CHƯƠNG 1. TỔNG QUAN VỀ TẤN CÔNG MẠNG VÀ CÁC NGHIÊN CỨU LIÊN QUAN 1. Thực trạng về vấn đề tấn công mạng. Xu thế phát triển và các vấn đề về àn toàn thông tin.
Theo báo cáo của Cisco’s VNI về sự tăng trưởng của các thiết bị mạng trên toàn thế giới, ước tính đến năm 2022 [12], thế giới sẽ có 28,5 tỷ thiết bị kết nối với mạng Internet, riêng các thiết bị IoT sẽ chiếm hơn một nửa trong số đó. Số người sử dụng Internet đạt 4,8 tỷ người và lưu lượng mạng lưu thông mỗi tháng sẽ đạt 396 exabyte mỗi tháng, gấp ba lần lưu lượng mạng mỗi tháng vào năm 2017. Sự tăng trưởng của các thiết bị có kết nối mạng Xu hướng tăng trưởng này là do ảnh hưởng của cuộc cách mạng 4.0, hướng tới sự kết nối và chia sẻ thông tin. Biểu hiện ở việc xây dựng thành phố thông minh, phổ cập Internet, ứng dụng chia sẻ, sử dụng trí tuệ nhân tạo,.
Đặc biệt gần đây là sự kiện thương mại hóa mạng 5G để giúp đáp ứng các nhu cầu của cách mạng 4. Do nhu cầu quá lớn của các thiết bị kết nối mạng, cảm biến, và các thiết bị IoT, khiến các nhà sản xuất thiết bị trên bắt đầu chạy đua lợi nhuận, tăng mạnh về số sản Luan van 12 lượng sản xuất nhưng không chú trọng nghiên cứu, cập nhật các vấn đề về mức an toàn của thiết bị. Từ đó dẫn tới hacker lợi dụng được các lỗ hổng bảo mật, “backdoor” tồn tại trên thiết bị. Backdoor trên router 740N của Tp-link cho phép đăng nhập điều khiển router mà không cần mật khẩu của người dùng Ngoài ra, các công trình nghiên cứu về bảo mật trên các thiết bị mạng nhỏ và vừa chỉ bắt đầu xuất hiện nhiều trong vòng vài năm gần đây, và chưa có sự phổ biến cao hoặc thương mại hóa để các nhà sản xuất có thể sử dụng dễ dàng.
Các hệ thống kết nối mạng của các thiết bị nhỏ và vừa hiện tại không có một chuẩn chung về bảo mật để đánh giá khiến chúng dễ bị tấn công và lợi dụng bới các hacker. Sự phát triển của xu hướng tấn công các thiết bị mạng Theo “MalwareBytes Lab” [5], năm 2018 là năm mà các hacker chuyển từ tấn công chủ yếu trên máy tính cá nhân sang tấn công các hệ thống mạng của các doanh nghiệp, công ty lớn hoặc các hệ thống thiết bị IoT. Các doanh nghiệp toàn cầu như Facebook, Marriott, Exactis, MyHeritage và Quora đều bị tấn công gây ảnh hưởng tới hàng trăm triệu khách hàng trên phạm vi toàn thế giới. Có tới 7/10 malware ảnh hưởng lớn nhất trong năm 2018 là các malware tấn công trên các thiết bị kết nối mạng và thiết bị IoT, tiêu biểu là các malware như: Kovter, ZeuS/Zbot, CoinMiner, Ursnif, Mirai.
Cho thấy sự quan tâm của các hacker mũ đen tới việc tấn công thiết bị mạng. Luan van 13 Hình 1. Top 10 malware phổ biến vào năm 2018 – www. Sự thay đổi về lượng malware phát hiện năm 2018 Tại Việt Nam, chỉ riêng 6 tháng đầu năm 2018 đã phát hiện hơn 4.500 cuộc tấn công mạng nhằm vào các cơ quan Chính phủ, bộ, ngành với nhiều hình thức khác nhau.
Việt Nam xếp thứ 4 trong tốp 10 quốc gia bị kiểm soát bởi mạng máy tính ma [13]. Tại Việt Nam đã xuất hiện một số vụ tấn công lớn như việc lộ lọt dữ liệu 5,4 triệu người dùng của Thế giới di động và được tung lên tại Raidforums dưới danh tính của một hacker ẩn danh, hoặc cuộc tấn công làm tê liệt hệ thống của VietNam Airlines Luan van 14 và lấy đi dữ liệu cá nhân của 411.000 người dùng, trong đó có nhiều người dùng là hội viên “Bông sen vàng” đã gây ảnh hưởng nghiêm trọng và gây thiệt hại lớn. Vụ tấn công làm thay đổi giao diện của trang chủ VietNam AirLines vào năm 2016. Ngoài ra, trên thế giới nói chung và Việt Nam nói riêng đã có xu hướng chuyển dịch các hệ thống quan trọng như hệ thống khai thác dầu mỏ, hệ thống thủy điện, hệ thống tín hiệu giao thông sang tự động hóa bằng máy móc.
Và nếu những hệ thống trên bị xâm nhập và kiểm soát có thể dẫn tới nguy cơ ảnh hưởng tới an ninh cấp quốc gia. Tấn công mạng và các nghiên cứu liên quan. Tấn công mạng là gì. Theo luật an ninh mạng ban hành năm 2018, hành vi tấn công mạng được định nghĩa: “Tấn công mạng là hành vi sử dụng không gian mạng, công nghệ thông tin hoặc phương tiện điện tử để phá hoại, gây gián đoạn hoạt động của mạng viễn thông, Luan van 15 mạng Internet, mạng máy tính, hệ thống thông tin, hệ thống xử lý và điều khiển thông tin, cơ sở dữ liệu, phương tiện điện tử”.
Quy trình tấn công gồm 5 bước lần lượt là: 1. Xác định mục tiêu. Thu thập thông tin mục tiêu, tìm kiếm lỗ hổng. Lựa chọn mô hình tấn công.
Thực hiện tấn công. Có rất nhiều các phương pháp tấn công mạng khác nhau nhưng được quy về 3 phương pháp tấn công chính. Tấn công thăm dò: Là phương pháp sử dụng các công cụ bắt gói tin tự động, quét cổng, và kiểm tra các dịch vụ đang chạy với mục đích là thu thập thông tin về hệ thống. Các công cụ để thăm dò rất phổ biến và dễ sử dụng, ví dụ như Nmap, Wireshark,.
Giao diện của Nmap 2. Tấn công truy cập: Là phương pháp khai thác lỗ hổng trên các thiết bị của nạn nhân, ví dụ như các lỗ hổng trên dịch vụ, thiết bị, hoặc chính sách bảo mật. Luan van 16 Phương pháp tấn công này đòi hỏi người tấn công phải có trình độ cao, thường không có các công cụ hỗ trợ hoặc một quy trình chung nào. Đây là hình thức tấn công ít gặp nhất nhưng cũng là hình thức gây thiệt hại nhiều nhất và khó phát hiện nhất.
Tấn công từ chối dịch vụ: Tấn công từ chối dịch vụ là phương thức tấn công làm cho một hệ thống nào đó bị quá tải và không thể cung cấp dịch vụ cho người dùng bình thường, làm gián đoạn hoạt động của hệ thống hoặc làm hệ thống phải ngừng hoạt động. Đây là hình thức tấn công phổ biến nhất. Việt Nam là một nước nằm trong nhóm bị ảnh hưởng nhiều do tấn công từ chối dịch vụ trên thế giới. Lưu lượng tấn công DDoS trên toàn thế giới trong năm 2018 (Nguồn: https://www.
Các nghiên cứu liên quan về tấn công mạng. Việc nghiên cứu các vấn đề liên quan đến tấn công mạng và ngăn chặn tấn công mạng đã có từ những năm 90 của thế kỷ trước với rất nhiều đề xuất, phương pháp có tính khả thi khi áp dụng thực tế. Đặc biệt với các phương pháp phát hiện, chủ động phòng ngừa các hành vi tấn công mạng dựa trên phân tích hành vi người dùng hoặc Luan van 17 phân tích các thông tin về lưu lượng mạng để đưa ra cảnh báo hoặc ngăn chặn trực tiếp. Các phương pháp đề xuất thường được chia làm 2 loại: + Tạo các tập mẫu có sẵn về thông tin, hành vi của người dùng và hành vi nào vượt quá ngưỡng của tập mẫu sẽ bị coi là hành vi bất thường.
+ Xây dựng hệ thống phát hiện xâm nhập dựa trên các hành vi khác thường của kẻ tấn công (tập luật). Dựa trên tập luật đó để quyết định một hành vi của người dùng có được coi là bất thường hay không. Cả hai phương pháp đều có ưu điểm là dễ cấu hình, có tỷ lệ ngăn chặn tốt nếu chọn được tập mẫu hoặc cấu hình tập luật đủ tốt. Xong nhược điểm của các phương pháp trên là thiếu tính linh động, có thể đưa ra quyết định sai lầm khi có các thông tin mang tính ngẫu nhiên xuất hiện hoặc dễ dàng bị hacker nếu không cập nhật thường xuyên.
Do đó, trong thời gian gần đây đã có các nghiên cứu thử nghiệm các mô hình tích hợp các thuật toán vào trong hệ thống trong phân tích và phát hiện các hành vi bất thường, đặc biệt là các mô hình sử dụng thuật toán học máy, và đem lại các kết quả rất khả quan về tính khả thi. Lý do việc tích hợp các thuật toán học máy vào việc dự đoán và phát hiện tấn công là do đặc điểm của các thuật toán học máy có tính tự động học hỏi dựa trên dữ liệu đầu vào. Một mô hình học máy có thể tạo ra các bộ luật khác nhau đối với các hệ thống có dữ liệu khác nhau nhưng vẫn đảm bảo được hiệu quả khi kết hợp với các hệ thống bảo vệ sẵn có. Các mô hình học máy này thường được tích hợp trong hệ thống IDS và ứng dụng chúng để dự đoán các hành vi bất thường, phát hiện các cuộc tấn công mạng hoặc phân tích các gói tin mạng, tuy chưa có khả năng thay thế được một kỹ sư an ninh mạng nhưng mô hình này có thể hỗ trợ trong việc đưa ra phán đoán của người quản trị, đặc biệt là khi khối lượng dữ liệu quá lớn và vượt khỏi khả năng xử lý của con người.
Dưới đây là một số nghiên cứu nổi tiếng về ứng dụng học máy trong phát hiện và ngăn chặn hành vi bất thường có thể tham khảo: Luan van 18 1. Machine Learning Techniques for Intrusion Detection. M Zamani, M Movahedi - arXiv preprint arXiv:1312. Long Short Term Memory Networks for Anomaly Detection in Time Series.Malhotra, L Vig, G Shroff, P Agarwal - Proceedings, 2015 - books.
Anomaly Detection Framework Using Rule Extraction for Efficient Intrusion Detection. A Juvonen, T Sipola - arXiv preprint arXiv:1410. A survey of network anomaly detection techniques. M Ahmed, AN Mahmood, J Hu - Journal of Network and Computer …, 2016 - Elsevier 5.
Shallow and Deep Networks Intrusion Detection System: A Taxonomy and Survey. E Hodo, X Bellekens, A Hamilton, C Tachtatzis… - arXiv preprint arXiv …, 2017 - arxiv. Deep Packet: A Novel Approach For Encrypted Traffic Classification Using Deep Learning. M Lotfollahi, MJ Siavoshani, RSH Zade, M Saberian - Soft Computing, 2020 - Springer 7.
Performance Comparison of Intrusion Detection Systems and Application of Machine Learning to Snort System. SAR Shah, B Issac - Future Generation Computer Systems, 2018 - Elsevier 8. Evaluation of Machine Learning Algorithms for Intrusion Detection System. M Almseidin, M Alzubi, S Kovacs… - 2017 IEEE 15th …, 2017 - ieeexplore.
One Class collective Anomaly Detection based on LSTM. NN Thi, NA Le-Khac - Transactions on Large-Scale Data-and …, 2017 - Springer 10. Network Traffic Anomaly Detection Using Recurrent Neural Networks. BJ Radford, LM Apolonio, AJ Trias… - arXiv preprint arXiv …, 2018 - arxiv.
Sequence Aggregation Rules for Anomaly Detection in Computer Network Traffic. BJ Radford, BD Richardson, SE Davis - arXiv preprint arXiv:1805. Big collection of all approaches for IDS. B Harode, A Jain - 2018 - ijrar.