các cuộc tấn công DDoS. Tấn công DDoS nhằm mục đích làm gián đoạn dịch vụ bằng cách làm quá tải tài nguyên hệ thống, khiến người dùng hợp pháp không thể truy cập. Điện toán đám mây với kiến trúc phân tán và khả năng mở rộng, vừa là mục tiêu hấp dẫn, vừa có thể tận dụng để phòng chống DDoS. Việc hiểu rõ bản chất của tấn công DDoS và các đặc điểm của môi trường điện toán đám mây là bước đầu tiên để xây dựng hệ thống phòng thủ hiệu quả. Sự phức tạp của các cuộc tấn công hiện đại đòi hỏi các giải pháp bảo mật đa lớp, kết hợp các kỹ thuật phát hiện, giảm thiểu và ngăn chặn.

1.1. Khái niệm cơ bản về tấn công DDoS và các loại hình

Tấn công DDoS là một nỗ lực ác ý nhằm làm cho một máy chủ hoặc dịch vụ trực tuyến không khả dụng đối với người dùng hợp pháp. Có nhiều loại tấn công khác nhau, bao gồm UDP Flood, SYN Flood, HTTP Flood và các tấn công lớp ứng dụng. UDP Flood làm ngập mục tiêu bằng các gói UDP, trong khi SYN Flood khai thác giao thức TCP để làm cạn kiệt tài nguyên máy chủ. HTTP Flood lợi dụng các yêu cầu HTTP hợp lệ để làm quá tải máy chủ web. Các tấn công lớp ứng dụng tập trung vào các lỗ hổng cụ thể trong ứng dụng. Việc phân loại và hiểu rõ các loại hình tấn công giúp triển khai các biện pháp phòng thủ phù hợp. Theo nghiên cứu của Nguyễn Minh Phương năm 2017, tấn công lũ SYN là một hình thức DDoS khá phổ biến làm mất khả năng xử lý của máy chủ.

1.2. Tổng quan về kiến trúc và mô hình dịch vụ điện toán đám mây

Điện toán đám mây cung cấp tài nguyên tính toán theo yêu cầu thông qua internet. Các mô hình dịch vụ chính bao gồm IaaS (Infrastructure as a Service), PaaS (Platform as a Service) và SaaS (Software as a Service). IaaS cung cấp cơ sở hạ tầng ảo hóa, cho phép người dùng kiểm soát hệ điều hành, lưu trữ và mạng. PaaS cung cấp một nền tảng để phát triển và triển khai ứng dụng. SaaS cung cấp phần mềm ứng dụng qua internet. Kiến trúc điện toán đám mây thường bao gồm nhiều trung tâm dữ liệu, cân bằng tải và khả năng mở rộng tự động. Việc hiểu rõ kiến trúc và mô hình dịch vụ giúp thiết kế các giải pháp bảo mật phù hợp với từng môi trường cụ thể. Dịch vụ cơ sở hạ tầng rất quan trọng, vì nó cung cấp tất cả phần mềm, phần cứng, lưu trữ, băng thông mạng cho người dùng thông qua mạng Internet.

II. Thách Thức An Ninh Tại Sao DDoS Nguy Hiểm Cho Cloud

Tấn công DDoS gây ra những tác động nghiêm trọng đến môi trường điện toán đám mây. Chúng không chỉ làm gián đoạn dịch vụ mà còn gây thiệt hại về tài chính và uy tín cho doanh nghiệp. Khả năng mở rộng của điện toán đám mây có thể giúp giảm thiểu tác động của DDoS, nhưng đồng thời cũng làm tăng độ phức tạp của việc phòng thủ. Các cuộc tấn công ngày càng tinh vi và khó phát hiện, đòi hỏi các giải pháp bảo mật tiên tiến. Việc bảo vệ điện toán đám mây khỏi DDoS là một thách thức liên tục, đòi hỏi sự phối hợp giữa nhà cung cấp dịch vụ và người dùng.

2.1. Các lỗ hổng bảo mật trong môi trường điện toán đám mây

Mặc dù điện toán đám mây mang lại nhiều lợi ích, nó cũng đi kèm với một số lỗ hổng bảo mật tiềm ẩn. Việc chia sẻ tài nguyên giữa nhiều người dùng có thể tạo ra các rủi ro về bảo mật dữ liệu. Các cấu hình sai lệch và quản lý danh tính yếu kém cũng có thể tạo điều kiện cho kẻ tấn công xâm nhập. Ngoài ra, việc sử dụng các phần mềm và hệ thống lỗi thời có thể tạo ra các lỗ hổng dễ bị khai thác. Các mối đe dọa chính ảnh hưởng đến môi trường điện toán đám mây là: mất tính bảo mật, mất tính toàn vẹn và mất tính sẵn sàng.

2.2. Tác động của tấn công DDoS đến hiệu suất và chi phí

Tấn công DDoS có thể gây ra sự chậm trễ, gián đoạn dịch vụ và thậm chí là ngừng hoạt động hoàn toàn. Điều này không chỉ ảnh hưởng đến trải nghiệm người dùng mà còn gây thiệt hại về doanh thu và uy tín cho doanh nghiệp. Ngoài ra, việc giảm thiểu DDoS có thể đòi hỏi chi phí đáng kể, bao gồm việc sử dụng các dịch vụ bảo mật chuyên dụng và nâng cấp cơ sở hạ tầng. Việc dự đoán và chuẩn bị cho các cuộc tấn công giúp giảm thiểu tác động tiêu cực. Tấn công DDoS lại là kẻ thù số một cho chất lượng những dịch vụ mà điện toán đám mây mang lại. Nó gây thiệt hại kinh tế nghiêm trọng cho cả nhà cung cấp dịch vụ và các khách hàng của họ.

2.3. Sự khác biệt giữa DDoS truyền thống và DDoS trong cloud

Trong môi trường truyền thống, DDoS thường tập trung vào việc làm quá tải băng thông mạng. Tuy nhiên, trong điện toán đám mây, các cuộc tấn công có thể nhắm vào các tài nguyên tính toán, lưu trữ và ứng dụng. Khả năng mở rộng của cloud có thể giúp hấp thụ một phần lưu lượng tấn công, nhưng đồng thời cũng đòi hỏi các biện pháp phòng thủ linh hoạt và thông minh hơn. Các cuộc tấn công trong cloud cũng có thể dễ dàng vượt qua các biện pháp bảo mật truyền thống, đòi hỏi sự kết hợp của nhiều kỹ thuật khác nhau.

III. Cách Phát Hiện Tấn Công DDoS Nhanh Chóng Trong Điện Toán Đám Mây

Phát hiện sớm tấn công DDoS là rất quan trọng để giảm thiểu tác động của chúng. Có nhiều kỹ thuật phát hiện khác nhau, bao gồm phân tích lưu lượng mạng, phát hiện bất thường và sử dụng threat intelligence. Phân tích lưu lượng mạng giúp xác định các mẫu bất thường trong lưu lượng truy cập. Phát hiện bất thường sử dụng các thuật toán để xác định các hành vi không mong muốn. Threat intelligence cung cấp thông tin về các mối đe dọa mới nhất và các chiến thuật tấn công. Sự kết hợp của các kỹ thuật này giúp tăng cường khả năng phát hiện DDoS trong môi trường điện toán đám mây.

3.1. Giám sát và phân tích lưu lượng mạng thời gian thực

Giám sát và phân tích lưu lượng mạng là một phương pháp hiệu quả để phát hiện DDoS. Bằng cách theo dõi lưu lượng truy cập theo thời gian thực, có thể xác định các mẫu bất thường như tăng đột biến về số lượng yêu cầu, thay đổi trong loại lưu lượng và địa chỉ IP nguồn. Các công cụ như Wireshark và tcpdump có thể được sử dụng để thu thập và phân tích lưu lượng mạng. Việc sử dụng các ngưỡng và cảnh báo giúp tự động hóa quá trình phát hiện và giảm thiểu thời gian phản ứng. Phương pháp phát hiện thời điểm bắt đầu và kết thúc một cuộc tấn công DDoS theo kiểu lũ TCP-SYN vào máy chủ đám mây.

3.2. Phát hiện bất thường dựa trên hành vi và thống kê

Phát hiện bất thường dựa trên việc xác định các hành vi không mong muốn so với một đường cơ sở bình thường. Các thuật toán thống kê có thể được sử dụng để xác định các độ lệch đáng kể so với đường cơ sở. Ví dụ, một sự gia tăng đột ngột về số lượng kết nối từ một địa chỉ IP cụ thể có thể là dấu hiệu của một cuộc tấn công. Các hệ thống phát hiện xâm nhập (IDS) và hệ thống ngăn chặn xâm nhập (IPS) thường sử dụng các kỹ thuật phát hiện bất thường. Luận văn sẽ trình bày và mô phỏng cách thức hoạt động của điện toán đám mây thông qua CloudSim. Cách phát hiện thời điểm bắt đầu và kết thúc của một cuộc tấn công lũ vào máy chủ.

3.3. Sử dụng thông tin tình báo về mối đe dọa Threat Intelligence

Threat intelligence cung cấp thông tin về các mối đe dọa mới nhất, các chiến thuật tấn công và các chỉ số thỏa hiệp (Indicators of Compromise - IOCs). Thông tin này có thể được sử dụng để cải thiện khả năng phát hiện và ngăn chặn DDoS. Các nguồn threat intelligence có thể bao gồm các nhà cung cấp bảo mật, các diễn đàn cộng đồng và các báo cáo nghiên cứu. Việc tích hợp threat intelligence vào các hệ thống bảo mật giúp phản ứng nhanh chóng với các mối đe dọa mới và giảm thiểu tác động của DDoS.

IV. Triển Khai WAF CDN Cân Bằng Tải Chống Tấn Công DDoS Cloud

Có nhiều phương pháp để giảm thiểu tấn công DDoS trong môi trường điện toán đám mây. Các phương pháp phổ biến bao gồm sử dụng firewall, web application firewall (WAF), content delivery network (CDN), load balancing và các dịch vụ giảm thiểu DDoS chuyên dụng. Firewall giúp lọc lưu lượng truy cập độc hại. WAF bảo vệ các ứng dụng web khỏi các cuộc tấn công lớp ứng dụng. CDN phân phối nội dung đến nhiều máy chủ, giảm tải cho máy chủ gốc. Load balancing phân phối lưu lượng truy cập đến nhiều máy chủ, tránh tình trạng quá tải. Việc kết hợp các phương pháp này giúp tạo ra một hệ thống phòng thủ mạnh mẽ.

4.1. Sử dụng Web Application Firewall WAF bảo vệ lớp ứng dụng

Web Application Firewall (WAF) là một thành phần quan trọng trong việc bảo vệ các ứng dụng web khỏi DDoS và các cuộc tấn công khác. WAF hoạt động bằng cách phân tích lưu lượng truy cập HTTP và HTTPS, xác định và chặn các yêu cầu độc hại. WAF có thể được cấu hình để bảo vệ chống lại các cuộc tấn công như SQL injection, cross-site scripting (XSS) và DDoS lớp ứng dụng. Nó tăng tỉ lệ lọc chính xác các gói tin giả mạo IP, mà không bị ảnh hưởng nhiều bởi số lượng IP thu thập để xây dựng bảng đối chiếu IP với số bước nhảy.

4.2. Tận dụng Content Delivery Network CDN để phân tán lưu lượng

Content Delivery Network (CDN) giúp phân phối nội dung đến nhiều máy chủ trên toàn thế giới, giảm tải cho máy chủ gốc và cải thiện hiệu suất. Khi xảy ra tấn công DDoS, CDN có thể hấp thụ một phần lưu lượng tấn công, ngăn chặn nó làm quá tải máy chủ gốc. CDN cũng cung cấp các tính năng bảo mật bổ sung, như lọc lưu lượng truy cập độc hại và chặn các yêu cầu từ các địa chỉ IP đáng ngờ. CDN vừa giảm độ trễ vừa cung cấp băng thông lớn, CDN cũng bảo vệ chống lại các cuộc tấn công DDoS, giúp các trang web tiếp tục hoạt động trong thời gian bị tấn công.

4.3. Cân bằng tải Load Balancing để đảm bảo khả năng phục hồi

Cân bằng tải (Load Balancing) phân phối lưu lượng truy cập đến nhiều máy chủ, đảm bảo rằng không có máy chủ nào bị quá tải. Khi một máy chủ bị tấn công, load balancing có thể chuyển hướng lưu lượng truy cập đến các máy chủ khác, đảm bảo rằng dịch vụ vẫn tiếp tục hoạt động. Load balancing cũng có thể được sử dụng để cải thiện hiệu suất và khả năng mở rộng của ứng dụng. Đồng thời cải tiến cũng giảm thiểu khả năng báo động nhầm thời điểm bắt đầu hay kết thúc bị tấn công lũ SYN, nhất là khi luồng gói tin TCP đến có biên độ thay đổi khá lớn.

V. Đánh Giá Hiệu Quả Các Giải Pháp Phòng Chống DDoS Trên Cloud

Việc lựa chọn giải pháp phòng chống DDoS phù hợp là rất quan trọng. Cần đánh giá hiệu quả của các giải pháp khác nhau dựa trên các tiêu chí như khả năng phát hiện, khả năng giảm thiểu, chi phí và độ phức tạp. Các thử nghiệm và mô phỏng có thể được sử dụng để đánh giá hiệu quả của các giải pháp trong môi trường thực tế. Việc theo dõi và đánh giá liên tục giúp đảm bảo rằng các giải pháp bảo mật luôn hoạt động hiệu quả và phù hợp với các mối đe dọa mới nhất.

5.1. So sánh các dịch vụ phòng chống DDoS phổ biến AWS Shield Cloudflare

Hiện nay, có rất nhiều dịch vụ phòng chống DDoS phổ biến trên thị trường, bao gồm AWS Shield, Cloudflare, Akamai và Azure DDoS Protection. Mỗi dịch vụ có các tính năng và ưu điểm riêng. AWS Shield cung cấp khả năng bảo vệ cơ bản và nâng cao cho các ứng dụng chạy trên AWS. Cloudflare cung cấp một mạng lưới toàn cầu để phân phối nội dung và bảo vệ chống lại DDoS. Các dịch vụ như Cloudflare cũng được dùng khá phổ biến.

5.2. Các tiêu chí đánh giá hiệu quả Khả năng phát hiện giảm thiểu và chi phí

Các tiêu chí quan trọng để đánh giá hiệu quả của các giải pháp phòng chống DDoS bao gồm khả năng phát hiện chính xác các cuộc tấn công, khả năng giảm thiểu tác động của chúng và chi phí của giải pháp. Khả năng phát hiện cần phải cao để đảm bảo rằng các cuộc tấn công được phát hiện sớm. Khả năng giảm thiểu cần phải mạnh mẽ để ngăn chặn các cuộc tấn công làm gián đoạn dịch vụ. Chi phí cần phải hợp lý để đảm bảo rằng giải pháp có thể được triển khai và duy trì. Do đó việc hạn chế bị tấn công DDoS đến mức thấp nhất là nhu cầu cấp thiết của các nhà cung cấp dịch vụ đám mây nói riêng và các tổ chức, doanh nghiệp nói chung.

VI. Nghiên Cứu Tương Lai Phát Triển Phòng Chống DDoS Trong Cloud

Phòng chống DDoS trong điện toán đám mây là một lĩnh vực đang phát triển nhanh chóng. Các nghiên cứu tương lai có thể tập trung vào việc phát triển các giải pháp bảo mật tự động và thông minh hơn, sử dụng trí tuệ nhân tạo (AI) và machine learning (ML) để phát hiện và giảm thiểu DDoS. Ngoài ra, việc phát triển các tiêu chuẩn và quy trình bảo mật chung cũng rất quan trọng để đảm bảo an ninh cho điện toán đám mây. Điện toán đám mây đang mang lại nhiều lợi ích cho người sử dụng trong công việc, giải trí và tiết kiệm chi phí hơn so với trước kia.

6.1. Ứng dụng trí tuệ nhân tạo AI và Machine Learning ML

Trí tuệ nhân tạo (AI) và Machine Learning (ML) có tiềm năng lớn trong việc cải thiện khả năng phòng chống DDoS. Các thuật toán ML có thể được sử dụng để phân tích lưu lượng mạng, phát hiện bất thường và dự đoán các cuộc tấn công. AI có thể được sử dụng để tự động cấu hình các biện pháp bảo mật và phản ứng với các cuộc tấn công trong thời gian thực. Việc sử dụng AI và ML giúp tạo ra các giải pháp bảo mật thông minh và thích ứng hơn.

6.2. Phát triển các giải pháp phòng thủ tự động và thích ứng

Các giải pháp phòng thủ tự động và thích ứng có thể phản ứng với các cuộc tấn công trong thời gian thực mà không cần sự can thiệp của con người. Các giải pháp này có thể tự động cấu hình các biện pháp bảo mật, chuyển hướng lưu lượng truy cập và chặn các yêu cầu độc hại. Sự tự động hóa giúp giảm thiểu thời gian phản ứng và giảm tải cho các chuyên gia bảo mật. Kết quả mô phỏng cho thấy hệ thống được đề xuất có thể phát hiện chính xác cuộc tấn công lũ lẩn trốn trong một luồng dữ liệu lớn, và lọc thành công các gói tấn công với độ chính xác hơn 97%.

Trích đoạn nội dung tài liệu

MỞ ĐẦU nhiều ngôn ngữ lập trình khác. Với thư viện Toolbox, Matlab cho phép mô phỏng tính toán, thực nghiệm nhiều mô hình trong thực tế và kỹ thuật.4 Phương Pháp Nghiên Cứu Về lý thuyết:  Thu thập những bài báo đã được đăng trên các tạp chí uy tín có nội dung về DDoS, Cloud Computing, Network Traffic.  Tạo sơ đồ khối hệ thống nhận biết và xử lý tấn công lũ SYN. Về thực nghiệm  Dùng CloudSim để xây dựng một môi trường điện toán đám mây với các thành phần cốt lõi trong đó.

Thấy được sự liên lạc giữa các thành phần, cũng như chính sách phân chia tài nguyên xử lý trong máy chủ khi xử lý các tác vụ.  Dùng Matlab để mô phỏng kịch bản tấn công và phòng thủ. Qua kết quả thu được, sẽ rút ra nhận xét về sự hiệu quả của phương pháp đề xuất.5 Ý Nghĩa Của Đề Tài Điện toán đám mây đang mang lại nhiều lợi ích cho người sử dụng trong công việc, giải trí và tiết kiệm chi phí hơn so với trước kia. Tấn công DDoS lại là kẻ thù số một cho chất lượng những dịch vụ mà điện toán đám mây mang lại.

Nó gây thiệt hại kinh tế nghiêm trọng cho cả nhà cung cấp dịch vụ và các khách hàng của họ. Chưa kể đến việc những kẻ tấn công dùng DDoS để đánh lạc hướng, hòng thực hiện những ý đồ xấu xa khác như đánh cắp thông tin bí mật của người dùng. Do đó việc hạn chế bị tấn công DDoS đến mức thấp nhất là nhu cầu cấp thiết của các nhà cung cấp dịch vụ đám mây nói riêng và các tổ chức, doanh nghiệp nói chung. Kết quả mô phỏng cho thấy hệ thống được đề xuất có thể phát hiện chính xác cuộc tấn công lũ lẩn trốn trong một luồng dữ liệu lớn, và lọc thành công các gói tấn công với độ chính xác hơn 97%.

Do đó, đề tài có thể áp dụng vào hoạt động thực tiễn để bảo vệ khả năng xử lý của máy chủ trước các cuộc tấn công lũ SYN.6 Nội Dung Luận Văn Luận văn gồm có 5 chương, trong đó: Chương 2: giúp ta có cái nhìn khái quát về tấn công DDoS, cũng như một vài nghiên cứu liên quan đến đề tài. Mặt khác, trong chương này cũng giới thiệu về các đặc điểm cũng như lợi ích mà điện toán đám mây đã mang lại. Chương 3: trình bày về các lý thuyết về thư viện của CloudSim, cách nhận biết một cuộc tấn công lũ SYN, cũng như hướng lọc các gói tấn công mà tác giả đã tìm hiểu và dựa vào đó để tiến hành mô phỏng. Chương 4: là những kết quả thu được trong mô phỏng thông qua hai phần mềm Matlab và Netbeans.

Chương 5: đưa ra kết luận qua các kết quả thu được, kèm theo đó là nhìn nhận mặt còn thiếu xót trong luận văn và hướng để phát triển đề tài. GIỚI THIỆU TỔNG QUAN VÀ TÌNH HÌNH NGHIÊN CỨU CHƯƠNG 2. GIỚI THIỆU TỔNG QUAN VÀ TÌNH HÌNH NGHIÊN CỨU 2.1 Giới Thiệu DDoS 2. Khái Niệm DDoS Tấn công Distributed Denial of Service (DDoS) hay còn gọi là tấn công từ chối dịch vụ phân tán là một dạng tấn công cùng lúc từ nhiều máy tính tới một đích.

Khiến cho đường truyền internet đến máy nạn nhân tắc nghẽn, hoặc làm khả năng xử lý của máy nạn nhân bị quá tải. Tấn công từ chối dịch vụ (DoS) và tấn công từ chối dịch vụ phân tán (DDoS) chỉ khác nhau ở phạm vi tấn công. Trong khi lưu lượng tấn công DoS thường phát sinh từ một hoặc một số ít nguồn, thì lưu lượng tấn công DDoS thường phát sinh từ rất nhiều nguồn nằm rải rác trên mạng Internet. Đầu tiên, kẻ tấn công tìm cách cài mã độc trên một số lượng lớn máy tính, nhằm chiếm quyền điều khiển từ xa.

Ta gọi các máy này là zombies. Tập hợp các zombies lại ta có mạng Botnet. Kẻ tấn công sẽ dùng các mạng botnet cùng lúc tấn công mục tiêu chính. 1: Tấn công DDoS 5 2.

GIỚI THIỆU TỔNG QUAN VÀ TÌNH HÌNH NGHIÊN CỨU 2. Lịch Sử Tấn công DDoS đầu tiên trong lịch sử là vào một máy tính của trường đại học Minnesota. Cuộc tấn công DDoS quy mô lớn đầu tiên được ghi nhận là vào cuối tháng sáu và đầu tháng bảy năm 1999. Những servers chịu tấn công DDoS trong suốt những năm 2000 gồm : Yahoo, Amazon, Buy.com, CNN, Ebay, and Nato sites [2].

Vào năm 2013, có tấn công DDoS vào China’s websites, Bitcoin, NASDAQ trading market. 24/11/2014, hệ thống máy tính của nhân viên của Sony Pictures trên toàn cầu đã trở thành nạn nhân của một đợt tấn công mạng. Trước màn hình máy tính của nhân viên Sony xuất hiện dòng chữ "Hacked By #GOP" vốn được cho là thông điệp của tổ chức Guardians of Peace (theo thông tin từ tờ Los Angeles Times). 22/12/2014 : Hệ thống mạng của Triều Tiên bị đánh sập hoàn toàn.

7/1/2015 các trang web của chính phủ nước Đức, trong đó có trang cá nhân của Thủ tướng Angela Merkel, đã bị tấn công, dẫn đến tình trạng truy cập bị gián đoạn từ lúc 10 giờ sáng. 31/12/2015, vào lúc 7 giờ sáng (GMT) toàn bộ các trang web BBC đều hiển thị lỗi 505 vì bị tấn công DDoS. Tháng 10/2016, một mạng botnet cỡ lớn đã tấn công DDoS vào Dyn, nhà cung cấp hệ thống tên miền lớn của thế giới, khiến gần như một nửa nước Mỹ bị mất kết nối Internet. Đợt tấn công DDoS nhắm vào Dyn đã khiến hàng loạt trang web lớn như Twitter, GitHub và Netflix bị đánh sập trong một ngày.

GIỚI THIỆU TỔNG QUAN VÀ TÌNH HÌNH NGHIÊN CỨU Bảng 2. 1: Tổng hợp tấn công DDoS theo từng năm [1] DDoS tool Loại tấn công Năm Fapi UDP,TCP and ICMP floods 1998 Trinoo Distributed SYN DoS attack 1999 Tribe Flood Network ICMP flood, SYN flood,UDP flood, and Smurf attack. 1999 Stacheldraht ICMP flood, SYN flood,UDP flood, and Smurf attack. 1999 Shaft Packet flooding attacks 1999 Mstream TCP ACK flood attacks 2000 UDP, fragment, SYN, RST, ACK and other flood Trinity 2000 attacks Trinity Flood UDP, TCP, ICMP Teardrop and LAND attacks 2000 Network 2k Ramen Uses back chaining model for automatic propagation 2001 Code Red & Code TCP SYN attacks 2001 Red II Knight SYN attacks, UDP flood attacks 2001 Attacks through email attachments , SMB networking Nimda 2001 and backdoors attacks SQL slammer SQL code injection attack 2003 Loris Slowloris attack and its variants viz.

Pyloris 2009 Qslowloris Attack the websites eg: IRC bots, Bonets 2009 L4D2 Propagation attacks 2009 DDOSIM-0.2 TCP based connection attacks 2010 XerXeS WikiLeaks attacks, QR code attacks 2011 Saladin Webservers attacks, tweet attacks 2011 Apache killer Apache server attacks, scripting attacks 2011 Tor’s Hammer HTTP POST attacks 2011 7 2. GIỚI THIỆU TỔNG QUAN VÀ TÌNH HÌNH NGHIÊN CỨU 2. Phân Loại Các Kiểu Tấn Công DDoS Hình 2. 2: Phân Loại Các Kiểu Tấn Công DDoS [1] 2.1 Tấn Công Vào Băng Thông: Tấn công vào băng thông được thiết kế nhằm làm tràn ngập mạng mục tiêu với những gói tin trao đổi qua lại không cần thiết.

Mục đích là làm giảm tối thiểu khả năng của các gói tin hợp lệ đến được hệ thống cung cấp dịch vụ của mục tiêu. Có hai loại tấn công vào băng thông [3]:  Flood attack: Kẻ tấn công điều khiển các máy zombies gửi một lượng lớn các gói tin đến hệ thống dịch vụ của mục tiêu, làm dịch vụ này hết khả năng về băng thông. Băng thông của nạn nhân bị ngập lụt bởi các gói tin UDP và ICMP. GIỚI THIỆU TỔNG QUAN VÀ TÌNH HÌNH NGHIÊN CỨU Có 2 kiểu tấn công Flood attack :  UDP flood : Với sự giúp đỡ của zombies, kẻ tấn công gửi một số lượng lớn các gói tin UDP với địa chỉ IP nguồn giả mạo đến các cổng quy định trước hoặc cổng ngẫu nhiên của máy tính nạn nhân.

Khi nhận được các gói tin, máy nạn nhân sẽ nhìn vào ‘dest port’ để xác định xem ứng dụng thực thi nào sẽ tương ứng với cổng đó. Nếu không thấy ứng dụng phù hợp, máy nạn nhân sẽ tạo ra gói tin ICMP với thông điệp là ‘destination unreachable’. Các gói tin ICMP trả lời từ máy nạn nhân sẽ được gửi đến các địa chỉ IP giả mạo; không phải là các địa chỉ IP thật của các zombies. Kết quả là băng thông của nạn nhân tràn ngập các gói tin UDP request và ICMP reply trao đổi qua lại liên tục, dần dần dẫn đến cạn kiệt nên không thể phục vụ người sử dụng thực sự.

 ICMP Flood: Thông qua các zombies, kẻ tấn công gửi một số lượng rất lớn các gói ‘ICMP ECHO Request’ đến cho máy nạn nhân. Các gói này còn có thể mang IP nguồn giả mạo. Mỗi gói tin gửi đến đều yêu cầu nạn nhân phải tạo ra các gói tin trả lời (response message). Nên máy nạn nhân phải gửi lại rất nhiều gói response.

Lúc này, mạng sẽ tràn ngập các gói tin request reponse trao đổi qua lại liên tục. Dẫn đến băng thông mạng của nạn nhân bị bão hòa và suy yếu nhanh chóng, không thể đáp ứng được các yêu cầu hợp lệ.  Amplification attack: Kẻ tấn công điều khiển các zombies gửi message đến một địa chỉ IP broadcast, với địa chỉ nguồn là của nạn nhân. Khi đó tất cả các máy trong subnet này sẽ gửi message trả lời đến hệ thống dịch vụ của nạn nhân.

Phương pháp này làm gia tăng traffic không cần thiết, làm suy giảm băng thông của mục tiêu. GIỚI THIỆU TỔNG QUAN VÀ TÌNH HÌNH NGHIÊN CỨU Hình 2. 4: Amplification attack [3] Có 2 loại tấn công kiểu Amplification attack:  Smurf Attack [5]: Hacker sẽ gửi các gói ICMP echo request đến địa chỉ broadcast của mạng khuếch đại. Các gói ICMP echo request này sẽ có địa chỉ IP nguồn chính là địa chỉ IP của nạn nhân.

Khi các packet đó đến được địa chỉ broadcast của mạng khuếch đại, lập tức tất cả các máy tính trong mạng khuếch đại sẽ nhận được các packet này. Các máy này tưởng rằng máy tính nạn nhân đã gởi gói ICMP echo request đến (do hacker đã làm giả địa chỉ IP nguồn), lập tức chúng sẽ đồng loạt gởi trả lại hệ thống nạn nhân các gói ICMP echo reply. Hệ thống máy nạn nhân sẽ không chịu nổi một khối lượng khổng lồ packet và nhanh chóng bị ngừng hoạt động, crash hoặc reboot. Như vậy, ta có thể thấy rằng hacker chỉ cần gởi một lượng nhỏ các ICMP echo request packets đi, và hệ thống mạng khuếch đại sẽ khuếch đại lượng ICMP echo request packet này lên gấp bội.

Nhiệm vụ của các hacker là cố chiếm được càng nhiều hệ thống mạng hoặc routers cho phép chuyển trực tiếp các packets đến địa chỉ broadcast và không lọc địa chỉ nguồn của các gói tin ra. Có được các hệ thống này, hacker sẽ dễ dàng tiến hành Smurf Attack trên các hệ thống cần tấn công.