Kỹ thuật phòng chống DDOS ( phần ) DISTRIBUTED DENIAL OF SERVICE (DDOS) GIỚI THIỆU Distributed Denial Of Service (DDoS) kỹ thuật công làm ISP lo âu, giới hacker thống khơng cơng nhận DdoS kỹ thuật cơng thống Thế Black hat có nhiều ưu triển khai cơng kỹ thuật DdoS Việc phịng ngừa ngăn chặn DdoS thực mức độ khắc phục hậu truy tìm thủ phạm Vậy DdoS mà có nhiều yếu tố đặc biệt vậy? Bài viết cố gắng trả lời câu hỏi lăng kính security Bố cục viết gồm: Giới thiệu DDoS Phân tích loại cơng kiểu DDoS Phân tích kỹ thuật Anti-DDoS Nhân tố người Anti- DDoS Một số trường hợp công DDoS PHẦN I: GIỚI THIỆU VỀ DDOS 1/ Ngày 7/3/2000, yahoo.com phải ngưng phục vụ hàng trăm triệu user toàn giới nhiều liền Vài sau, Yahoo tìm nguyên nhân gây nên tình trạng này, họ phải gánh chịu đợt công DDoS với quy mơ vài ngàn máy tính liên tục gửi hàng triệu request đến server dịch vụ làm server phục vụ user thông thường khác Vài ngày sau, kiện tương tự diễn có phần “ồn ào” nạn nhân hãng tin CNN, amazon.com, buy.com, Zdnet.com, E-trade.com, Ebay.com Tất nạn nhân gã khổng lồ internet thuộc nhiều lĩnh vực khác Theo Yankke Group, tổng thiệt hại công lên đến 1.2 triệu USD, không đáng kể mát lòng tin khách hàng, uy tín cơng ty khơng thể tính Làm đảo lộn dự tính, thủ phạm cậu bé 15 tuổi người Canada, với nickname “mafiaboy” Lại thiên tài bẩm sinh Kevin Mitnick xuất hiện? Khơng Mafiaboy tìm tịi download số chương trình cơng cụ hacker Cậu dùng cơng cụ DDos có tên TrinOO để gây nên công kiểu DDoS khủng khiếp Một điểm đáng lưu ý khác Mafiaboy bị bắt tự khoe khoang chatroom công cộng, khơng tự truy tìm dấu vết cậu bé Còn nhiều gã khổng lồ khác gục ngã công kiểu DDoS sau đó, có Microsodt Tuy nhiên cơng điển hình DDoS, nói lên đặc điểm chết người DDoS: “Rất dễ thực hiện, tránh, hậu nặng nề” 2/ Các giai đoạn công kiểu DdoS: Bao gồm giai đoạn: 2.1 Giai đoạn chuẩn bị: - Chuẩn bị công cụ quan trọng công, công cụ thông thường hoạt động theo mơ hình client-server Hacker viết phần mềm hay down load cách dễ dàng, theo thống kê tạm thời có khoảng 10 cơng cụ DDoS cung cấp miễn phí mạng (các cơng cụ phân tích chi tiết vào phần sau) - Kế tiếp, dùng kỹ thuật hack khác để nắm trọn quyền số host mạng tiến hành cài đặt software cần thiết host này, việc cấu hình thử nghiệm tồn attack-netword (bao gồm mạng lưới máy bị lợi dụng với software thiết lập đó, máy hacker số máy khác thiết lập điểm phát động công) thực giai đoạn 2.2 Giai đoạn xác định mục tiêu thời điểm: - Sau xác định mục tiêu lấn cuối, hacker có hoạt động điều chỉnh attack-netword chuyển hướng cơng phía mục tiêu - Yếu tố thời điểm định mức độ thiệt hại tốc độ đáp ứng mục tiêu công 2.3 Phát động cơng xóa dấu vết: Đúng thời điểm định, hacker phát động cơng từ máy mình, lệnh cơng qua nhiều cấp mói đến host thực cơng Tồn attack-network (có thể lên đến hàng ngàn máy), vắt cạn lực server mục tiêu liên tục, ngăn chặn không cho hoạt động thiết kế - Sau khoảng thời gian cơng thích hợp, hacker tiến hành xóa dấu vết truy ngược đến mình, việc địi hỏi trình độ khác cao khơng tuyệt đối cần thiết 3/ Kiến trúc tổng quan DDoS attack-network: Nhìn chung DDoS attack-network có hai mơ hình chính: + Mơ hình Agent – Handler + Mơ hình IRC – Based Dưới sơ đồ phân loại kiểu công DDoS DDoS attack-network Agent -Handler Client – Handler Communication TCP UDP IRC - Based Client – Handler Communication ICMP TCP UDP Secret/private channel Public channel ICMP 3.1 Mơ hình Agent – Handler: Theo mơ hình này, attack-network gồm thành phần: Agent, Client Handler Client : software sở để hacker điều khiển hoạt động attack-network Handler : thành phần software trung gian Agent Client Agent : thành phần software thực công mục tiêu, nhận điều khiển từ Client thông qua Handler Kiến trúc attack-network kiểu Agent – Handler Attacker Handler Agent Attacker Handler Agent Handler Agent Handler Agent Agent Victim Attacker từ Client giao tiếp với cc1 Handler để xác định số lượng Agent online, điều chỉnh thời điểm công cập nhật Agent Tùy theo cách attacker cấu hình attack-network, Agent chịu quản lý hay nhiều Handler Thông thường Attacker đặt Handler software Router hay server có lượng traffic lưu thơng nhiều Việc nhằm làm cho giao tiếp Client, handler Agent khó bị phát Các gia tiếp thơng thường xảy protocol TCP, UDP hay ICMP Chủ nhân thực Agent thông thường không hay biết họ bị lợi dụng vào công kiểu DDoS, họ không đủ kiến thức chương trình Backdoor Agent sử dụng tài nguyên hệ thống làm cho thấy ảnh hưởng đến hiệu hệ thống 3.2 Mơ hình IRC – Based: Internet Relay Chat (IRC) hệ thống online chat multiuser, IRC cho phép User tạo kết nối đến multipoint đến nhiều user khác chat thời gian thực Kiến trúc củ IRC network bao gồm nhiều IRC server khắp internet, giao tiếp với nhiều kênh (channel) IRC network cho phép user tạo ba loại channel: public, private serect Public channel: Cho phép user channel thấy IRC name nhận message user khác channel Private channel: thiết kế để giao tiếp với đối tượng cho phép Không cho phép user không channel thấy IRC name message channel Tuy nhiên, user channel dùng số lệnh channel locator biết tồn private channel Secrect channel : tương tự private channel xác định channel locator Kiến trúc attack-network kiểu IRC-Base Attacker Attacker IRC NETWORK Agent Agent Agent Agent Agent Victim IRC – Based net work tương tự Agent – Handler network mơ hình sử dụng kênh giao tiếp IRC làm phương tiện giao tiếp Client Agent (khơng sử dụng Handler) Sử dụng mơ hình này, attacker cịn có thêm số lợi khác như: + Các giao tiếp dạng chat message làm cho việc phát chúng vơ khó khăn + IRC traffic di chuyển mạng với số lượng lớn mà không bị nghi ngờ + Không cần phải trì danh sách Agent, hacker cần logon vào IRC server nhận report trạng thái Agent channel gửi + Sau cùng: IRC môi trường file sharing tạo điều kiện phát tán Agent code lên nhiều máy khác PHẦN II/ PHÂN LOẠI TẤN CƠNG KIỂU DDOS Nhìn chung, có nhiều biến thể kỹ thuật cơng DDoS nhìn góc độ chun mơn chia biến thề thành hai loại dựa mụch đích công: Làm cạn kiệt băng thông làm cạn kiệt tài nguyên hệ thống Dưới sơ đồ mô tả phân loại kiểu công DDoS DDoS attack Bandwith DeleptionDeleption Amplification Attack Flood Attack UDP Random Port Attack ICMP Static Port Attack Spoof Source Attack Resource Deleption Smuft attack Flaggle Attack Direct Attack Protocol Exploit Attack TCP SYS Attack Malformed Paclket attack PUSH +ACK SYN Attack IP @ Attack IP Packet Options Attack Spoof source Attack Spoof source Attack Spoof source Attack Loop Attack Spoof source Attack DDoS Countermeasures Detect and Neutralize handler Detect and Prevent Agent Detect/Prevent Potential Attack Egress Filtering Deflect Attack Mitigate/Stop Attack Post attack Forensic Traffic Pattern Analysis MIB Statistic Honeyspots Packet Traceback Invidual user Install Software Network Service Provider Build in defense Event Log Shadow Real Network Study Attack Cost Load Balancing Throttling Drop Request