Nghiên cứu và phát triển hệ thống Botnet Tracking theo dõi và giám sát các mạng Botnet

TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI VIỆN CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG ──────── * ─────── ĐỒ ÁN TỐT NGHIỆP ĐẠI HỌC NGÀNH CÔNG NGHỆ THÔNG TIN NGHIÊN CỨU VÀ PHÁT TRIỂN HỆ THỐNG BOTNET TRACKING THEO DÕI VÀ GIÁM SÁT CÁC MẠNG BOTNET Sinh viên thực hiện : Triệu Minh Tuân Lớp CNPMB – K51 Giáo viên hướng dẫn: TS Nguyễn Khanh Văn HÀ NỘI 5-2011 TÓM TẮT NỘI DUNG ĐỒ ÁN TỐT NGHIỆP Trong những năm gần đây, xu hướng tấn công của tội phạm chuyên sử dụng Botnet đang dần trở lại và ngày càng trở nên nguy hiểm hơn với nhiều công cụ và hình thức tấn công mới: từ ăn cắp thông tin, đến phát tán thư rác, phát tán mã độc hay tấn công từ chối dịch vụ, v… v… đã gây ra không ít những thiệt hại nặng nề về kinh tế và xã hội. Chính vì vậy, đã có rất nhiều giải pháp phát hiện Botnet hay làm giảm nhẹ thiệt hại do Botnet gây ra đã được công bố và triển khai trong thực tế. Botnet Tracking là một trong những giải pháp đó. Tư tưởng của Botnet Tracking là giám sát các mạng Botnet nhằm thu thập thông tin cần thiết hỗ trợ các đơn vị chuyên môn, các cơ quan có thẩm quyền giảm nhẹ thiệt hại do Botnet gây ra. Nội dung tài liệu đồ án tốt nghiệp này đề cập tới việc nghiên cứu, tìm hiểu về Botnet Tracking và những vấn đề có liên quan. Sau đó, ứng dụng những kiến thức thu được đi xây dựng một hệ thống Botnet Tracking phù hợp với môi trường triển khai tại nước ta, cụ thể là tại công ty An ninh mạng Bkav – một công ty có bề dày kinh nghiệm về những giải pháp an ninh mạng. Trong phần cuối, đồ án đề xuất giải pháp xây dựng một thư viện Botnet Tracking Framework, là một phần của hệ thống, một nền tảng hỗ trợ các chuyên gia trong việc phát triển các thành phần theo dõi các mạng Botnet trong hệ thống này. Từ khóa: Botnet, Botnet Tracking, Honeypot, DDoS, Spam MỤC LỤC TÓM TẮT NỘI DUNG ĐỒ ÁN TỐT NGHIỆP MỤC LỤC DANH MỤC CÁC BẢNG DANH MỤC CÁC HÌNH DANH MỤC THUẬT NGỮ DANH MỤC CÁC TỪ VIẾT TẮT MỞ ĐẦU PHẦN I: ĐẶT VẤN ĐỀ VÀ ĐỊNH HƯỚNG GIẢI PHÁP CHƯƠNG 1 – TỔNG QUAN VỀ BOTNET 1. Định nghĩa Botnet 2. Phân loại Botnet 3. Cài đặt Botnet 4. Các hình thức tấn công sử dụng Botnet 5. Phát tán và lây nhiễm Botnet CHƯƠNG 2 – GIỚI THIỆU ĐỀ TÀI & CỞ SỞ LÝ THUYẾT 1. Giới thiệu đề tài 1.1. Mục tiêu của đề tài 1.2. Các vấn đề cần giải quyết .1.2.1. Khái niệm Botnet Tracking .1.2.2. Các phương pháp Botnet Tracking đã có 2. Cơ sở lý thuyết 2.1. Tóm tắt lý thuyết Tracking Botnet 2.2. Tóm tắt lý thuyết Bot Milkers 3. Công cụ sử dụng PHẦN 2: NGHIÊN CỨU VÀ NHỮNG KẾT QUẢ ĐẠT ĐƯỢC CHƯƠNG 3 – PHÂN TÍCH LÝ THUYẾT & MÔI TRƯỜNG TRIỂN KHAI 1. Đánh giá các phương pháp Tracking Botnet cũ 2. Phân tích hai lý thuyết Tracking Botnet và Bot Milkers 2.1. Phân tích lý thuyết Tracking Botnet 2.2. Phân tích lý thuyết Bot Milkers 3. Môi trường triển khai tại Công ty An ninh Mạng Bkav CHƯƠNG 4: XÂY DỰNG HỆ THỐNG BOTNET TRACKING .1 Mô hình hệ thống Botnet Tracking 1.1. Thành phần Collecting 1.2. Thành phần Analyzing .1.2.1. Phân tích theo hành vi .1.2.2. Phân tích theo mã/phân tích nhị phân .1.2.3. So sánh hai phương pháp 1.3. Thành phần Tracking 2. Mở rộng khái niệm Bot Milkers cho Botnet Tracking Framework 3. Xây dựng Botnet Tracking Framework 3.1. Xác định các yêu cầu cho Framework 3.2. Thiết kế các thành phần chính của Botnet Tracking Framework 3.3. Tài liệu tra cứu Botnet Tracking Framework 3.4. Thử nghiệm Framework 4. Đánh giá 4.1. Đánh giá Framework 4.2. Đánh giá hệ thống Botnet Tracking 5. Tổng kết PHẦN 3: KẾT LUẬN VÀ ĐỊNH HƯỚNG PHÁT TRIỂN 1. Những công việc đã thực hiện 2. Những công việc chưa thực hiện 3. Khó khăn và hạn chế 4. Định hướng phát triển 4.1. Botnet Tracking Framework 4.2. Hệ thống Botnet Tracking TÀI LIỆU THAM KHẢO PHỤ LỤC BOTNET TRACKING FRAMEWORK API DANH MỤC CÁC BẢNG Bảng 1: So sánh các giải pháp Tracking Botnet trước đây Bảng 2: So sánh hai phương pháp phân tích theo hành vi và phân tích nhị phân Bảng 3: Các Botnet được sử dụng thử nghiệm Bảng 4: Bảng kết quả thử nghiệm DANH MỤC CÁC HÌNH Hình 1: Mô hình mạng Botnet thường gặp Hình 2: Mô hình tập trung Hình 3: Mô hình phân tán Hình 4: Hackers điều khiển Botnet phát tán thư rác thuê Hình 5: Công cụ hỗ trợ xây dựng botnet Spy Eye v1.0 Hình 6: Sử dụng Botnet để tấn công DDoS Hình 7: Sử dụng Botnet để phát tán thư rác Hình 8: Botnet phát tán FakeAV để lừa người dùng mua bản quyền Hình 9: Mã lệnh điều khiển phá hủy hệ thống của một Botnet Hình 10: Các thành phần của hệ thống Honeypot được sử dụng Hình 11: Lược đồ các bước thực thi của hệ thống Tracking Botnet trong tài liệu Hình 12: Hệ thống Botnet Tracking được đề xuất Hình 13: Theo dõi thay đổi trên môi trường máy ảo Windows Vista Ultimate giả lập bằng phần mềm Virtual PC Hình 14: Các công cụ thường sử dụng trong quá trình phân tích theo hành vi Hình 15: Các mã thực thi được chuyển thành dạng disassembly Hình 16: Sử dụng kết hợp hai phương pháp phân tích Hình 17:Mô hình thành phần Tracking Hình 18: Các Bot sử dụng thu thập thông tin để xác thực với Server điều khiển Hình 19: Sử dụng Bot Milkers để lọc các kết quả phân tích, xây dựng kịch bản Tracker Hình 20: Lọc hành vi một Bot dựa vào luật Bot Milkers mở rộng Hình 21: BTF là nền tảng chung cho việc Tracking Botnet Hình 22: Kiến trúc Botnet Tracking Framework Hình 23: Thiết kế class của các thành phần Core Layer Hình 24: Mô tả các hành vi của Bot Spyeye cần xây dựng Hình 25: Tài liệu tra cứu Botnet Tracking Framework Hình 26: Mô hinh thực hiện thử nghiệm Hình 27: Đối chiếu hệ thống Botnet Tracking cũ và mới Hình 28: Giải pháp tích hợp đầu ra hệ thống Hình 29: Các Class hỗ trợ trong CoreLayer Hình 30: Class Diagram mô phỏng các Bot đi thử nghiệm (Bot Layer) Hình 31: Class mô tả các Tracker thử nghiệm theo dõi Bot Hình 32: Tra cứu hàm trên Botnet Tracking Framework DANH MỤC THUẬT NGỮ Thuật ngữ Ý nghĩa Reverse Engineering Kỹ thuật đảo mã/dịch ngược Disassembly Đưa dạng mã thực thi về dạng mã lệnh Assembly tương ứng Assembly Ngôn ngữ lập trình Assembly Honeypot Hệ thống thu thập mã độc dựa trên bẫy lỗi Spam Phát tán thư rác Data Theft Ăn cắp thông tin Botnet Toolkit, Botnet Kit Bộ công cụ hỗ trợ cài đặt, tạo các biến thể Botnet và điều khiển cả mạng Botnet Virtualization Công nghệ ảo hóa Virtual Machine Các máy hệ điều hành ảo được cài đặt bằng một phần mềm hỗ trợ bên trong hệ điều hành mà người dùng đang làm việc DANH MỤC CÁC TỪ VIẾT TẮT Từ viết tắt Viết đầy đủ Ý nghĩa C&C Server Command & Control Server Server điều khiển mạng Botnet WOT Web Of Trust Chương trình kiểm tra các URL độc hại khi duyệt Web CSDL Cơ sở dữ liệu Cơ sở dữ liệu DDoS Distributed Denial of Services Tấn công từ chối dịch vụ phân tán FakeAV Fake Antivirus Phần mềm giả mạo chương trình diệt Virus, lừa người dùng mua bản quyền hoặc lừa lấy thông tin tài khoản tín dụng của người dùng API Application Programming Interface Giao diện hỗ trợ lập trình - Một tập hợp các quy ước gọi tên dùng để định nghĩa cách thức một dịch vụ được gọi ra thông qua một gói phần mềm. HTTP HyperText Transfer Protocol Giao thức truyền tải siêu văn bản, là một trong năm giao thức chuẩn về mạng Internet, được dùng để liên hệ thông tin giữa máy cung cấp dịch vụ (Web Server) và các máy sử dụng dịch vụ (Web Client) IRC Internet Relay Chat Là một dạng liên lạc cấp tốc qua Internet, cho phép nhóm người dùng trong một kênh thảo luận (channel) liên lạc với nhau đồng thời cũng có hỗ trợ liên lạc giữa cá nhân với cá nhân. BSoD Blue Screen of Dead (also called BSoD, Blue Screen, or bluescreen) Thường được gọi là “màn xanh chết chóc” hay “thảm họa màn xanh” – là màn hình hiển thị lỗi trên máy tính cài hệ điều hành Windows do có xung đột hệ thống hoặc lỗi nghiêm trọng ảnh hưởng tới hệ điều hành. Malware Malicious – Software Phần mềm nguy hiểm MỞ ĐẦU Ngày nay, khi nhắc đến Botnet, là nhắc đến các hiểm họa Internet. Tấn công từ chối dịch vụ web site của các tổ chức, phát tán thư rác với số lượng lớn, thu thập thông tin cá nhân về người dùng v…v… là những hành vi nguy hiểm thường thấy của Botnet. Các nạn nhân của Botnet không ngừng gia tăng và số lượng ngày một lớn. Theo thống kê của tổ chức DAMBALLA về hiểm họa Internet trong năm 2010, trong 50 tuần theo dõi tính từ thời điểm đầu năm 2010, số nạn nhân của hiểm họa Botnet đã tăng tới 654%, với tần suất trung bình mỗi tuần là 8%. Các cuộc tấn công sử dụng Botnet đang ngày một trở nên phổ biến hiện nay với rất nhiều thủ đoạn và hình thức tấn công mới. Chính vì vậy, thiệt hại do Botnet gây ra đang trở thành một mối lo mới với các nhà chức trách nói riêng và cộng động người sử dụng Internet nói chung. Ngay trong những năm đầu tiên của thế kỷ 21, cùng với sự ra đời của rất nhiều các mạng Botnet mỗi năm, rất nhiều các nghiên cứu nhằm làm giảm các thiệt hai do Botnet gây ra đã được đề xuất và triển khai. Trong số đó, Botnet Tracking là một phương pháp khá hiệu quả trong việc theo dõi Botnet, dò vết và thu thập các thông tin hỗ trợ giảm thiểu thiệt hại của mối hiểm họa này. Nằm trong đội phát triển các dự án nghiên cứu về Botnet thuộc công ty An ninh mạng Bkav, nhằm đưa ra các giải pháp ngăn chặn và giảm bớt thiệt hại do Botnet gây ra, "Nghiên cứu và phát triển hệ thống Botnet Tracking theo dõi và giám sát các mạng Botnet" là đề tài được em lựa chọn làm Đồ Án Tốt nghiệp của mình. Trong phạm vi đồ án, em thực hiện tìm hiểu các lý thuyết xoay quanh Botnet Tracking và ứng dụng để đi xây dựng một hệ thống Botnet Tracking phù hợp với môi trường triển khai tại công ty An ninh mạng Bkav. Kết thúc đồ án, em thực hiện xây dựng Botnet Tracking Framework là thành phần chính của hệ thống Botnet Tracking này. Về bố cục, đồ án chia thành các phần: Phần I: Đặt vấn đề và định hướng giải pháp – giúp người đọc có một cái nhìn tổng quan về Botnet và những khái niệm có liên quan. Song song với đó là một số các phương pháp Tracking Botnet và các lý thuyết đã được sử dụng để theo dõi Botnet tính tới thời điểm hiện tại. Phần II: Nghiên cứu và những kết quả đã đạt được – đồ án sẽ phân tích các ưu và nhược điểm của các phương pháp triển khai cũ, kết hợp và phát triển một số lý thuyết và phương pháp Tracking cũ để đưa ra mô hình hệ thống Botnet Tracking phù hợp với môi trường triển khai tại công ty An ninh mạng Bkav. Trong những mục cuối, đồ án sẽ trình bày về thiết kế và phát triển một thành phần hết sức quan trọng của hệ thống đó là Botnet Tracking Framework, nền tảng hỗ trợ phát triển các Tracker theo dõi Botnet. Phần III: Kết luận – Người đọc sẽ được biết tới những định hướng và tiềm năng ứng dụng, tích hợp của hệ thông Botnet Tracking được đề xuất trong thực tế. Được thực hiện trong khung thời gian giới hạn, đồ án không khỏi vẫn còn những hạn chế và thiếu sót, tác giả đồ án rất mong nhận được ý kiến góp ý của người đọc để nghiên cứu được hoàn thiện hơn nữa. [...]... cho các chuyên gia nghiên cứu trong việc phát hiện Botnet và đưa ra các giải pháp hỗ trợ giảm thiểu thiệt hại do Botnet gây ra Bằng việc tạo các “bẫy” thu thập các thành phần Bot được phát tán trên và kết hợp với các nghiên cứu về Botnet, các chuyên gia đã đưa ra một phương pháp hết sức hiệu quả trong việc theo dõi Botnet bằng cách giám sát các giao tiếp giữa Bot với các thành phần điều khiển, đó là Botnet. .. nay áp dụng và triển khai Nghiên cứu và triển khai các giải pháp liên quan đến an ninh mạng và các vấn đề về malware và virus máy tính, công ty An ninh mạng Bkav đã xác lập các dự án nghiên cứu về Botnet Trong đó, có các dự án tìm hiểu về Botnet Tracking nhằm đưa ra một giải pháp đáp ứng được nhu cầu theo dõi các mạng Botnet kết hợp thu thập các thông tin hỗ trợ giảm thiểu thiệt hại do Botnet gây ra... hợp các sản phẩm nghiên cứu trên của tổ chức Bkav R&D vào các thành phần của hệ thống CHƯƠNG 4: XÂY DỰNG HỆ THỐNG BOTNET TRACKING Từ những phân tích đánh giá trên, trong phần này em sẽ ứng dụng những kiến thức lý thuyết và kinh nghiệm thu được, đề xuất một mô hình hệ thống Botnet Tracking như sau: 1 Mô hình hệ thống Botnet Tracking Hình 12: Hệ thống Botnet Tracking được đề xuất Hệ thống được đề xuất... Bkis R&D: Nghiên cứu chuyên sâu các công nghệ về an ninh mạng, phòng chống virus máy tính (công nghệ Heuristics, Virus đa hình, chống bùng nổ lây nhiễm, công nghệ Rootkit …), phá triển các hệ thống Honeypot, Radar, Sandbox … để bẫy, giám sát và phân tích virus một cách tự động 18 Bkis Security: Phát triển các phần mềm trong lĩnh vực phòng chống virus, an ninh mạng Nghiên cứu và cảnh báo các lỗ hổng... Khái niệm Botnet Tracking Về cơ bản, Botnet Tracking đề cập tới việc theo dõi các hoạt động của thành phần Bot trong các mạng Botnet từ đó, thu thập các thông tin cập nhật nhằm xác định các giải pháp giảm nhẹ thiệt hại do Botnet gây ra .1.2.2 Các phương pháp Botnet Tracking đã có Dựa trên tư tưởng trên, đã có rất nhiều các phương pháp theo dõi Botnet được triển khai, nhằm thu thập thông tin Các phương... tin một cách trực tiếp) Ngay từ khi được đưa BotSpy đa thu hút rất nhiều sự chú ý của những nghiên cứu theo dõi nói chung và đặc biệt là các nghiên cứu botnet IRC nói riêng Có thể mô tả lại các bước thực thi của hệ thống Botnet Tracking bằng lược đồ sau: Hình 11: Lược đồ các bước thực thi của hệ thống Tracking Botnet trong tài liệu (trong đó mục tiêu hướng đến là có thể dừng hoạt động của các thành... Visual C++/MFC để phát triển các thành phần của Botnet Tracking Framework 13 Gói tin theo dạng nhị phân PHẦN 2: NGHIÊN CỨU VÀ NHỮNG KẾT QUẢ ĐẠT ĐƯỢC Trong phần trước, đồ án đã trình bày về những khái niệm cơ bản về Botnet và Botnet Tracking Trong phần này của đồ án, em sẽ ứng dụng những kiến thức thu được đi xây dựng một hệ thống Botnet Tracking phù hợp với môi trường triển khai mà nghiên cứu được tiến... trò của Nepenthes của hệ thống Botnet Tracking đã giới thiệu, thành phần Collecting của hệ thống đề xuất sẽ làm nhiệm vụ thu thập các mẫu, các biến thể Botnet nhưng trong một phạm vi rộng hơn: Hệ thống Honeypot của BKIS: là hệ thống thu thập mã độc, các chương trình nguy hiểm thông qua kết hợp các hoạt động bẫy, giả mạo lỗ hổng … thu hút tấn công của Botnet và thông qua giám sát các nguồn mẫu thu thập... Trước đây, Botnet là công cụ do các hacker “lâu năm”2 phát triển và sử dụng vào các mục đích như: các hoạt động tấn công thương mại “ngầm” 3, trong đó các hacker đóng vai trò như trung gian điều khiển đi tấn công các đối tượng mục tiêu được yêu cầu: Hình 4: Hackers điều khiển Botnet phát tán thư rác thuê Ngày nay, với sự phát triển của các ngôn ngữ lập trình và công cụ hỗ trợ, Botnet được phát triển dưới... dụng và mở rộng của mô hình này vào môi trường triển khai tại công ty An ninh mạng Bkav đi xây dựng một hệ thống Botnet Tracking đáp ứng nhu cầu thực tế 2.2 Tóm tắt lý thuyết Bot Milkers Lý thuyết Bot Milkers được đề xuất bởi nhóm các tác giả thuộc hai trường Đại học Carnegie Mellon và Đại học California trong một nghiên cứu về mạng Botnet Mega-D[3] Nghiên cứu này đề cập tới việc ngầm thâm nhập vào mạng . CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG ──────── * ─────── ĐỒ ÁN TỐT NGHIỆP ĐẠI HỌC NGÀNH CÔNG NGHỆ THÔNG TIN NGHIÊN CỨU VÀ PHÁT TRIỂN HỆ THỐNG BOTNET TRACKING THEO DÕI VÀ GIÁM SÁT CÁC MẠNG BOTNET Sinh. mạng Bkav, nhằm đưa ra các giải pháp ngăn chặn và giảm bớt thiệt hại do Botnet gây ra, " ;Nghiên cứu và phát triển hệ thống Botnet Tracking theo dõi và giám sát các mạng Botnet& quot; là đề tài. dụng và triển khai. Nghiên cứu và triển khai các giải pháp liên quan đến an ninh mạng và các vấn đề về malware và virus máy tính, công ty An ninh mạng Bkav đã xác lập các dự án nghiên cứu về Botnet.