- Khóa luận này sẽ trình bày về một phương pháp phòng chống tấn công từ chối dịch vụ hiệu quả bằng cách sử dụng một kiến trúc mạng bao phủ để bảo vệ Website. - Tuy vậy kiến trúc tỏ ra bất lực khi một hoặc một số các node trong mạng bao phủ bị chiếm dụng trở thành node gây hại và tấn công mạng. - 1 Chương 1: CÁC CÁCH THỨC TẤN CÔNG TỪ CHỐI DỊCH VỤ. - 1.2.4 Thực hiện tấn công. - 7 1.3 Các cách thức tấn công từ chối dịch vụ. - 1.3.2 Tấn công vào giao thức. - 1.3.3 Tấn công vào Middleware. - 1.3.4 Tấn công vào ứng dụng. - 1.3.5 Tấn công vào tài nguyên. - Trong năm 2002, một cuộc tấn công từ chối dịch vụ [22] đã làm sập tới 9 trong số 13 máy chủ DNS root của toàn thế giới. - Mỗi giải pháp đó đều rất tốt, và cung cấp kĩ thuật giúp chúng ta định vị vấn đề tấn công từ chối dịch vụ. - Song các phương pháp chỉ có thể bảo vệ lại từng khía cạnh của tấn công từ chối dịch vụ. - Đó là việc áp dụng kiến trúc mạng bao phủ, để bảo vệ mục tiêu khỏi sự tiếp cận của kẻ tấn công. - Chương 2: Các phương pháp phòng chống tấn công từ chối dịch vụ đã được đề xuất trước đây. - Nhiều phương pháp hiện nay vẫn là những nghiên cứu đáng quan tâm trong lĩnh vực phòng chống tấn công từ chối dịch vụ. - Các phương pháp lọc, với sự phát triển của cơ sở hạ tấng mạng, nếu được thực hiện đồng bộ có thể giảm thiểu nguy cơ tấn công từ chối dịch vụ cho các Website.. - Chương 3: SOS và WebSOS, giới thiệu về cơ chế của hai kiến trúc bảo vệ Website khỏi tấn công từ chối dịch vụ thông qua việc sử dụng mạng bao phủ và node bí mật. - Từ đó nêu lên các đặc điểm cốt lỗi được tôi sử dụng để tham gia vào kiến trúc được cải tiến nhằm phòng chống tấn công từ chối dịch vụ.. - Chương 1: CÁC CÁCH THỨC TẤN CÔNG TỪ CHỐI DỊCH VỤ. - Một cuộc tấn công DDoS cần phải được chuẩn bị kỹ lưỡng bởi kẻ tấn công. - Tiếp theo đó, kẻ tấn công thiết lập các kênh giao tiếp giữa các máy, để chúng có thể được kiểm soát và tham gia cuộc tấn công một cách có phối hợp. - Một khi các mạng DDoS được xây dựng, nó có thể được sử dụng để tấn công nhiều lần, chống lại các mục tiêu khác nhau.. - Hiện nay, những kẻ tấn công thường sử dụng script để tự động hóa toàn bộ quá trình.. - Nếu nhận thấy máy phù hợp, những kẻ tấn công sẽ cố gắng đột nhập vào máy.. - Tuy vậy các kẻ tấn công luôn cố gắng khai thác, tìm kiếm các lỗ hổng khác mà máy có thể có. - Kẻ tấn công cần phải quyết định một mô hình phát tán cho việc cài đặt phần mềm độc hại của mình. - Kẻ tấn công cài đặt trinoo và Shaft sử dụng phương pháp tiếp cận tập trung như vậy trong những ngày đầu. - Đây là kiến trúc các lớp bao phủ giúp kẻ tấn công có thể che giấu định danh của bản thân. - Điều này khiến một số kẻ tấn công có thể sử dụng mạng lưới DDoS của kẻ khác, cũng như giúp một số người phòng thủ có thể điều khiển ngược lại các handler để ngừng cuộc tấn công. - 1.2.2 Gửi lệnh gián tiếp [17] Truyền thông trực tiếp gây ra một vài nhược điểm cho những kẻ tấn công. - Đó là lý do các kẻ tấn công chuyển sang việc truyền thông qua các IRC. - Ví dụ, kẻ tấn công có thể lợi dụng một lỗ hổng hiện nay tại một máy chủ Web để làm nó để chạy chương trình PING.EXE. - Tuy nhiên, hầu hết các cuộc tấn công xảy ra khi kẻ tấn công phát đi một lệnh từ các handler đến các agent. - Tùy thuộc vào loại công cụ tấn công được sử dụng, những kẻ tấn công có thể hoặc không có khả năng phát lệnh dừng cuộc tấn công. - Tuy nhiên, có khả năng là kẻ tấn công là quan sát các cuộc tấn công liên tục, tìm kiếm ảnh hưởng của nó vào các mục tiêu thử nghiệm. - Một số công cụ, như Shaft, có khả năng cung cấp phản hồi về thống kê tấn công tràn ngập. - 1.3 Các cách thức tấn công từ chối dịch vụ. - Tuy nhiên, một khi lỗ hổng được vá, các cuộc tấn công ban đầu trở nên hoàn toàn không hiệu quả.. - [17][18]Một ví dụ lý tưởng của các cuộc tấn công giao thức đó là tấn công tràn ngập gói TCP SYN. - Trong một cuộc tấn công tràn gói tin TCP SYN, kẻ tấn công tạo ra vô số các kết nối nửa mở bằng cách sử dụng giả mạo IP nguồn. - Để có thể giữ cho tình trạng này được kéo dài như mong muốn, kẻ tấn công cần phải tạo ra một dòng đều đặn các gói SYN đối với nạn nhân (để giành lấy những tài nguyên đã được giải phóng bởi thời gian tạm ngưng hoặc hoàn thành các phiên TCP).. - Để thực hiện thành công một cuộc tấn công tràn ngập gói SYN, kẻ tấn công cần xác định vị trí cổng mở trên máy của nạn nhân. - Tấn công vào giao thức rất khó để có thể chống lại bằng phương pháp sửa chữa, tạo bản vá. - Như việc sử dụng TCP SYN cookies có thể giải quyết được tấn công tràn gói SYN mà chỉ cần thay đổi cách server xử lý kết nối đến.. - Những kẻ tấn công có thể nhắm mục tiêu một ứng dụng cụ thể và gửi gói tin để đạt tới giới hạn của yêu cầu dịch vụ ứng dụng này có thể xử lý. - Cũng như các cuộc tấn công vào middle ware, một cuộc tấn công ứng dụng có thể không làm tê liệt toàn bộ máy chủ lưu trữ hoặc xuất hiện như một số lượng lớn các gói tin gửi tới server. - Những kẻ tấn công có thể nhắm mục tiêu một tài nguyên cụ thể như chu kỳ CPU hoặc khả năng chuyển đổi router. - Sau đó kẻ tấn công nhắm vào cơ sở hạ tầng định tuyến ở phía trước của các máy chủ và đánh sập tất cả các dịch vụ trực tuyến của Microsoft.. - Đây được gọi là cuộc tấn công tiêu thụ băng thông. - Vì vậy, nạn nhân thường phải yêu cầu sự giúp đỡ của các ISP để lọc ra các gói tin tấn công gửi tới.. - 1.4 IP Spoofing Một chiến thuật được sử dụng trong các cuộc tấn công nguy hiểm, đặc biệt ở DDoS đó là IP Spoofing, hay IP giả mạo. - Có một cuộc chạy đua liên tục giữa những kẻ tấn công và người phòng thủ. - Một số lượng lớn các cuộc tấn công giả mạo ngày nay sử dụng subnet, vượt qua được hầu hết các bộ lọc giả mạo ip.. - Điều này cho phép truy tìm các cuộc tấn công một gói như "Ping of Death", nhưng chỉ khi truy vấn nhanh. - Kẻ tấn công có thể gửi bất kỳ gói tin.. - Nhiều kẻ tấn công có thể hành động với nhau.. - Kẻ tấn công nhận thức được sự hoạt động của các chương trình traceback.. - Kẻ tấn công phải gửi ít nhất là hàng ngàn gói.. - Hệ thống này dựa trên mạng nguồn nhằm mục đích phát hiện các cuộc tấn công trước hoặc khi chúng rời khỏi mạng lưới DDoS của các agent. - Nó kịp thời khôi phục hoạt động bình thường khi kết thúc cuộc tấn công. - Mặt khác, những kẻ tấn công vẫn có thể thực hiện các cuộc tấn công thành công từ các mạng không được trang bị với hệ thống này. - Một cách khác để tiếp cận vấn đề DDoS là để xem xét các bài toán con của cuộc tấn công suy giảm kết nối. - Nhiều kết nối được khởi tạo bởi kẻ tấn công để triệt tiêu số lượng kết nối mở mà một máy chủ có thể duy trì. - Một mục tiêu trong phòng chống là để bảo tồn các nguồn lực này trong các cuộc tấn công như vậy. - Tuy nhiên, việc phân chia giao thông hợp pháp với giao thông tấn công không cần phải được tốt như D-WARD. - Nguồn mạng đang được ngăn cản khỏi nguồn tấn công, nhưng một mạng lưới mà không có cơ quan giám sát vẫn có thể tham gia vào một cuộc tấn công DDoS. - Vô tình, một số lưu lượng truy cập hợp pháp chia sẻ nhãn hiệu với các cuộc tấn công (vì nó cũng chia sẻ đường dẫn đến các nạn nhân do sự dao động và tính chất thích nghi của mạng) cũng sẽ bị giảm xuống, mất mát.. - Thứ nhất đó là sự chính xác giữa việc phân biệt giao thông tấn công với giao thông hợp lệ. - Thứ hai, là việc tạo ra một cơ chế thiết lập bộ lọc đủ sâu để có thể hạn chế tác hại của cuộc tấn công đến mức độ tối thiểu.. - Tuy vậy, khi không có tấn công từ chối dịch vụ, các máy khách có thể kết nối trực tiếp đến máy chủ đích mà không thông qua mạng bao phủ WebSOS. - Như vậy, tác hại của một cuộc tấn công từ chối dịch vụ trực tiếp đến các Server đích bị làm giảm đến mức thấp nhất nhờ các bộ lọc mạnh mẽ này. - Kẻ tấn công muốn tiếp tục phá hoại Website chỉ còn cách kết nối đến các Server đích qua mạng bao phủ, để thực hiện tấn công.. - Vì vậy, các chương trình độc hại của kẻ tấn công sẽ bị giới hạn, không thể tiếp cận để gửi gói tin phá hoại tới Server đích được.. - Thêm vào đó, WebSOS sử dụng SSL qua mỗi chặng trong mạng bao phủ, nhằm mục đích để xác thực chặng trước đó, nhằm tránh việc kẻ tấn công có thể phát hiện được một số node trong lớp bao phủ WebSOS và thực hiện giả dạng các node đó. - Với việc sử dụng khóa phức tạp, thì việc giả mạo Servlet là vô cùng khó khăn đối với kẻ tấn công. - Tổng kết: Như vậy chúng ta đã xây dựng xong kiến trúc WebSOS cho việc bảo vệ các WebSite khỏi tác động của các cuộc tấn công từ chối dịch vụ. - Người dùng có thể truy cập trực tiếp vào Website khi không có tấn công DDoS, giúp làm giảm độ trễ của truy cập. - Việc kết nối sử dụng SSL, và việc sử dụng GRE giúp tăng cường bảo mật trong mạng bao phủ và đồng thời giúp chống lại việc kẻ tấn công giả mạo các Servlet để gửi gói tin tràn ngập đến Server đích. - Một điểm nữa đó là chưa xử lý được trường hợp một node trong mạng bao phủ bị chiếm dụng và trở thành agent của kẻ tấn công. - Hoặc kẻ tấn công cũng hoàn toàn có thể bỏ qua mạng bao phủ, và thực hiện tấn công trực tiếp vào Server đích qua vùng lọc, làm cho vùng lọc bị vô hiệu hóa bởi việc xử lý các gói tin tràn ngập. - Có thể thấy, độ trễ ở đây ở số nhân 2 hoặc 3, là một độ trễ có thể chấp nhận được khi một Website nằm trong hoàn cảnh một cuộc tấn công từ chối dịch vụ. - Để nghiên cứu và cải thiện kiến trúc WebSOS, ta giả định trường hợp một, hoặc một số node trong mạng bao phủ WebSOS bị kẻ tấn công chiếm dụng. - Từ node bị chiếm dụng này, kẻ tấn công có thể thực hiện một trong ba hình thức tấn công sau:. - Tấn công toàn vẹn dữ liệu: Tấn công toàn vẹn dữ liệu có thể trên kênh request, bằng cách hủy bỏ gói tin hoặc kênh truyền đã thiết lập. - Tấn công hủy gói tin: tấn công hủy các gói thiết lập kết nối khiến người dùng không thể kết nối đến server qua node đó. - Phân tích sâu hơn trường hợp này, ta thấy trong kênh truyền đã được thiết lập, kẻ tấn công có thể hủy bỏ các gói tin được truyền giữa người dùng hợp lệ và server. - Tấn công gửi tràn gói tin: Một node bị chiếm dụng có thể tham gia tấn công gửi tràn đến server đích thông qua việc gửi tràn gói tin đến Servlet.. - Kẻ tấn công cũng có thể chỉ chặn các yêu cầu hợp lệ, ngoài ra các gói tin thăm dò và gói tin trả lời thăm dò vẫn được truyền qua node bị chiếm dụng. - Trong tuyến đường từ SOAP đến Servlet, một node trong đó có thể là một node bị chiếm dụng, và node này sẽ thực hiện tấn công hủy bỏ gói tin. - Kịch bản 2: Tương tự như kịch bản 1, tuy vậy node tấn công không hủy bỏ toàn bộ gói tin. - Các client không thể nhận response khi trên đường định tuyến đến server có một node bị chiếm dụng thực hiện tấn công hủy gói tin.. - Ở trường hợp tốt hơn, khi người dùng đang truy cập chẳng hạn, thì một node trong đường dẫn định tuyến bị chiếm dụng và tấn công. - Các đo đạc cho thấy rõ sự bất lực của kiến trúc gốc khi 100% thử nghiệm đều không thể kết nối với trường hợp node trong mạng bao phủ bị chiếm dụng và tấn công hệ thống. - Xây dựng được kiến trúc WebSOS với khả năng có thể chống lại mạnh mẽ các cuộc tấn công từ chối dịch vụ. - Hệ thống cho phép người dùng truy cập trực tiếp vào Website, và chỉ kích hoạt khi Website bị tấn công từ chối dịch vụ. - Thực hiện cải tiến hệ thống bằng cách đặt giả định một hoặc một vài node trong mạng bao phủ có thể bị chiếm dụng, và tấn công hệ thống bằng hình thức tấn công hủy gói tin hay tấn công toàn vẹn gói tin, khiến người dùng hợp lệ không thể truy cập hệ thống. - Nằm trong đề xuất cải tiến, giả định đặt ra là một node trong mạng bao phủ có thể bị chiếm dụng và trở thành nguồn tấn công. - Khi đó cơ chế xử lý đề ra là khá hiệu quả khi node thực hiện hành vi tấn công hủy gói tin. - Song do giả định node trong mạng bao phủ có thể bị chiếm dụng, node đó còn có thể tham gia hành vi tấn công nguy hiểm nữa đó là hành vi tấn công gửi tràn gói tin. - PHÒNG CHỐNG TẤN CÔNG TỪ CHỐI DỊCH VỤ PHÂN TÁN VÀO CÁC WEBSITE